1/18
Expediente N.º: EXP202209596
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 22 de febrero de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a BLU MANAGEMENT
SPAIN, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202209596
IMI Reference: A56ID 437951- Case Register 550411
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la
autoridad de protección de datos del Francia. La reclamación se dirige contra BLU
MANAGEMENT SPAIN, S.L. con NIF B66500661 (en adelante, BLU MANAGEMENT).
Los motivos en que basa la reclamación son los siguientes:
La parte reclamante contactó con BLU MANAGEMENT, que es una agencia de
reclutamiento, para optar a un puesto de trabajo alrededor de mayo de 2021, y tuvo
una entrevista telefónica con B.B.B. (en adelante, el consultor de BLU
MANAGEMENT).
Posteriormente, el 26 de julio de 2021, la parte reclamante recibió una serie de
mensajes a través de WhatsApp (…), donde había trabajado la parte reclamante.
La persona que le envió estos mensajes de WhastApp le indicó que quien le había
facilitado sus datos de contacto era el consultor de BLU MANAGEMENT.
La parte reclamante indica que no había dado permiso a BLU MANAGEMENT para
compartir sus datos con terceros. Por este motivo, contactó con BLU MANAGEMENT
el 26, 27 y el 30 de julio de 2021, habiendo obtenido respuesta de ellos, pero
considera que lo que han realizado no es suficiente para tratar estos hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
Junto a la reclamación se aporta:
- Impresión de correo electrónico enviado por la parte reclamante a
[email protected] fechado el 26 de julio de 2021 en el que la parte
reclamante expone los hechos y solicita que se haga llegar el correo al delegado de
protección de datos (en adelante, DPD) de la compañía, expresado en los siguientes
términos:
“T(...) message is aimed at the DPO of your company.
Dear Madam, Sir,
Tonight, I have been approached by a close friend of one of your employees who
gave away my personal phone number.
Long story short, I was in touch with one of your employees from the recruitment
team a couple of month ago. T(...) employee - I'll be happy to provide you (...)
name - gave away my phone number to (...) friend so I can help (...) resolving (...)
issues (...).
Your employee's friend contacted me by whatsapp tonight and I was able to get
clear confirmation that my interviewer from Bluselection was the one who gave
my phone number away. Tchat transcript ready to be provided to you as proof.
I would like to highlight the fact that t(...) is a serious matter. First of all, I find
quite alarming that your employees use your company data to resolving their
friends private matters. (...). Second, I certainly did not consent my data to be
used for your employees private matters. Third, I know quite well the GDPR and
the scenario where an employee of a company uses personal data for (...) own
sake or (...) friends' sake is definitely not allowed.
I want to be contacted urgently on t(...) matter that is unacceptable. You can
contact me by phone (***TELÉFONO.1) or by email in english or french.
If I don't hear from your DPO real soon, I will quick launch all procedures to sue
your company.”
[Traducción no oficial:
“Este mensaje está dirigido al DPO de su empresa.
(…)
Esta noche, he sido abordado por (…) al que dio mi número de teléfono
personal.
En resumen, estuve en contacto con uno de sus (…) del equipo de reclutamiento
hace un par de meses. (…) — Estaré encantada de proporcionar su nombre —
dio mi número de teléfono a su ***PARENTESCO.1 para que pueda ayudarle
(…).
El ***PARENTESCO.1 de su ***PUESTO.1 me contactó por whatsapp esta
noche y pude obtener una confirmación clara de que mi ***PUESTO.2 de
BluSelection fue el que le dio mi número de teléfono. Tengo una transcripción del
chat lista para proporcionársela a usted como prueba.
Quisiera destacar el hecho de que se trata de un asunto serio. En primer lugar,
me parece bastante alarmante que sus ***PUESTO.1 usen los datos de su
empresa para resolver asuntos privados de sus amigos (…). En segundo lugar,
ciertamente no di permiso para que mis datos fueran utilizados por sus
***PUESTO.1 para asuntos privados. En tercer lugar, conozco bastante bien el
RGPD y el escenario en el que un ***PUESTO.1 de una empresa utiliza los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
datos personales para su propio beneficio o para el de sus amigos
definitivamente no está permitido.
