← España

REPOSICION-PS-00437-2022

1/9  Expediente nº.: EXP202103411 - RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por ALPA 57 PRODUCCIONES, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 9 de marzo de 2023, y en base a los siguientes: HECHOS PRIMERO: Con fecha 9 de marzo de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202103411, en virtud de la cual se imponía a ALPA 57 PRODUCCIONES, S.L. con NIF B13512892 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 10.000 euros (diez mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00437/2022, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: La parte reclamante, con fecha 26 de agosto de 2021, formuló reclamación ante esta Agencia, por haber recibido una llamada de Mas Luz Energía haciéndose pasar por su operadora Naturgy. Dándose la circunstancia, que tenían sus datos personales pues únicamente le solicitaron la confirmación de estos. Posteriormente, recibió una llamada de Naturgy informándole de su baja en la entidad y le pasan al cobro facturas de fechas 30/07/2021 y 06/08/2021 del Suministrador ibérico de Energía - Mas Luz Energía. SEGUNDO: Se acredita por Suministrador Ibérico de Energía que los datos de la parte reclamante fueron cedidos por la compañía prestadora de servicios de telemarketing Alpa 57 Producciones, SL. TERCERO: Consta “Contrato de prestación de servicios de telemarketing” formalizado entre Suministrador Ibérico de Energia, SL y Alpa 57 en fecha 3 de febrero de

  1. CUARTO: Se constata que enviada notificación a AIMART MARKETING S.L, subcontrata de la parte reclamada, consta como correctamente entregada en fecha 17 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 de noviembre de
  2. AIMART MARKETING SL no ha remitido respuesta alguna a esta Agencia Española de Protección de Datos. QUINTO: Consta “Contrato de prestación de servicios de telemarketing” formalizado entre AIMART MARKETING S.L. y ALPA 57 PRODUCCIONES, S.L.,y firmado en fecha 19 de septiembre de 2021, y en su cláusula undécima se señala “el contrato entrará en vigor en el momento de su firma”. SEXTO: En la grabación aportada por Mas Luz Energía-Suministrador Ibérico de Energía, se constata que el operador telefónico manifiesta: “que hoy es 22 de julio de 2021”. TERCERO: La parte recurrente ha presentado en fecha 14 de abril de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la parte recurrente manifiesta: << En primer lugar, pedir disculpas por la confusión causada a razón de esa incongruencia temporal en el contrato detectada por la Agencia Española de Protección de Datos, dado que ésta mercantil no tuvo en cuenta ese detalle a la hora de ofrecer explicaciones. Puede ser que, efectivamente, AIMART MARKETING S.L. tuviera su base de datos y gestionase la llamada, si bien no podemos aportar ninguna información, pues actualmente, en nuestros sistemas no consta datos personales o información respecto a la reclamante, figurando como único registro “origen lead y gestión: AIMART MARKETING” a modo de recordatorio para reclamaciones. Ésta es la razón por la que se ha indicado en todo momento, que procedan a dirigirse a esa compañía, habiendo ignorado o pasado por alto sin querer, hasta este momento, la incongruencia detectada, y por el tiempo pasado, y dado que no disponemos de información de los clientes o acceso a las bases de datos o datos personales de clientes relacionados con realizados con Suministrador Ibérico de Energía o Aimart Marketing S.L. por eliminación de la información al finalizar las relaciones, no podemos aportar la información solicitada. Como se recoge en la resolución de procedimiento sancionador notificada, el prestador de servicios de telemarketing (Alpa 57 Producciones, S.L.), solamente podía realizar acciones comerciales que autorizase Suministrador Ibérico de Energía, porque comprobaba previamente que aquellos interesados que habían proporcionado su consentimiento para la cesión de sus datos personales, por lo que conforme a ese protocolo establecido, resulta indudable que Suministrador Ibérico de Energía comprobó el origen de los datos de la reclamante, la existencia de consentimiento, autorizó la acción comercial. Incluso puede ser que el origen de los datos, fuesen proporcionados por Suministrador Ibérico de Energía, circunstancia que no podemos acreditar porque la eliminación de toda información es una obligación a cumplir al finalizar la relación comercial>>. Por otra parte, indican que no tienen la grabación de la llamada y que el tratamiento efectuado fue lícito y legítimo, que no disponen de más información. Asimismo, exponen que la resolución impugnada vulnera el derecho a la prueba, es contraria al principio de proporcionalidad y que habría prescrito y que se acuerde la nulidad o subsidiariamente su anulación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las alegaciones efectuadas por la parte recurrente, en primer lugar, que solamente podía realizar acciones comerciales que autorizase Suministrador Ibérico de Energía. Al respecto hay que comenzar señalando que el artículo 4.7 del RGPD define la figura del «responsable del tratamiento» o «responsable» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El encargado de tratamiento es otro de los sujetos a quien el RGPD impone el deber de cumplir ciertas obligaciones en materia de