1/10 Procedimiento nº.: PS/00183/2013 ASUNTO: Recurso de Reposición Nº RR/00870/2013 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00183/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 10 de octubre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00183/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 20.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma—ex art. 58 Ley 30/92--, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00183/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 16/04/12 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto que: “Contrato fraudulento, por parte de Galp Energía. Robo de documentación facturas. Omisión de documento de revocación de contrato y omisión de la reclamación interpuesta…”—folio nº 1--. En apoyo de su pretensión aporta factura emitida por la Entidad denunciada— Galp Energía—por importe de 81,83€ en dónde se plasman sus datos de carácter personal. Nombre: A.A.A., (C/...................1) (Madrid). Datos Bancarios: ***CCC.1.— folio nº 2--. Segundo. La Entidad denunciada—Galp Energía—a requerimiento de esta AEPD manifiesta en relación con el alta del contrato de suministro de gas formalizado en el domicilio del denunciante. “La comercialización de este contrato se realiza mediante visita al cliente y oferta de servicios a través de comerciales de forma personalizada”—folio nº 15--. Aporta copia del contrato, el cual está firmado por Doña B.B.B., de fecha 04/11/11 en representación—PO—del titular de los datos D. A.A.A.; en el mismo queda plasmada la firma de la referenciada hasta en cuatro ocasiones. ConfortGas Básico. C/ Jorge Juan, 6 28001 – Madrid Precio 70,44€ Firma Cliente B.B.B.. www.agpd.es sedeagpd.gob.es 2/10 Tercero. En los sistemas de información de la Entidad denunciada—Galp Energía—constan los servicios contratados y sus respectivas fechas de alta y baja. Gas: Alta 21/02/12 y fecha de baja 23/04/
- Luz: Alta 10/05/12 y actualmente en activo. Confortgas: Inactivo, no se dio de alta. Cuarto. El propio denunciante entre la documentación aportada—folio nº 5— aporta copia de la reclamación ante la OMIC del Ayuntamiento de Coslada de fecha 30/12/11 en dónde manifiesta y reconoce expresamente que: “El contrato lo firma mi mujer especificando el comercial en la firma P.O, que tampoco lo explicó. Se han interpuesto dos reclamaciones a la Empresa Galp Energia”. —folio nº 5--. En su reclamación ante la OMIC de sus palabras se infiere su conformidad con la contratación del gas y la electricidad. “En este contrato se incluían el gas y la luz, pero en ningún momentos se informó de que también se incluía el contrato de mantenimiento del gas con un importe total de 70€”. Quinto. La contratación se realizó a través de la Entidad—Partec Representaciones S.L—en concreto a través del comercial D. A.A.A., con DNI nº ***DNI.
- La relación que vincula a Partec con el comercial es de carácter mercantil (relación entre dos empresarios independientes) “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”.—folio nº 214--. TERCERO: La Entidad GALP ENERGIA ESPAÑA, S.A.U. ha presentado en fecha 11/11/2013, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: De la diligencia debida. Si existió un error en la contratación no fue claramente imputable a Galp que disponía de un contrato firmado por la esposa del denunciante. De la presunción de inocencia. La Compañía no comparte la fuerza probatoria del alegado desconocimiento de ciertas condiciones en la contratación, puesto que de la misma forma se puede desprender de las alegaciones del denunciante, que su esposa era consciente de estar contratando con Galp, y que el hecho que originó la denuncia fue, que presuntamente el comercial no explicó que además de los servicios de gas y electricidad se contrataba un servicio de mantenimiento. Del consentimiento del interesado. Ha quedado acreditado que la firma del contrato conteniendo los datos de carácter personal del denunciante se realizó por la mujer de éste, B.B.B. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 Un contrato firmado por Orden es un contrato perfectamente válido y es vinculante para ambas partes, la persona a la que se representa en ese acto y la Compañía con la que se contrata. El denunciante no niega que su esposa tuviese su consentimiento para contratar en su nombre. Su denuncia va dirigida a la falta de información proporcionada sobre el servicio que estaba contratando, pero no la desautoriza en ningún momento. De la cancelación de la deuda y de los datos personales del denunciante. Actualmente no existe activo ningún contrato a nombre de D. A.A.A. y todas las facturas han sido anuladas no existiendo ninguna deuda pendiente. Galp pone de manifiesto que ha obtenido una certificación Notarial, de fecha 8 de octubre de 2013, presentada a la AEPD el pasado 23 de octubre de 2013, en la que se determina que se han