TD-00834-2014

1/9 Expediente Nº: TD/00834/2014 RESOLUCIÓN Nº: R/02204/2014 Vista la reclamación formulada el 30 de abril de 2014 ante esta Agencia por D. B.B.B. contra AYUNTAMIENTO DE BURGOS, por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 11 de abril de 2014 D. B.B.B. (en lo sucesivo, el reclamante) solicitó ante el AYUNTAMIENTO DE BURGOS (en lo sucesivo, el Ayuntamiento) solicitando la cancelación de sus datos personales en el fichero de asistentes a los plenos municipales. SEGUNDO: El Ayuntamiento le remitió un escrito en el que le informaban que, con fecha 08 de abril de 2014, el Excmo. Sr. Alcalde dictó un Decreto por el que se autorizaba a la Policía Local a la realización de la identificación previa de los asistentes al Pleno del Ayuntamiento de Burgos, en el ejercicio de sus funciones de prevención y en el marco de la normativa aplicable. “En el Pleno celebrado el día 11 de abril de 2014, de conformidad con el Decreto referenciado se anotaron manualmente los datos de las personas que asisten a la celebración del mismo, esto es, DNI, nombre, apellidos, hora de entrada, hora y de salida y nº de tarjeta entregada. Esta información se adjunta al resto de novedades policiales del día y se archiva, sin que estos datos se organicen de forma sistemática, con arreglo a criterios que permitan la búsqueda de los mismos a partir de los datos personales de una determinada persona.” Por ello desestiman su solicitud “(…) por cuanto los datos recogidos en el Pleno celebrado el día 11 de abril de 2014, no se incorporan a un fichero en el sentido legal expuesto (…) puesto que no se trata de un conjunto organizado y estructurado de datos, con arreglo a criterios determinados relativos a las personas y por tanto su tratamiento no está sometido a la Ley Orgánica 15/1999.” TERCERO: Con fecha 30 de abril de 2014 tuvo entrada en esta Agencia reclamación contra el Ayuntamiento por no haber sido debidamente atendido su derecho de cancelación. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  El Ayuntamiento reitera los argumentos comunicados al reclamante en la desestimación de la cancelación.  El reclamante no presentó alegaciones. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constando todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del RLOPD determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia esta norma legal, se inicia siempre a instancia del afectado para garantizar sus derechos de acceso, rectificación, cancelación y oposición. Por el contrario, el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Real Decreto 1398/1993, de 4 de Agosto, por el que se aprueba el Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, que es del tenor siguiente: “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6-10-2009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Agencia. (...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. (...) El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad”. (STSS. de 23/06/1997, 22/12/1997, 14/07/1998, 2/03/1999, 26/10/2000, 30/01/2001, 15/07/2002, 28/02/2003 y 06/03/2003); la circunstancia de haber presentado el actual reclamante la denuncia no le otorga por sí mismo la condición de persona interesada. Junto a ello debe tenerse en cuenta el criterio restrictivo mantenido por la Audiencia Nacional en Sentencia de 1 de abril de 2011 acerca de la puesta de la protección de datos al servicio de otros intereses por legítimos que sean: “La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos”. SÉPTIMO: En el presente caso, ha quedado acreditado que el reclamante solicitó ante el Ayuntamiento la cancelación de sus datos personales en el fichero de asistentes a los plenos municipales, y que dicho organismo le denegó dicha cancelación, en síntesis, porque los datos recogidos en el Pleno celebrado el día 11 de abril de 2014, no se incorporan a un fichero en el sentido legal expuesto (…) puesto que no se trata de un conjunto organizado y estructurado de datos, con arreglo a criterios determinados relativos a las personas y por tanto su tratamiento no está sometido a la Ley Orgánica 15/1999. Ante estas manifestaciones del Ayuntamiento, hay que tener en cuenta el Informe 0512/2010 del Gabinete Jurídico de esta Agencia Española de Protección de Datos: “La consulta plantea dudas sobre la posible vulneración de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y a su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por el hecho de que la policía local que controla el acceso a las dependencias municipales donde se celebran los Plenos del Ayuntamiento (Sala de Juntas), se recojan los datos de nombre, apellidos, D.N.I. y lugar al que se dirigen de las personas que pretendan presenciar dichos Plenos, siendo la finalidad de su recogida el control de seguridad de acceso al edificio. I En este sentido, conviene señalar que el tratamiento de datos de carácter personal con la finalidad de controlar el acceso a edificios, deberá ajustarse en su integridad a lo previsto en la Instrucción 1/1996, de 1 de marzo, de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 de Protección de Datos, sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a edificios. En relación con la vigencia de la mencionada instrucción, debe recordarse que para que proceda entender que la mencionada Instrucción fue derogada por la Ley Orgánica 15/1999, no basta hacer referencia al hecho de que la misma es posterior a la Instrucción, sino que aquélla debería ser contraria a las previsiones de la citada Ley Orgánica. Es decir, la derogación tácita de la Instrucción se referiría únicamente a aquellas cuestiones en que la citada norma emanada de la Agencia resultase incompatible con lo establecido en la Ley Orgánica 15/1999, y posteriormente a su Reglamento de desarrollo, aprobado por Real decreto 1720/2007, de 21 de diciembre. La norma primera de la Instrucción extiende su ámbito de aplicación a “los datos de carácter personal tratados de forma automatizada que son recabados por los servicios de seguridad con la finalidad de controlar el acceso a los edificios públicos y privados, así como a establecimientos, espectáculos, certámenes y convenciones”. La Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de datos de carácter personal (LORTAD), vigente al dictarse la Instrucción 1/1996, fijaba su ámbito de aplicación extendiéndolo a aquellos datos de carácter personal que figurasen en ficheros automatizados, pero la aprobación de la Directiva 95/46/CE, del parlamento Europeo y del Consejo, de 24 de octubre de 1995, fijó en su artículo 3 su ámbito de aplicación al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, es decir, en un archivo estructurado según criterios específicos relativos a las personas que permitan el fácil acceso a dichos datos de carácter personal. La transposición de la Directiva 95/46 al ordenamiento español se efectuó a través de la actual Ley Orgánica 15/1999, en cuyo artículo 2.1 dice que “será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Definiendo su artículo 3