Quiero que me contacten urgentemente sobre este asunto que es inaceptable.
Puede ponerse en contacto conmigo por teléfono (***TELÉFONO.1) o por correo
electrónico en inglés o francés.
Si no tengo noticias de su DPD muy pronto, iniciaré rápidamente todos los
procedimientos para demandar a su empresa.”]
- Impresión de correo electrónico enviado por la parte reclamante a ***EMAIL.1
fechado el 27 de julio de 2021 en el que la parte reclamante confirma que ha sido
contactada por teléfono por un ***PUESTO.1 de BLUE MANAGEMENT y solicita el
ejercicio de sus derechos en los siguientes términos:
“Thank you for your call today.
Following our conversation today, I was contacted yesterday evening by a friend
of one of your former employees B.B.B.. had access to my data while (…) was
an employee of yours and gave my personal phone number away to (...) friend
(tchat transcript attached).
I never consented for my data to be disclosed to third parties such as friends of
your employees; hence, as I, the data subject, am victim of a breach of my data, I
request:
1- Immediate erasure of the data you hold about me. I also want a copy of these
data that you should provide me with within 30 days from today as per the
GDPR. T(...) is a Data Access Request.
2- I understand B.B.B. is no longer one of your employees. However, it raises
some concerns. I would like to know the actions you are gonna take to make
sure t(...) kind of scenario never happens again to some one else.
3- As there is a violation of my rights (you have not been able to hold my data
safely and avoid your former employee to send them away), I would like to be
compensated.
Failing to respond to my requests within 30 days from today will result in a
complaint filled to the AEPD. They will then decide what compensation is fair for
t(...) data breach.”
[Traducción no oficial:
“Gracias por su llamada hoy.
Después de nuestra conversación de hoy, fui contactado ayer por la noche por
un ***PARENTESCO.1 (…) de sus ex ***PUESTO.1 B.B.B.. tuvo acceso a mis
datos mientras era ***PUESTO.1 suyo y le dio mi número de teléfono personal a
su ***PARENTESCO.1 (se adjunta la transcripción detchat).
Nunca consentí que mis datos se divulgaran a terceros, como amigos de sus
***PUESTO.1; por lo tanto, como yo, el interesado, soy víctima de una violación
de mis datos, solicito:
1- Borrar inmediatamente los datos que tienes sobre mí. También quiero una
copia de estos datos que debe proporcionarme dentro de los 30 días a partir de
hoy según el GDPR. Esta es una solicitud de acceso a datos.
Entiendo que B.B.B. ya no es uno de sus ***PUESTO.1. Sin embargo, plantea
algunas preocupaciones. Me gustaría saber las acciones que vas a tomar para
asegurarte de que este tipo de escenario nunca vuelva a suceder a alguien más.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
3- Como hay una violación de mis derechos (no ha podido conservar mis datos
de forma segura y evitar que su ***PUESTO.1 los envíe), me gustaría recibir una
compensación.
No responder a mis solicitudes dentro de 30 días a partir de hoy dará lugar a una
queja llena a la AEPD. Luego decidirán qué compensación es justa por esta
violación de datos.”]
Se observa que a este correo se adjunta un documento de texto que la parte
reclamante indica que es la transcripción de la conversación de whatsapp a la que
hace mención dentro del cuerpo del correo electrónico.
- Impresión de correo electrónico enviado por ***EMAIL.1 a la parte reclamante,
fechado el 27 de julio de 2021 en el que confirma la recepción del anterior correo
electrónico en los siguientes términos:
“Hi A.A.A.,
Thank you for your time during our phone call and the information you gave me.
By my email answer, I confirm the reception of your requests.
As mention on our call, I will directly transfer t(...) topic to my direction and our
Legal advisor.
We will come back to you as soon as possible.
I wish you a pleasant day.
Kind regards,”
[Traducción no oficial:
“Hola A.A.A.,
Gracias por su tiempo durante nuestra llamada telefónica y la información que
me dio.
Con mi respuesta por correo electrónico, confirmo la recepción de sus
solicitudes.
