A-00193-2013

1/10 Procedimiento Nº: A/00193/2013 RESOLUCIÓN: R/02479/2013 En el procedimiento A/00193/2013, instruido por la Agencia Española de Protección de Datos a la entidad COSTAISA S.A.., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de octubre de 2012 tiene entrada en esta Agencia escrito del denunciante comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad COSTAISA S.A.. (en adelante el denunciado) instaladas en las dependencias de la empresa ubicadas en A.A.A.: las cámaras se encuentran instaladas en zonas de descanso del personal, los carteles informativos son insuficientes y no están ubicados en los lugares correctos, etc. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: - Respecto de los lugares donde se encuentran ubicadas las cámaras de videovigilancia: Se han dispuesto de un total de 30 cámaras de videovigilancia, fijas y sin zoom, según un plano adjunto. Se aportan también fotografías de las imágenes captadas por las cámaras así como explicación de las zonas captadas por las cámaras 13, 18 y 19 que según la empresa captan zonas anexas al edificio y que son propiedad también de la empresa. Se adjunta también imagen de la cámara ubicada en el comedor (cámara nº 26) de la planta -2. - Respecto de la finalidad por la cual se han instalado las mismas manifiestan que se ha realizado por dos motivos:  “La facultad del empresario que permite el artículo 20.3 del Estatuto de los Trabajadores, para verificar y controlar el cumplimiento por el trabajador de sus obligaciones y deberes laborales.  La necesidad de proteger el establecimiento contra el riesgo de intrusión debido a que nuestra actividad precisa que salvaguardemos los proyectos de nuestros clientes frente a robos o divulgación de información a empresas de la competencia”. - C/ Jorge Juan, 6 28001 – Madrid Respecto de la información facilitada a terceros sobre la existencia del sistema de videovigilancia, manifiestan que se ha dispuesto de un cartel www.agpd.es sedeagpd.gob.es 2/10 informativo ubicado a la entrada a las dependencias. Aportan fotografía del cartel. Respecto de su contenido, informa de que la zona se encuentra sujeta a videovigilancia, hace referencia a la LOPD e identifica al responsable recogiendo la dirección para el ejercicio de los derechos. - Respecto del formulario informativo que debe estar a disposición de los ciudadanos según se recoge en el artículo 3.b de la Instrucción 1/2006 y del procedimiento establecido para distribuir los formularios ante una petición del mismo, manifiestan que disponen de los citados formularios y que se encuentran a disposición de quien lo solicite. Aportan copia del formulario. Respecto de su contenido, informa de la finalidad del tratamiento de videovigilancia, el destinatario de los datos, la posibilidad de ejercitar los derechos de acceso, rectificación cancelación y oposición y el responsable del tratamiento y su dirección para el ejercicio de los derechos. - El sistema no se encuentra conectado a ninguna Central Receptora de Alarmas. - Las cámaras graban imágenes en un dispositivo grabador que las mantiene durante 30 días siendo borradas posteriormente. El fichero, con la denominación de VIDEOVIGILANCIA, se encuentra inscrito en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos. - Existe un acceso restringido tanto a las imágenes como al sistema de grabación, ya que únicamente cuatro personas disponen de acceso, protegido mediante un mecanismo de identificación y clave. - Respecto de la información a los trabajadores, aportan copia del acta de la reunión celebrada entre el Comité de Empresa y la Dirección de la Empresa en fecha de 20/1/2012 en la que la Dirección informa sobre el sistema de videovigilancia y entre otros aspectos se recoge que la finalidad del mismo es la seguridad y el control del personal. También señala la empresa que ha dispuesto de información sobre el sistema en la base de datos interna de la Empresa denominada INSTRUCCIONES Y MANUALES y que resulta accesible para los empleados a través de la aplicación LOTUS NOTES. También aporta copia de una instrucción interna (INSTRUCCIÓN Nº l002/12.0) en la que la Empresa identifica al responsable, informa acerca de la finalidad del sistema, los destinatarios de la información, la posibilidad de ejercer los derechos y el procedimiento establecido para ello, el periodo de retención