REPOSICION-TD-00665-2016

1/9 Procedimiento nº.: TD/00665/2016 ASUNTO: Recurso de Reposición Nº RR/00656/2016 Examinado el recurso de reposición interpuesto por don B.B.B. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/00665/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 13 de septiembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/00665/2016, en la que se acordó desestimar la reclamación de Tutela de Derechos formulada por don B.B.B. contra la entidad MICROSOFT CORPORATION. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: “PRIMERO: En fecha 24 de noviembre de 2015, don B.B.B. (en lo sucesivo, el reclamante), ejercitó el derecho de cancelación de sus datos personales ante la entidad MICROSOFT IBÉRICA, SRL. En concreto, solicitaba que sus datos personales no se vincularan por el buscador Bing, de Microsoft, al realizar una búsqueda por su nombre, a la siguiente URL: A.A.A. El interesado manifiesta que al realizar una búsqueda por su nombre y apellidos en el buscador de la entidad reclamada, le relacionan el enlace expuesto, en el que ya no aparecen sus datos personales. “A pesar de que el enlace ya no contiene mis datos, estos sí se ven en las cachés de Bing, tanto la interna como la externa.” SEGUNDO: En fecha 15 de marzo de 2016, don B.B.B., formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la entidad YAHOO por no haber sido debidamente atendido su derecho de cancelación. Y sin haber recibido la respuesta legalmente establecida TERCERO: Trasladadas la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  C/ Jorge Juan, 6 28001 – Madrid Desde Microsoft se manifiesta en las alegaciones formuladas durante la www.agpd.es sedeagpd.gob.es 2/9 tramitación del presente procedimiento que “el buscador Bing es un servicio prestado por la sociedad estadounidense Microsoft Corporation, sin que Microsoft Ibérica sea responsable o encargado del tratamiento en relación con dicho servicio y sin que las actividades de dicho buscador estén indisociablemente ligadas a las actividades de Microsoft Ibérica; en particular, deseamos destacar que Microsoft Ibérica no comercializa ni intermedia en la comercialización de publicidad en el buscador Bing.”  Examinadas las alegaciones presentadas por Microsoft, se dan traslado de las mismas al reclamante, quien en síntesis, manifiesta haber recibido contestación de Microsoft, en fecha 3 de junio de 2016, respecto a una nueva solicitud realizada ante Microsoft Ibérica y que versa sobre la misma url reclamada anteriormente. En dicha contestación se informa que Microsoft Ibérica no es la entidad prestadora del servicio Bing y que Bing tiene habilitado un formulario para la tramitación de este tipo de solicitudes en el enlace https://www.bing.com..................  Otorgada audiencia nuevamente a Microsoft, manifiesta haber dado respuesta a todas las comunicaciones del reclamante. Insiste en que Microsoft Corporation no sostiene que el formulario sea el único medio de contacto. Tampoco lo ha hecho en ningún momento Microsoft Ibérica. Los solicitantes pueden remitir sus peticiones por vía postal si así lo desean. Pero lo que no es de recibo es que, bajo insinuaciones de ilegalidad absolutamente infundadas, el reclamante pretenda involucrar en la recepción y tramitación de su petición a entidades distintas del responsable por el mero hecho de que pertenecen al mismo grupo que el responsable; en este caso involucrar a Microsoft Ibérica, sin haberse dirigido en ningún momento al responsable Microsoft Corporation y sin darle la oportunidad de revisar la solicitud antes de dirigirse a la Agencia Española de Protección de Datos.” TERCERO: Son conocidos por las partes los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos.” TERCERO: La resolución ahora recurrida fue notificada fehacientemente a don B.B.B. el 14 de septiembre de 2016, según consta en el acuse de recibo emitido por el Servicio de Mensajería. Por la parte recurrente se ha presentado recurso de reposición en fecha 28 de septiembre de 2016, con entrada en esta Agencia el 28 de septiembre de 2016, en el que señala, en síntesis, que dado que la AEPD notificó la resolución objeto del presente recurso a Microsoft Ibérica, como establecimiento responsable en España, para que diera traslado de la misma a Microsoft Corporation, considera lógico “dar validez vinculante a la comunicación que hizo esta parte al domicilio de MICROSOFT IBÉRICA (…), máxime cuando en dicha comunicación se solicitaba a Microsoft Ibérica que trasladase la petición al responsable del buscador.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD). III Respecto a la argumentación del recurrente, hay que recordar lo siguiente: El artículo 16 de la LOPD regula el ejercicio de los derechos de rectificación y cancelación: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” El artículo 24 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, regula las condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición (ARCO): “1. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 ellos sea requisito previo para el ejercicio de otro. 2. Deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. 3. El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado. 4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos. 5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente.” De estos dos últimos preceptos se desprende que, con carácter general, un responsable de tratamiento que preste sus servicios a través de internet puede habilitar medios específicos en internet para facilitar que los afectados ejerciten su derecho de cancelación, sin perjuicio de que, si estos utilizaran medios alternativos para realizar su solicitud de cancelación, esta deba ser atendida por el responsable del tratamiento, siempre y cuando se haya empleado un medio que permita acreditar el envío y recepción de la misma. En consecuencia con lo expuesto, quedó analizado en el fundamento de derecho séptimo de la resolución objeto del presente recurso potestativo de reposición de la siguiente manera: “SÉPTIMO: Los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado, al respecto del cual se pronunció el Tribunal de Justicia de la Unión Europea (TJUE) en Sentencia de 13 de mayo de 2014. El Tribunal Supremo, en Sentencia de la Sala de lo ContenciosoAdministrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 pronunciado sobre la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:

1. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
2. d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
3. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
4. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
5. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
6. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> En consecuencia, de conformidad con lo expuesto y por analogía, ha de considerarse que el formulario online habilitado por Microsoft Corporation, disponible en https://www.bing.com.................., para el ejercicio del derecho al olvido es el medio alternativo válido para que los afectados soliciten la cancelación de sus datos sin necesidad de dirigirse al domicilio de la compañía en Estados Unidos.” IV El artículo 25 del Reglamento de desarrollo de la LOPD, determina que el procedimiento de ejercicio de los derechos ARCO, se inicia mediante comunicación dirigida al responsable del fichero. Consecuentemente con lo expuesto y en línea con la sentencia del Tribunal de Justicia de la Unión Europea y la sentencia de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, ya mencionadas, permite determinar que Microsoft Corporation es la entidad responsable del servicio Bing y ha puesto a disposición de sus usuarios un formulario en línea (https://www.bing.com..................) para hacer efectivo el ejercicio de los derechos de los interesados. Microsoft Ibérica es una filial que pertenece al mismo grupo que Microsoft Corporation, pero no es la entidad responsable o corresponsable del tratamiento de los datos personales de los afectados, efectuado en un motor de búsqueda en Internet, por lo que no precisa intervenir en la tramitación de las solicitudes de los derechos ARCO. Por todo lo anteriormente expuesto y dado que la parte recurrente no aporta ningún hecho nuevo ni argumento jurídico que permita reconsiderar la validez de la resolución impugnada, procede desestimar el presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por don B.B.B. contra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de septiembre de 2016, en el expediente TD/00665/2016, que desestimaba la reclamación de tutela de derechos formulada por el mismo contra la entidad MICROSOFT CORPORATION. SEGUNDO: NOTIFICAR la presente resolución a don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es