protección de datos. El artículo 4.8 del RGPD lo define como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;”. La figura del encargado de tratamiento se regula en el artículo 28 del RGPD y, a tenor del punto 10 del precepto, en determinados casos podrá ser considerado responsable del tratamiento: “Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” Las Directrices 7/2020, sobre los conceptos de responsable del tratamiento y encargado de tratamiento en el RGPD, adoptadas por el Comité Europeo de Protección de Datos (CEPD) el 07/07/2021, dicen a propósito de esta última figura: “Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales: ser un ente independiente del responsable del tratamiento y tratar datos personales por cuenta de este. El encargado del tratamiento debe tratar los datos siguiendo exclusivamente las instrucciones del responsable. Aun así, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. No obstante, si el encargado del tratamiento no se ciñe a las instrucciones del responsable y comienza a determinar sus propios fines y medios del tratamiento, estará infringiendo el RGPD. En estos casos, el encargado del tratamiento se considerará responsable en relación con dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del responsable.” Llegados a este punto, se ha de destacar que, la parte recurrente tenía la condición de responsable del tratamiento. En el contrato celebrado entre la parte recurrente, prestador de servicios de telemarketing, y Suministrador Ibérico de Energía, con fecha 3 de febrero de 2021, en su estipulación 5.1, se establece: “que el proveedor, la parte recurrente, desarrollará su actividad por su propia cuenta y riesgo y en la 11.1 (protección de datos), se determina que para la debida ejecución de los servicios contratados, el proveedor utilizará su propia base de datos de posibles clientes. El Proveedor, previo a la utilización de cualesquiera base de datos propia, garantizará y certificará aportando toda la documentación necesaria, que el origen de dicha base es legítima y que cuenta con el consentimiento/autorización de los potenciales clientes para la realización de acciones comerciales, que cumple con toda la normativa aplicable a la protección de datos y tratamiento de los mismos, y que dicha base de datos esta depurada de tal modo que no contiene registros que se hallen inscritos en ninguna “lista Robinson” ni registros que hayan ejercitado su derecho de oposición a estar en esa base de datos. y en la 11.2, se determina que si para la prestación del servicio, el Proveedor tuviera que acceder a datos de carácter personal, de los que Suministrador es responsable, se obliga a respetar todas las obligaciones que pudieran corresponder con arreglo a las disposiciones legales vigentes y cualquier otra disposición o regulación complementaria que le fuera igualmente aplicable”. En definitiva, la parte recurrente ocupaba la posición jurídica de responsable del tratamiento, sujeto que conforme al RGPD es responsable de cumplir los principios que presiden el tratamiento de los datos de carácter personal. Pues bien, el prestador de servicios de telemarketing, la parte recurrente, cedió a Suministrador Ibérico de Energía los datos personales de la interesada a la que ofreció sus productos y sus servicios y la parte recurrente los obtuvo en calidad de responsable del tratamiento independiente de Suministrador Ibérico de Energía. En conclusión, en el momento de la firma del contrato de prestación de servicios, la parte recurrente adquirió el compromiso de ceder únicamente los datos personales de aquellos interesados que hubiesen dado su consentimiento para dicha finalidad. Frente a la alegación relativa a la vulneración del principio de responsabilidad del artículo 28 de la LRJSP, hay que señalar que la responsabilidad objetiva obliga al recurrente, a acreditar que actuó diligentemente, adoptando todas las medidas necesarias a su alcance, adecuadas y previsibles para evitar la producción de daños (STS de 15 de abril de 1999) y por lo tanto ya en la resolución del procedimiento sancionador quedó acreditado que la parte recurrente, vulneró el artículo 6.1 del RGPD. toda vez que realizó el tratamiento de los datos personales de la parte reclamante (NIF, domicilio, código universal de punto de suministro, correo electrónico, número de móvil, datos bancarios), sin legitimación para ello. Los datos personales fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que dispusiera de base legal para la recogida y el tratamiento posterior de sus datos personales. En consecuencia, ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente con la habilitación legal para ello. En segundo lugar, en relación con que la resolución impugnada vulnera el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 prueba, hay que manifestar que el 17 de noviembre de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: “Solicitar a AIMART MARKETING S.L.
  3. Detalle de los datos de la parte reclamante A.A.A. (nombre, dirección, cuenta bancaria, etc.) previos a la llamada comercial en la que se contrató el suministro eléctrico a nombre de la reclamante.
  4. Origen de los citados datos de la reclamante.
  5. Toda la documentación que justifique el consentimiento para la obtención de la citada información previa a la llamada comercial.