Como comentamos en nuestra llamada, transferiré este tema directamente a mi
dirección y a nuestro asesor legal.
Le contestaremos tan pronto como sea posible.
Le deseo un día agradable.
Saludos cordiales,”]
- Impresión de correo electrónico enviado por ***EMAIL.2 a la parte reclamante,
fechado el 30 de julio de 2021 en el que se ofrece la siguiente información:
“First of all, please accept our apologies for the unwanted events, of which we
found out through your email and the telephone conversation held on July 26th
with our Recruitment Manager, C.C.C..
We would like to inform you that B.B.B. has not been a member of t(...)
organization since last June 30. That on the date he left our Company, all access
permissions to the candidates database were withdrawn and (...) email account
has been blocked. Additionally, we have contacted B.B.B. with whom we have
signed a confidentiality and non-concurrence agreement and he has certified the
destruction of (...) contact information (name and mobile phone number).
Likewise, we inform you that, to avoid t(...) situation to occur again, all Blu
Selection employees who terminate their contracts or are dismissed will sign a
Confidentiality and Non-Attendance Agreement, so as to guarantee that they do
not have in their possession personal data of which our company is a Data
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
Controller. In addition, we are going to initiate a Data Protection Impact
Assessment and the activity of employees regarding access to personal data will
be monitored.
In relation to your request to exercise your right of access to the personal data
held by Blu Selection, according to arts. 15 and 13 respectively of the GDPR and
the Spanish Data Protection Act, we indicate that we only have the personal data
included in your resume (identification data, academic data and data on
professional experience) that you sent us on May 1, 2021 in order to participate
in the selection processes managed by t(...) company. We attach a copy of it.
Finally, we inform you that we have proceeded, as you have requested, to cancel
and erase all your personal data for which Blu Selection is Controller in
accordance with the GDPR and the Spanish Data Protection Act, including all
emails and other messages and communication received.
Serve t(...) communication as a means of proof of the cancellation of your
personal data.”
[Traducción no oficial:
“En primer lugar, por favor acepte nuestras disculpas por estos acontecimientos
no deseados, de los cuales nos enteramos a través de su correo electrónico y la
conversación telefónica celebrada el 26 de julio con nuestra Gerente de
Reclutamiento, C.C.C..
Nos gustaría informarle que B.B.B. no es miembro de esta organización desde el
pasado 30 de junio. Que en la fecha en que dejó nuestra Compañía, todos los
permisos de acceso a la base de datos de candidatos fueron retirados y su
cuenta de correo electrónico ha sido bloqueada. Además, nos hemos puesto en
contacto con B.B.B. con quien hemos firmado un acuerdo de confidencialidad y
no concurrencia y ha certificado la destrucción de su información de contacto
(nombre y número de teléfono móvil).
Asimismo, le informamos que, para evitar que esta situación vuelva a ocurrir,
todos los ***PUESTO.1 de Blu Selection que rescindan sus contratos o sean
despedidos firmarán un Acuerdo de Confidencialidad y No Asistencia, con el fin
de garantizar que no tienen en su poder datos personales de los que nuestra
empresa es Responsable de Datos. Además, vamos a iniciar una Evaluación de
Impacto de Protección de Datos y se supervisará la actividad de los
***PUESTO.1 con respecto al acceso a los datos personales.
En relación con su solicitud de ejercicio de su derecho de acceso a los datos
personales en poder de Blu Selection, según los artículos 15 y 13
respectivamente del RGPD y de la Ley Española de Protección de Datos,
indicamos que solo tenemos los datos personales incluidos en su currículum
(datos de identificación, datos académicos y datos sobre experiencia profesional)
que nos envió el 1 de mayo de 2021 con el fin de participar en los procesos de
selección gestionados por esta empresa. Adjuntamos una copia del mismo.
Por último, le informamos que hemos procedido, como usted ha solicitado, a
cancelar y borrar todos sus datos personales para los que Blu Selection es
Responsable del tratamiento de conformidad con el RGPD y la Ley Española de
Protección de Datos, incluidos todos los correos electrónicos y demás mensajes
y comunicaciones recibidos.