6. c)el tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por consiguiente, la compatibilidad de la Instrucción 1/1996 con la innovación introducida directamente por la Directiva 95/46 en cuanto a su aplicación a los tratamientos no automatizados, y posteriormente por la LOPD, exige que la misma extienda sus efectos también a éstos. II La norma segunda de la citada Instrucción establece que “Tendrá la consideración de responsable del fichero la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo por cuya cuenta se efectúe la realización del servicio de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Es preciso señalar que la Policía Local forma parte de las Fuerzas y Cuerpos de Seguridad del Estado pues así lo dispone el artículo 1.4 de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, señala que, “el mantenimiento de la seguridad pública se ejercerá por las distintas Administraciones Públicas a través de las Fuerzas y Cuerpos de Seguridad”, entre las que se incluyen, según el artículo 2 de la propia Ley “Las Fuerzas y Cuerpos de Seguridad del Estado dependientes del Gobierno de la nación, los Cuerpos de Policía dependientes de las Comunidades Autónomas y los Cuerpos de Policía dependientes de las Corporaciones Locales”. En consecuencia, si el Ayuntamiento tiene atribuida la prestación del servicio de seguridad y control de acceso al edificio a la unidad correspondiente de la policía local, no estaríamos ante un supuesto de vulneración de la Ley Orgánica 15/1999. No obstante, ello implica, que el Ayuntamiento, como responsable del fichero, deberá asumir el cumplimiento de todas las obligaciones establecidas en la Ley 15/1999, incluida la inscripción del fichero en el Registro General de Protección de Datos. En cuanto a la recogida de datos para las finalidades descritas deberá realizarse de conformidad con lo dispuesto en el artículo 5 de la Ley 15/1999. La norma tercera de la misma Instrucción indica que “deberá informarse de la existencia de un fichero automatizado, de la finalidad de la recogida de los datos, de los destinatarios de la información, del carácter obligatorio de su respuesta, de las consecuencias de la negativa a suministrarlos, de la posibilidad de ejercitar los derechos de acceso, rectificación o cancelación y de la identidad y dirección del responsable del fichero”, y además, se recogerán sólo los datos estrictamente necesarios para controlar dicho acceso. A su vez, la norma cuarta de la Instrucción 1/1996 referida a la utilización de los datos con la finalidad de controlar el acceso a los edificios señala que, “Los datos personales así obtenidos no podrán ser utilizados para otros fines. Tampoco podrán ser objeto de cesión los datos así recabados fuera de los casos expresamente establecidos en la ley, salvo consentimiento del interesado” Por este motivo, con carácter previo a la introducción de los datos de los vecinos en el fichero administrativo al que se refiere la consulta debería darse por el Ayuntamiento cumplimiento a lo dispuesto en el artículo 5.1 de la Ley Orgánica 15/1999, según el cual: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” En consecuencia, debería indicarse al interesado qué dependencia municipal va a ser responsable del tratamiento, ante la que poder ejercitar sus derechos y la finalidad del fichero. A su vez, la norma cuarta de la Instrucción 1/1996 referida a la utilización de los datos con la finalidad de controlar el acceso a los edificios señala que, “Los datos personales así obtenidos no podrán ser utilizados para otros fines. Tampoco podrán ser objeto de cesión los datos así recabados fuera de los casos expresamente establecidos en la ley, salvo consentimiento del interesado”. Se da así cumplimiento al principio de finalidad recogido en el artículo 4 de la LOPD. También en relación con la aplicación de la Instrucción 1/1996, deberán observarse las instrucciones referidas a la cancelación de los datos que recoge la norma quinta al disponer que, “los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados”. El plazo de un mes es concreción de lo establecido en el artículo 4.5, párrafo primero de la Ley 15/1999, que dispone que “los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados”. Ello supone la necesaria vinculación de la conservación del dato a la finalidad que justifica su recogida, siendo así que por esta Agencia, en la Instrucción a la que se refiere la consulta, ha considerado que resulta suficiente a tales efectos la determinación del período de un mes al que acaba de hacerse referencia. Así mismo, deberá respetarse el principio de proporcionalidad en la recogida de datos en relación con la finalidad perseguida, señalando el artículo 4.1 de la LOPD que “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas explícitas y legítimas para las que se hayan obtenido.” En el supuesto contemplado los datos que son recogidos, nombre y apellidos, DNI, y dependencia administrativa a la que se dirijan los afectados, debe entenderse que se ajustan a lo señalado anteriormente. Por último, los datos que se recojan para las finalidades descritas, estarán sujetos a las medidas de seguridad previstas en el artículo 9 de la LOPD y 79 y siguientes de su Reglamento, Real Decreto 1720/2007.” En consecuencia, procede estimar la reclamación que originó el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 procedimiento de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. B.B.B. e instar a AYUNTAMIENTO DE BURGOS para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se haga constar que ha atendido el derecho de cancelación ejercido por éste o deniegue fundada y motivadamente el mismo, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B. y a AYUNTAMIENTO DE BURGOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es