  6. Contrato suscrito entre AIMART MARKETING S.L. y ALPA 57 Producciones S.L.” Con fecha 17 de noviembre de 2022, el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada certifica que se envió la notificación a: AIMART MARKETING SL - B16960718 Asunto: "Notificación de periodo de pruebas" con el siguiente resultado: Fecha de puesta a disposición: 17/11/2022 11:30:17 Fecha de aceptación: 17/11/2022 11:38:
  7. Esta notificación consta como correctamente entregada en fecha 17 de noviembre de
  8. Si bien tal apertura del periodo probatorio no se notificó a la parte recurrente, sí se ha practicado la prueba solicitada por éste, por lo que no se le ha producido ningún tipo de indefensión. Es más, la realización de tal prueba, así como su resultado, fueron puestos de manifiesto en la propuesta de resolución que en su día se notificó a la ahora parte recurrente, sin que por parte de ésta se alegara nada al respecto en las alegaciones formuladas a tal propuesta. Hay que traer a colación la Sentencia de la Audiencia Nacional de su Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. Es decir, es necesario que el interesado se vea, en efecto, en una situación de indefensión, siendo preciso que la indefensión sea material y no meramente formal (Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995, 126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya causado un perjuicio real y efectivo para el demandado en sus posibilidades de defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y 105/1995, entre otras). Y en el supuesto examinado no se ha producido una minoración en el ejercicio del derecho de defensa de la parte reclamada, pues se ha practicado la prueba que solicitó en las alegaciones al acuerdo de inicio, así como ha podido alegar a lo largo del procedimiento sancionador lo que a su derecho ha convenido. En tercer lugar, en relación con su alegación que no tiene a su disposición la grabación de la llamada, hay que señalar al respecto que la parte recurrente podía haber pedido copia del expediente y no lo ha hecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 En cuarto lugar, en cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla, en cada caso individual, los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad implica una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.
  9. del RGPD detalla la técnica a seguir para lograr dicha adecuación entre la sanción y la infracción cometida mediante una relación de criterios o factores para graduar su importe. Respecto a esta infracción se estima que concurren los siguientes factores que reflejan una mayor antijuridicidad de la conducta o de la culpabilidad de la entidad presuntamente infractora: En calidad de agravantes: Que los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte reclamada, dado que no ha llegado a aportar ningún documento que explique el origen de los datos de la reclamante que han sido objeto de tratamiento. (artículo 83.2.b, RGPD). La Sentencia de la Audiencia Nacional de 17/10/2007 (rec.63/2006), en la que, respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que <<…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto>>. La vinculación del responsable con el tratamiento de los datos personales (artículo 83.2 k, del RGPD en relación con el artículo 76.2b. de la LOPDGDD). Y, se procedió a graduar la sanción e imponer a la recurrente y fijarla en la cuantía de 10.000 € por la infracción del artículo 83.5 a) RGPD. Por todo lo anterior, se ha respetado escrupulosamente la obligada proporcionalidad entre la conducta infractora y las sanción impuesta. Añade la parte recurrente que cualquier infracción o sanción habría prescrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 A tal efecto, la presunta infracción del artículo 6.
  10. RGPD atribuida a la reclamada en ningún caso habría prescrito, por lo que la prescripción no podría servir de fundamento jurídico del archivo del expediente que la reclamada solicita en sus alegaciones en el recurso de reposición. El RGPD y la LOPDGDD establecen los plazos de prescripción de infracciones y sanciones en materia de protección de datos. Según el artículo 72 de la LOPDGDD, las infracciones consideradas muy graves tienen un plazo de prescripción de tres años. Por su parte, según el artículo 78 de la misma LOPDGDD, las sanciones por importe igual o menor a 40.000 € prescriben en un año. El artículo 30, apartado 2, de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público indica que «el plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora». Como recoge el artículo 75 de la LOPDGDD, la prescripción de la infracción puede interrumpirse por la iniciación, con conocimiento del interesado, del procedimiento sancionador. No obstante, el plazo volverá a reanudarse cuando el expediente sancionador esté paralizado durante más de seis meses por causas no imputables al presunto infractor. Según consta en la reclamación presentada y la documentación que se adjunta a la misma, los hechos valorados en las presentes actuaciones se remontan al 22 de junio de 2021, fecha de la grabación, habiendo tenido esta Agencia conocimiento de los mismos por virtud de la citada reclamación, registrada de entrada en fecha 26 de agosto de
  11. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en el día 22 de junio de 2021, por lo que no había prescrito. Por tanto, no es posible tener en consideración la argumentación de la entidad en el que defiende que la infracción cometida está prescrita no señalando el motivo por lo que considera está prescrita. En relación con el plazo de prescripción de la sanción, para el cálculo del plazo de prescripción al que se hace referencia en el artículo 78 de la LOPDGDD, se comenzará a contar desde el día siguiente a aquel en que sea ejecutable la resolución de la sanción o cuando haya transcurrido el plazo para recurrirla. Se interrumpe por la iniciación, con conocimiento del interesado, del proceso de ejecución, y se volverá a reiniciar si tal procedimiento se paraliza durante más de 6 meses por causa no imputable al infractor. Fecha de la resolución 9 de marzo de
  12. Está claro que la sanción no ha prescrito. Por tanto, analizadas las alegaciones efectuadas en el presente recurso potestativo de reposición, se comprueba que no se han aportado en ellas nuevos argumentos jurídicos que permitan reconsiderar el sentido de la resolución sancionadora dictada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 en fecha 9 de marzo de
  13. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ALPA 57 PRODUCCIONES, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de marzo de 2023, en el expediente EXP
  14. SEGUNDO: NOTIFICAR la presente resolución a ALPA 57 PRODUCCIONES, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.