Sirva esta comunicación como medio de prueba de la cancelación de sus datos
personales.”]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
Se observa que a este correo se adjunta un documento en formato PDF denominado
“***URL.1”.
- Impresión de correo electrónico enviado por la parte reclamante a ***EMAIL.2
fechado el 30 de julio de 2021, como contestación al anterior correo, con el siguiente
contenido:
“Dear Data Protection Officer,
Thank you for your email.
I appreciate you fulfilled most of my requests within a short period of time.
The content of your email is an admission of liability on your part (especially
paragraph 3). In fact, your employee at that time (up until June 30th 2021) was
able to circumvent your systems to extract my data without your knowledge and
at my prejudice. Even though you should have performed the DPIA way before
such critical situation happened to prevent it from occurring, I appreciate you are
now willing to assess your company.
Nonetheless, as the employer of B.B.B. you failed to store my data safely. As a
victim of a prejudice I ask for a reasonable compensation for your failure.
If I do not hear from you before August, 27th 2021 or if your final answer stands
where it is at t(...) point, I will have to contact the AEPD to make them aware of
t(...) situation and ask for their guidance to find an amicable solution.
I look forward to hearing from you.”
[Traducción no oficial:
“Estimado delegado de protección de datos:
Gracias por su correo electrónico.
Agradezco que haya cumplido la mayoría de mis peticiones en un corto período
de tiempo.
El contenido de su correo electrónico es una admisión de responsabilidad por su
parte (especialmente el párrafo 3). De hecho, su ***PUESTO.1 en ese momento
(hasta el 30 de junio de 2021) pudo eludir sus sistemas para extraer mis datos
sin su conocimiento y para mi perjuicio. A pesar de que debería haber realizado
la DPIA mucho antes de que sucediera una situación tan crítica para evitar que
ocurra, aprecio que ahora esté dispuesto a evaluar su empresa.
No obstante, como ***PUESTO.1 de B.B.B. no almacenó mis datos de forma
segura. Como víctima de un perjuicio le pido una compensación razonable por
su fallo.
Si no tengo noticias de usted antes del 27 de agosto de 2021 o si su respuesta
final sigue en este mismo punto, tendré que contactar con la AEPD para
informarles de esta situación y pedirles su orientación para encontrar una
solución amistosa.
Espero saber de usted.”]
- Transcripción de una conversación de whatsapp fechada el 26 de julio de 2021 en la
que, entre otra información, se indica lo siguiente:
“26/07/2021, 20:39 - ***TELÉFONO.2: Hello! I hope you are doing good. My
name is D.D.D. and I got your phone number from a friend who did an interview
with you. Since he knew that I had problems with my ***CUENTA.1 he kindly
gave me your number. The problem with my business and my private account is,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
that I got permanently banned from ***CUENTA.1. I do not know why t(...)
happened sinced I used my accounts in a normal way. When I ask for help or
contact the support they will not give me an answer or solutions for t(...) problem,
so I wanted to ask you If you know a way to solve t(...) misunderstanding. It
would mean a lot if you could take the time to answer. Thank you in advance.
26/07/2021, 20:39 - ***TELÉFONO.2: Kind Regards
26/07/2021, 20:39 - ***TELÉFONO.2: D.D.D.
26/07/2021, 20:42 - A.A.A.: Hi. What is the name of your friend who supposedly
did an interview with me?
26/07/2021, 20:46 - ***TELÉFONO.2: I will ask for permission to give out (...)
name and come back to you in a second.
26/07/2021, 20:46 - A.A.A.: If you dont tell me how you got t(...) number I wont
be able to assist
26/07/2021, 20:47 - ***TELÉFONO.2: I fully understand that, I just want to make
sure my friend is ok with t(...)
26/07/2021, 20:48 - A.A.A.: Well, if your friend gave you my private number it
means he is also my friend. That shouldnt be an issue to provide (...) name
26/07/2021, 20:49 - ***TELÉFONO.2: He got your number from a interview with
(...). You contacted the company he worked in, so you do not know (...)
personally
26/07/2021, 20:50 - A.A.A.: What company?