efectuado todos los cambios necesarios en los sistemas de información de Galp que gestionan los clientes (…). Por todo ello solicita la anulación de la Resolución interpuesto el presente Recurso. y que se tenga por FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En orden a dar una respuesta ajustada a Derecho en el presente Recurso se han de concretar previamente los hechos que lo originaron. En fecha 16/04/12 el epigrafiado denuncia ante esta AEPD de manera sucinta que: “Contrato fraudulento, por parte de Galp Energía. Robo de documentación facturas. Omisión de documento de revocación de contrato y omisión de la reclamación interpuesta…”—folio nº 1--. Entre la documentación aportada por el denunciante consta la copia del contrato de suministro, en dónde se plasma la firma de Doña B.B.B. . El artículo 6 de la LOPD, determina: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 La LOPD define el consentimiento del afectado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos de carácter personal que le conciernen”—art. 3 h)--. En el caso que nos ocupa es un dato objetivo e incuestionable que no es el interesado, esto es, el titular de los datos: D. A.A.A., el que contrata el servicio con la Entidad denunciada. No consta la firma en el documento contractual, no ha sido informado, no se ha desplegado actividad diligente alguna tendente a verificar que se contaba con su consentimiento; en definitiva: se ha procedido a dar de alta una serie de servicios sin contar con el consentimiento informado del afectado. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). Ahora bien, tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/2005, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. De los hechos denunciados se desprende claramente, que el denunciante era desconocedor de ciertas “condiciones” en la contratación, que por otra parte, tampoco le fueron informadas al titular de los datos, sino a la mujer de éste, que en modo alguno puede ser considerada la titular de los datos de carácter personal. No aporta, la Entidad denunciada—Galp--, como responsable del fichero, documentación alguna que acredite fehacientemente el consentimiento inequívoco del afectado: DNI o documento de naturaleza similar. Tampoco se procede a aportar junto con el contrato algún tipo de “poder de representación” en dónde el afectado permitiese la utilización y tratamiento de sus datos de carácter personal. En sustento de lo anterior, basta traer a colación la SAN—08-06-2011 “Por tanto no es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de protección de datos en el que nos hallamos, como ya señalamos en la San de 27 de abril de 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que como hemos visto, no han sido adoptadas por la Entidad demandante”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Item, la SAN-10/06/2011- “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos (…)”. Por todo ello se considera que la Entidad denunciada—Galp-- no ha desplegado una “mínima” actividad diligente tendente a constatar que contaba con el consentimiento inequívoco del titular de los datos, vulnerando con ello el contenido del art. 6.1 LOPD. III En cuanto a la argumentación de la Entidad denunciada—Galp—sobre la validez de los contratos firmados por “Orden”—P.O--. Sin entrar en valoraciones, que entrarían en el marco del Derecho civil, un contrato es “un acuerdo de voluntades, verbal o escrito, manifestado en común entre dos o más, personas con capacidad (partes del contrato) que se obligan en virtud del mismo, regulando sus relaciones relativas a una determinada finalidad o cosa y a cuyo cumplimiento puede compelerse de manera recíproca”. La existencia de un tercero que actúa por orden o mandato de otro—sujeto titular de los datos-- requiere de algún elemento que acredite que se podía actuar en el tráfico jurídico en su nombre: a modo de ejemplo, un documento que así lo autorizase (vgr.La persona abajo firmante autoriza…), copia del DNI (autorizante y autorizado) de lo contrario cualquier persona podría actuar en nombre de otra sin más, dejando vacío de contenido el derecho fundamental a la protección de nuestros datos personales. La recurrente, que por su actividad trata multitud de datos de terceros, viene obligada como responsable del fichero a prestar la máxima diligencia en el tratamiento de tales datos, respetando este derecho fundamental de las personas que consiste en un poder de disposición y control sobre los datos personales y que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero (STC 292/2000). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para qué no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE, que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. El motivo de sancionar a la Entidad denunciada—Galp—como se plasmó ampliamente en la Resolución del Director de la AEPD se centra en la falta de diligencia de la misma a la hora de dar de alta los servicios contratados. Es cierto que la Entidad denunciada—Galp--no ha tenido contacto directo con los "clientes", pues dichas contrataciones se efectuaron a través del agente comercial enviado por la Entidad-Partec Representaciones S.L—, con el que había suscrito un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 "Contrato de prestación de servicios" para recabar el consentimiento del afectado y que se realizaba a su vez por “comerciales” enviados por ésta al domicilio de los futuros clientes. En virtud del citado contrato Galp Energía encomienda a dicha entidad, entre otros cometidos, la captación de nuevos clientes del servicio de suministro energético y la formalización en nombre y representación de la misma de los preceptivos contratos, en la forma y las condiciones que se establecen en los anexos correspondientes. Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la recurrente, por cuanto como viene reiterando la Audiencia Nacional, la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a Galp Energía datos de los denunciantes, sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión. En consecuencia, ha quedado probada la comisión de la infracción imputada que es imputable a título de culpa, por falta de cuidado o diligencia a la entidad recurrente. IV En cuanto a la culpabilidad, cuya inexistencia alega la actora, cabe recordar que el artículo 130 LRJPAC en el que se prevé el principio de culpabilidad, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1990 , que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito administrativo ancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1991, de 19 de diciembre, señaló que la culpabilidad constituye un principio estructural básico del Derecho administrativo sancionador. Por eso, como señala la reciente STS de 18 marzo 2005 (Rec. 7707/2000) es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 En el marco del elemento subjetivo—culpabilidad—es dónde si que tienen cabida las alegaciones de la Entidad denunciada—Galp—sobre la intervención de un tercero: la mujer del afectado—Doña B.B.B.---. En este caso hay que concluir que la empresa recurrente utilizó los datos del denunciante sin su consentimiento y ello puesto que, aunque la esposa del mismo facilitara al "comercial de Partec” algunos datos, debe entenderse que una diligencia adecuada habría exigido de la empresa ahora recurrente solicitar de modo previo a la contratación la aportación, al menos, de una fotocopia del DNI del afectado o algún tipo de documento de autorización expresa. Item, la mera prudencia frente a situaciones de análoga naturaleza hubieran hecho recomendable una llamada de verificación o el envío del contrato con los datos del afectado debidamente cumplimentados, para que fuera firmado y ratificado por éste, pudiendo tener a su disposición todas las condiciones informadas de los servicios ofertados. A mayor abundamiento, en la copia del contrato aportado por la Entidad denunciada—Galp—los campos del contrato relativos al solicitante, no aparecen rellenados como así debiera de ser, constando en blanco las casillas: Actúa en nombre y representación; Nombre, apellidos y D.N.I. Es especialmente claro el siguiente pronunciamiento de la Audiencia Nacional, --SAN 06/10/11 (Rec. 342/2010) en un supuesto similar: “Debe concluirse que la aportación de datos personales por un pariente ó persona de confianza de aquel que, supuestamente, está contratando con la empresa suministradora, no puede entenderse como suficiente a la hora de entender prestado el consentimiento para el tratamiento de datos y ello pues lo relevante es el consentimiento del titular de los datos”. Item, en sentido análogo, la SAN 19/12/12 en dónde la Sala se manifiesta en el siguiente sentido: “El contrato es firmado por el cónyuge, sin que dicha circunstancia sea ocultada a la Empresa receptora de los datos. En el presente caso, considera la actora, que existen indicios de que la hija contaba con el consentimiento de su padre para facilitar sus datos personales a la Entidad vendedora, como son la relación de parentesco: padre-hija; el haber exhibido el DNI original; y el haber facilitado un dato de difícil acceso como es el número de cuenta bancaria”. “Como establece la Ley, es necesario tal consentimiento, y ello por tanto, también se debe aplicar en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (Rec. 342/2010), fundamento de Derecho 4º: “La aportación de datos por un pariente o persona de confianza de aquel…no puede entenderse como suficiente a la hora de entender prestado el consentimiento….lo relevante es el consentimiento del titular de los datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Por lo tanto, la culpabilidad de la empresa recurrente procede del hecho de que no se han puesto en marcha todas las medidas