26/07/2021, 20:51 - ***TELÉFONO.2: As soon as my friend will give me the Ok I
will be transparent with all the information you need
26/07/2021, 20:53 - A.A.A.: Look mate. You are coming out of the blue
requesting my help but you dont want to tell me where you got my private
number from. If I dont have at least the name of the company and ideally the
ame of the person who gave it to you within 5min, you are gonna have to deal
with ***CUENTA.1 directly I am afraid
26/07/2021, 20:55 - ***TELÉFONO.2: ok I just called (...), the company is called
blue selection
26/07/2021, 20:56 - A.A.A.: In spain
26/07/2021, 20:56 - A.A.A.: ?
26/07/2021, 20:56 - ***TELÉFONO.2: yes”
…
“26/07/2021, 21:10 - A.A.A.: Is it B.B.B. who gave you my number?
26/07/2021, 21:11 - ***TELÉFONO.2: I agreed with (...) that I do not give the
name away, I also do not know your name or anything
26/07/2021, 21:11 - A.A.A.: So t(...) is (...)?
26/07/2021, 21:12 - ***TELÉFONO.2: Why is t(...) necessary?
26/07/2021, 21:12 - A.A.A.: Because I dont know you
26/07/2021, 21:13 - A.A.A.: I need some reassurance here
26/07/2021, 21:13 - ***TELÉFONO.2: I fully understand, but you know that my
request is legit since I know the name of the company
26/07/2021, 21:14 - A.A.A.: I had contact only with (...), so t(...) is (...)
26/07/2021, 21:15 - ***TELÉFONO.2: I will not give away the name of the
person, I know that I can not give you any value for helping me
26/07/2021, 21:15 - ***TELÉFONO.2: I could pay you if it is possible to solve t(...)
problem
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
26/07/2021, 21:17 - A.A.A.: Look mate you are going too far. T(...) has to stop. I
am no longer an employee of ***CUENTA.1 and surely did not consent for my
personal number to be given away. Please contact ***CUENTA.1
26/07/2021, 21:17 - ***TELÉFONO.2: Ok, I am sorry for disturbing you. I will
delete your number right away.
26/07/2021, 21:19 - You blocked t(...) contact. Tap to unblock.”
[Traducción no oficial:
“26.7.2021, 20:39 — ***TELÉFONO.2: ¡Hola! Espero que estés bien. Mi nombre
es D.D.D. y obtuve tu número de teléfono de un ***PARENTESCO.1 que hizo
una entrevista contigo. Ya que sabía que tenía problemas con mi cuenta de
***CUENTA.1, amablemente me dio su número. El problema con mi negocio y mi
cuenta privada es que ***CUENTA.1 me prohibieron permanentemente utilizarla.
No sé por qué sucedió esto porque usé mis cuentas de una manera normal.
Cuando pido ayuda o contacto con el soporte no me dan una respuesta o
soluciones para este problema, así que quería preguntarte si sabes una manera
de resolver este malentendido. Significaría mucho si pudieras tomarte el tiempo
para responder. Gracias de antemano.
26.7.2021, 20:39 — ***TELÉFONO.2: Saludos cordiales
26.7.2021, 20:39 — ***TELÉFONO.2: D.D.D.
26.7.2021, 20:42 — A.A.A.: Hola. ¿Cuál es el nombre de tu ***PARENTESCO.1
que supuestamente hizo una entrevista conmigo?
26.7.2021, 20:46 — ***TELÉFONO.2: Pediré permiso para dar su nombre y te
contesto en un segundo.
26.7.2021, 20:46 — A.A.A.: Si no me dices cómo conseguiste este número, no
podré ayudarte.
26.7.2021, 20:47 — ***TELÉFONO.2: Lo entiendo completamente. Solo quiero
asegurarme de que mi ***PARENTESCO.1 esté de acuerdo con esto.
26.7.2021, 20:48 — A.A.A.: Bueno, si tu ***PARENTESCO.1 te dio mi número
privado significa que también es mi ***PARENTESCO.1. Eso no debería ser un
problema para proporcionar su nombre
26.7.2021, 20:49 — ***TELÉFONO.2: Obtuvo tu número de una entrevista con
él. Se puso en contacto con la empresa en la que trabajó, por lo que no lo
conoce personalmente.
26.7.2021, 20:50 — A.A.A.: ¿Qué compañía?
26.7.2021, 20:51 — ***TELÉFONO.2: Tan pronto como mi ***PARENTESCO.1
me dé el Ok seré transparente con toda la información que necesite
26.7.2021, 20:53 — A.A.A.: Mira ***PARENTESCO.1. Vienes de la nada
solicitando mi ayuda pero no quieres decirme de dónde sacaste mi número
privado. Si no tengo al menos el nombre de la empresa e idealmente el nombre
de la persona que te lo dio dentro de 5 minutos, vas a tener que lidiar con
***CUENTA.1 directamente.
26.7.2021, 20:55 — ***TELÉFONO.2: OK, acabo de llamarlo, la compañía se
llama blu selection.
26.7.2021, 20:56 — A.A.A.: En España
26.7.2021, 20:56 — A.A.A.:
26.7.2021, 20:56 — ***TELÉFONO.2: sí”
...
“26.7.2021, 21:10 — A.A.A.: ¿Es B.B.B. quien te dio mi número?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
26.7.2021, 21:11 — ***TELÉFONO.2: Acordé con él en que no dar su nombre,
tampoco sé tu nombre ni nada.
26.7.2021, 21:11 — A.A.A.: ¿Así que es él?
26.7.2021, 21:12 — ***TELÉFONO.2: ¿Por qué es necesario?
26.7.2021, 21:12 — A.A.A.: Porque no te conozco
26.7.2021, 21:13 — A.A.A.: Necesito un poco de seguridad aquí
26.7.2021, 21:13 — ***TELÉFONO.2: Entiendo perfectamente, pero sabes que
mi petición es legítima ya que conozco el nombre de la empresa
26.7.2021, 21:14 — A.A.A.: Solo tuve contacto con él, así que es él.
26.7.2021, 21:15 — ***TELÉFONO.2: No daré el nombre de la persona, sé que
no puedo darte ningún valor por ayudarme
26.7.2021, 21:15 — ***TELÉFONO.2: Podría pagarte si es posible resolver este
problema.
26.7.2021, 21:17 — A.A.A.: Mira amigo, vas demasiado lejos. Esto tiene que
parar. Ya no soy empleada de ***CUENTA.1 y estoy segura de que no consentí
que mi número personal fuera dado a otros. Póngase en contacto con
***CUENTA.1
26.7.2021, 21:17 — ***TELÉFONO.2: OK, lamento molestarte. Eliminaré tu
número de inmediato.
26/07/2021, 21:19 — Usted bloqueó este contacto. Toque para desbloquear.”]
SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo
y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer
la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, se transmitió la citada reclamación el día 14
de septiembre de 2022 y se le dio fecha de registro de entrada en la Agencia Española
de Protección de Datos (AEPD) el 15 de septiembre de 2022. El traslado de esta
reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56
del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo
sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia
es competente para actuar como autoridad de control principal, dado que BLU
MANAGEMENT tiene su establecimiento único en España.
Según las informaciones incorporadas al Sistema IMI, de conformidad con lo
establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Francia
actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra
c) del RGPD, al ser la autoridad de control frente a la que se ha presentado la
reclamación, sin que otras autoridades de control se hubieran declarado interesadas
en el presente procedimiento.
TERCERO: Con fecha 10 de febrero de 2023, de conformidad con el artículo 64
entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se
admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
El día 30 de junio de 2023, se presenta un escrito ante la AEPD en nombre y
representación de BLU MANAGEMENT como respuesta a un requerimiento de
información, en el que se aporta, entre otra, la siguiente información:
- Copia del correo electrónico enviado por ***EMAIL.2 a la parte reclamante, fechado
el 30 de julio de 2021, que ya había sido aportado por la CNIL junto con la
reclamación. Junto a él, se aporta un certificado de que este correo fue enviado el
30 de julio de 2021.