que hubieran permitido una mínima comprobación de que contaba con el consentimiento de la persona titular de los datos a quien se estaba dando de alta en el servicio en cuestión. Procede en definitiva la confirmación de la resolución recurrida debiéndose imputar a la recurrente la infracción derivada del tratamiento de datos y ello pues una mayor prudencia y diligencia habría aconsejado haber tomado alguna precaución con el fin de comprobar que, en relación a los datos que estaba tratando, aunque le fueran facilitados por la empresa comercializadora contaba con el consentimiento del titular de dichos datos. V El art. 45.4 LOPD—LO 15/99—contiene los criterios de graduación de las sanciones. En el presente caso, se tienen en cuenta: La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45.4 c) LOPD. El volumen de negocios o actividad del infractor. 45.4 d) LOPD. A modo ilustrativo, los beneficios de la Entidad Galp en el año 2012 fueron de unos 359 millones de euros. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. 45.4 h) LOPD. Sobre una cuestión de naturaleza similar se ha pronunciado la Audiencia Nacional— SAN 06/10/11 Rec. 342/2010—al señalar que: “Debe concluirse que la aportación de datos personales por un pariente ó persona de confianza de aquel que, supuestamente, está contratando con la empresa suministradora, no puede entenderse como suficiente a la hora de entender prestado el consentimiento para el tratamiento de datos y ello pues lo relevante es el consentimiento del titular de los datos. Otra cosa es que, del mecanismo como se haya producido la contratación, pueda deducirse que se ha contando con el consentimiento del titular de los datos. En general, por tanto, lo relevante no puede ser otra cosa que la exigencia del consentimiento inequívoco para justificar el tratamiento de los datos personales. Por lo tanto, la culpabilidad de la empresa recurrente procede del hecho de que no se han puesto en marcha todas las medidas que hubieran permitido una mínima comprobación de que contaba con el consentimiento de la persona titular de los datos a quien se estaba dando de alta en el servicio en cuestión”. La SAN 19/12/12 en dónde la Sala se manifiesta en el siguiente sentido: “Como establece la Ley, es necesario tal consentimiento, y ello por tanto, también se debe aplicar en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (Rec. 342/2010), fundamento de Derecho 4º: “La aportación de datos por un pariente o persona de confianza de aquel…no puede entenderse como suficiente a la hora de entender prestado el consentimiento….lo relevante es el consentimiento del titular de los datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 De acuerdo, con el art. 43.1 LOPD “los responsables y los encargados del tratamiento están sujetos al régimen sancionador establecido en esta Ley”. En cuanto al importe de la sanción impuesta, esta Agencia ha establecido de forma motivada una sanción cifrada en la cuantía de 20.000€, teniendo en cuenta la “presunta” actuación de un pariente en los términos del art. 45.5 a) LOPD; imponiendo una sanción de carácter moderado dentro de la escala de las infracciones leves: 900€ a 40.000€. A modo de resumen; la Entidad denunciada—Galp—es la Entidad (responsable del fichero), procedió a tratar los datos del afectado sin su consentimiento; emitió facturas que procedió a cargar en su nº de c/c—tratamiento--; no desplegó la más mínima diligencia a la hora de verificar y constatar el alta consentida del servicio/s ofertado; los campos del contrato referentes a los datos de la persona “autorizada” permanecen en blanco (folio nº 21); las reclamaciones del afectado fueron recogidas en el sistemas pero no fueron resueltas con la diligencia debida (art. 54 y ss); todas estas circunstancias “específicas“ de este procedimiento han sido valoradas a la hora de imponer una sanción cifrada en la cuantía de 20.000€. Procede en definitiva la confirmación de la resolución recurrida debiéndose imputar a la recurrente la infracción derivada del tratamiento de datos y ello pues una mayor prudencia y diligencia habría aconsejado haber tomado alguna precaución con el fin de comprobar que, en relación a los datos que estaba tratando, aunque le fueran facilitados por la empresa comercializadora contaba con el consentimiento del titular de dichos datos. Por lo tanto, en el presente recurso de reposición, la Entidad denunciada GALP ENERGIA ESPAÑA, S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, motivo por el que procede desestimar el presente Recurso potestativo de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad GALP ENERGIA ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 10 de octubre de 2013, en el procedimiento sancionador PS/00183/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad GALP ENERGIA ESPAÑA, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es