El día 4 de septiembre de 2023, se presenta un escrito ante la AEPD en nombre y
representación de BLU MANAGEMENT como respuesta a un requerimiento de
información, en el que se aporta, entre otra, la siguiente información:
- Se indica que se realizó una Evaluación de Impacto en Protección de Datos (en
adelante, EIPD) después de recibir la solicitud de la parte reclamante. Se aporta
una copia de la EIPD del tratamiento de datos que “consiste en la realización en
entrevistas con los candidatos para los puestos ofertados por terceros clientes de
Blu Management Spain, S.L.”. De esta EIPD, se obtiene la conclusión de que no es
necesario realizar una consulta previa ante la autoridad competente.
- Copia del análisis de los riesgos relacionados con esta actividad de tratamiento y de
las medidas de seguridad aplicables, que incluye si ya están implementadas o no y
la fecha de implantación de la medida.
- Respecto a las causas de esta incidencia, se indica lo siguiente:
“Durante la entrevista realizada a la parte reclamante, estuvo presente el Sr.
B.B.B. en su condición de alumno en prácticas junto con el Consultor de
Selección y, entendemos que durante la misma pudo visionar el número de
teléfono móvil del (…) y facilitar dicha información a un amigo, que fue quien se
puso en contacto con el reclamante el 26 de julio de 2021, fecha en la que
B.B.B. ya no pertenecía a Blu como alumno en prácticas de Eramus+, puesto
que causó baja voluntaria de sus prácticas, el 16 de junio de 2021, tal y como se
acredita a través del correo electrónico enviado por la Recruitment Manager,
C.C.C. a E.E.E. responsable de Eramus+ de la ***UNIVERSIDAD.1.
Al tener conocimiento por el correo electrónico de la parte reclamante, hicimos
las averiguaciones oportunas, poniéndonos en contacto con B.B.B. para
conocer de primera mano los hechos acontecidos, quien nos confirmó que
durante la entrevista en la que estuvo presente, apuntó el número de teléfono
móvil de la parte reclamante para facilitárselo a “(…)”.
Por todo lo anterior, esta parte entiende que no procede aportar ningún contrato
sobre el mantenimiento de los Sistemas de Información, por cuanto éstos no se
han visto involucrados.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
- Respecto a las medidas adoptadas para modificar incidentes de seguridad como el
sucedido, se indica lo siguiente:
“se acordó internamente que en todos los procesos de selección a los que
acudieran alumnos en prácticas se les impediría en acceso con tablets o
teléfonos móviles y, siempre acompañados por un Consultor de Selección que
sería quien tuviera acceso a los datos de los candidatos, una vez éstos hayan
prestado su consentimiento para los procesos de selección. Adicionalmente,
todos los ***PUESTO.1 de Blu firman un NDA respecto de todos los datos que
tratan en el ejercicio de sus funciones. Finalmente, se procedió a la modificación
de los contratos laborales para incluir una cláusula relativa al “Uso de equipos y
dispositivos de información y tecnología””.
-Respecto a la falta de notificación de este incidente de seguridad a la AEPD, se indica
lo siguiente:
“De conformidad con los motivos de excepción del artículo 34 del RGPD, donde
se enuncian una serie de casos en los cuales no será obligatoria esta
comunicación, esta mercantil optó por no proceder a la notificación de la brecha
de seguridad, por cuanto, con posterioridad a la misma, Blu Selection tomó
medidas técnicas y organizativas para asegurar que no haya posibilidad de que
el alto riesgo se materialice y, sobre todo teniendo en cuenta que solo se ha
producido sobre un sujeto y todas las acciones se dirigieron para evitar que los
hechos acaecidos se pudieran repetir.”
QUINTO: Volumen de negocio o actividad: Según la consulta realizada el día 8 de
septiembre de 2023 en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/),
BLU MANAGEMENT SPAIN SL es una empresa de tipo “Autónoma” con un volumen
de ventas, en el ejercicio 2020, de ***CANTIDAD.1 euros.
SEXTO: Con fecha 8 de enero de 2024, la Directora de la AEPD adoptó un proyecto
de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido
en el artículo 60 del RGPD, el 18 de enero de 2024 se transmitió a través del sistema
IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían
cuatro semanas desde ese momento para formular objeciones pertinentes y
motivadas. El plazo de tramitación de las actuaciones quedó suspendido
automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el
artículo 64 de la LOPDGDD.
Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron
objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las
autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de
conformidad con lo dispuesto en el artículo 60 del RGPD.
FUNDAMENTOS DE DERECHO
I
Competencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que BLU
MANAGEMENT realiza la recogida y conservación de, entre otros, los siguientes datos
personales de personas físicas: nombre, y número de teléfono, entre otros
tratamientos.
BLU MANAGEMENT realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado
que BLU MANAGEMENT está establecida en España, si bien presta servicio a otros
países de la Unión Europea.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante, brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, en
la medida en que un amigo de BLU MANAGEMENT habría utilizado su posición para
coger el teléfono de la parte reclamante y comunicarlo a un tercero, quien se puso en
contacto con la parte reclamante mediante Whatsapp.
Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD.
III
Principio de integridad y confidencialidad
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”
En el presente caso, consta que los datos personales de los afectados, obrantes en la
base de datos de BLU MANAGEMENT, fueron indebidamente expuestos a un tercero,
en la medida en que la parte reclamante ha manifestado haber recibido una
comunicación a través de Whatsapp de un tercero, en el que le comunicaba que había
obtenido sus datos (nombre y teléfono) por una persona que trabajaba en BLU
MANAGEMENT. Asimismo, BLU MANAGEMENT ha manifestado que, al ponerse en
contacto con la persona que habría compartido el número de teléfono, ésta ha
confirmado que accedió al número de teléfono de la parte reclamante y lo comunicó a
dicho tercero.
Por su parte, BLU MANAGEMENT ha comunicado a la parte reclamante que la
persona que filtró los datos ha certificado la destrucción de su información de contacto.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de
la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a BLU MANAGEMENT, por vulneración del artículo 5.1.f) del
RGPD.
IV
Tipificación de la infracción del artículo 5.1.f) del RGPD
De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que el balance de las circunstancias contempladas en el
artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida
al vulnerar lo establecido en el artículo 5.1.f) del RGPD, permite fijar inicialmente una
sanción de 2.000 € (dos mil euros).
VI
Imposición de medidas
De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2 d)
del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del presente Reglamento, cuando proceda, de una determinada manera
y dentro de un plazo especificado…” en la resolución que se adopte, se podrá requerir
a BLU MANAGEMENT para que en el plazo de SEIS MESES notifique a esta Agencia
que ha adoptado las medidas adecuadas para ajustar su actuación a la normativa
mencionada en este acto, sin perjuicio de otras que pudieran derivarse de la
instrucción del procedimiento.
La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución que ponga fin al presente procedimiento podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BLU MANAGEMENT
SPAIN, S.L., con NIF B66500661, por la presunta infracción del artículo 5.1.f) del
RGPD, tipificada en el artículo 83.5 del RGPD.
SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
TERCERO: INCORPORAR al expediente, a efectos probatorios, la documentación
procedente del IMI que ha dado lugar a las actuaciones previas de investigación, así
como los documentos obtenidos y generados por la Subdirección General de
Inspección de Datos en las actuaciones previas al inicio del presente procedimiento y
la documentación procedente del IMI sobre el proyecto de decisión.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de 2.000 euros, sin perjuicio de lo que resulte
de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a BLU MANAGEMENT SPAIN, S.L., con
NIF B66500661, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en
el encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 1.600 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 1.600 euros y su pago implicará la terminación del
procedimiento, sin perjuicio de la imposición de las medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 1.200 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (1.600 o 1.200] euros), deberá hacerlo efectivo mediante su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de
la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.,
indicando en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa de reducción del importe a la que se
acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
935-30102023
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 29 de febrero de 2024, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 1200 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica.
CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el Acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202209596, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
SEGUNDO: ORDENAR a BLU MANAGEMENT SPAIN, S.L. para que en el plazo de 6
meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
Acuerdo de inicio transcrito en la presente resolución.
TERCERO: NOTIFICAR la presente resolución a BLU MANAGEMENT SPAIN, S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1259-151024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es