de las imágenes y una referencia a las medidas de seguridad implantadas. TERCERO: Con fecha 3 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00193/2013. Dicho acuerdo fue notificado al denunciante y a la entidad denunciada. CUARTO: Con fecha 10 de octubre de 2013 se recibe en esta Agencia escrito de la entidad denunciada en el que comunica que “en vista que los motivos por ustedes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 aportados en este acuerdo de audiencia previa al apercibimiento, procede inmediatamente a retirar la cámara de la zona de comedor, aunque la intención de dicha cámara solo era para la prevención de la intrusión y por ello enfocaba a las ventanas del comedor, sin embargo adoptaremos otros medios para este fin. Por tanto, les comunicamos que hemos procedido a eliminar esta cámara. Les anexamos imágenes de la situación de la cámara y su visión antes de la notificación del acuerdo de audiencia previa al apercibimiento, y la situación de la cámara y su visión con posterioridad.” HECHOS PROBADOS PRIMERO: Consta que, en fecha 9 de octubre de 2012 tiene entrada en esta Agencia escrito del denunciante comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad COSTAISA S.A.. (en adelante el denunciado) instaladas en las dependencias de la empresa ubicadas en A.A.A.: las cámaras se encuentran instaladas en zonas de descanso del personal, los carteles informativos son insuficientes y no están ubicados en los lugares correctos, etc. SEGUNDO: Consta que la entidad responsable del sistema de video vigilancia es la entidad COSTAISA S.A.. TERCERO: Consta que en el centro de trabajo de la entidad denunciada se han instalado 30 cámaras de video vigilancia como consecuencia de la facultad que el art. 20.3 del Estatuto de los Trabajadores otorga al empresario, para verificar y controlar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, así como por motivos de seguridad. CUARTO: Consta que en el centro de trabajo se informa de la presencia de las cámaras mediante carteles en los que se recoge a la entidad responsable ante la que ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en los arts. 15 y siguientes de la LOPD, así como mediante la clausula informativa en la que se recoge la información prevista en el art. 5 LOPD, dándose con ello cumplimiento a lo previsto en el art. 5LOPD y 3 y Anexo de la Instrucción 1/2006. QUINTO: con respecto a la información a los trabajadores, consta en el expediente copia del acta de la reunión celebrada entre el Comité de Empresa y la Dirección de la empresa de fecha 20 de enero de 2012 en la que la Dirección informa sobre el sistema de video vigilancia, y, entre otros aspectos se recoge que la finalidad es la seguridad así como el control del personal. SEXTO: Consta que las cámaras efectúan grabaciones, creándose un fichero de datos personales cuya inscripción consta efectuada en el Registro General de esta Agencia, dándose con ello cumplimiento a lo dispuesto en el art. 26 LOPD y 7 de la Instrucción 1/2006. Asimismo, consta que las imágenes se conservan por un periodo de 30 días, de acuerdo con lo dispuesto en el art. 6 de la Instrucción 1/2006. SEPTIMO: Consta que las cámaras instaladas en el centro de trabajo de la entidad COSTAISA S.A.. se encuentran enfocando hacia el interior del mismo. De todas las cámaras instaladas, consta que una de ellas, denominada 26, se encontraba dirigida hacia las ventanas del comedor de los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 OCTAVO: Consta que en fecha 10 de octubre de 2013 tiene entrada en esta Agencia escrito del apoderado de la entidad denunciada en el que pone de manifiesto que se ha procedido a retirar la cámara nº 26, de tal manera que ya no se capten imágenes del comedor. Para acreditarlo presenta fotografías del lugar donde se encontraba la cámara, antes y después de retirarla. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Hay que señalar con carácter previo que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
2. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
3. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso, las mencionadas disposiciones no serán de aplicación. De acuerdo con aquella definición de tratamiento de datos personales, la captación de imágenes de las personas, constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. El artículo 5.1.
4. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” III La habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27/12, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23/11, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30/06, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la LOPD, por lo que ya no se precisa como regla general contar con una empresa instaladora para contar con un sistema de videovigilancia. Para la instalación y mantenimiento de los dispositivos de seguridad, no se exige como regla general el cumplimiento de los requisitos formales exigidos hasta la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 entrada en vigor de la Ley 25/2009, sino que podrá instalarlos y mantenerlos cualquier prestador de servicios. Sólo será necesario que se cumplan los requisitos exigidos tanto en la Ley de Seguridad Privada como en su Reglamento, y que hasta ahora debían de cumplirse en todos los casos; esto es, empresa de seguridad debidamente autorizada por el Ministerio del Interior, previa inscripción en su Registro y notificación del contrato, cuando el dispositivo de seguridad esté conectado a una central de alarmas. En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la instrucción 1/2006 de la Agencia Española de Protección de Datos. Así, el artículo 4 recoge que las imágenes que se capten serán las necesarias y no excesivas para la finalidad perseguida, En el presente caso, de acuerdo con las manifestaciones de los representantes de la entidad denunciada, las cámaras se habían instalado por motivos de seguridad y para verificar y controlar el cumplimiento por los trabajadores de sus obligaciones y deberes laborales. Así, de todas las cámaras instaladas, había una, denominada 26 que se encontraba instalada y enfocando a las ventanas que daban al comedor de los trabajadores, teniendo en cuenta que este espacio que puede afectar a la intimidad de los empleados. En este sentido, el artículo 4.1 de la LOPD determina: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo consagra el principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. La Instrucción 1/2006 de 8/11, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, BOE 12/12/2006, señala en su artículo 4: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” También en la exposición de motivos de la Instrucción se hace referencia a esta proporcionalidad en la instalación de estos sistemas, indicándose: ”Asimismo la proporcionalidad es un elemento fundamental en todos los ámbitos en los que se instalen sistemas de videovigilancia, dado que son numerosos los supuestos en los que la vulneración del mencionado principio puede llegar a generar situaciones abusivas, tales como la instalación de sistemas de vigilancia en espacios comunes, o aseos del lugar de trabajo. Por todo ello se trata de evitar la vigilancia omnipresente, con el fin de impedir la vulnerabilidad de la persona.” En el caso de tratamiento de datos en el interior de las Oficinas, que se realizan por motivos de control de los trabajadores, no se precisa del consentimiento de los empleados, y se puede efectuar también como ejercicio del poder empresarial de control que se atribuye al empresario (art. 20.3 de la Ley del Estatuto de los Trabajadores, en adelante LET), que comprende entre otras facultades, la de adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento del trabajador de sus obligaciones laborales. Mas esa facultad ha de producirse en todo caso, como es lógico, dentro del debido respeto a la dignidad del trabajador, como expresamente nos lo recuerda la normativa laboral (arts. 4.2. e y 20.3 LET). El Tribunal Constitucional (STCO 98/2000, de 10 de abril de 2000 destaca en su fundamento jurídico 6 que “La jurisprudencia de este Tribunal ha insistido reiteradamente en la plena efectividad de los derechos fundamentales del trabajador en el marco de la relación laboral, ya que ésta no puede implicar en modo alguno la privación de tales derechos para quienes prestan servicio en las organizaciones productivas, que no son ajenas a los principios y derechos constitucionales. Sin embargo no basta la mera manifestación del ejercicio del poder de control por el empleador para que el derecho del trabajador se vea sacrificado. Estas limitaciones empresariales tienen que ser las indispensables y estrictamente necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad.” En estos casos, asimismo, deben tenerse en cuenta los derechos específicos de los trabajadores respetando los derechos a la intimidad y el derecho fundamental a la protección de datos en relación a espacios vetados a la utilización de este tipo de medios, el derecho a la propia imagen de los trabajadores, así como la vida privada en el entorno laboral, no registrando las conversaciones privadas. Se garantizará el derecho a la información en la recogida de las imágenes con información específica a la representación sindical, mediante cartel anunciador y el impreso establecido en la Instrucción 1/2006, y mediante información personalizada. Se procederá en su caso a la creación y/o inscripción del correspondiente fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Se garantizará la cancelación de las imágenes en el plazo máximo de 30 días, y únicamente podrán conservarse aquellas que registren una infracción o incumplimiento de deberes laborales Se garantizará el derecho de acceso y cancelación. Así como la formalización, en su caso, de los contratos de acceso a los datos por cuenta de terceros, y la adopción de las correspondientes medidas de seguridad. En el presente supuesto, al evaluar la proporcionalidad e idoneidad de la instalación del sistema de videovigilancia hay que tener en cuenta que la cámara se encontraba enfocando hacia el comedor de los trabajadores. Por tanto, en el presente caso, la finalidad de seguridad en la instalación, así como el control de los trabajadores no es compatible con la toma de imágenes que se obtienen en el comedor de los trabajadores, significando una infracción del artículo 4.1 de la LOPD, constituyendo un medio intrusivo en la intimidad de las personas, e interfiriendo injustificadamente con ese derecho fundamental. Tras tenerse constancia de esta cámara se otorgó, por parte del Director de esta Agencia audiencia previa al apercibimiento, otorgándose un plazo para la presentación de alegaciones. En consecuencia, el apoderado de la entidad ha presentado, en fecha 10 de octubre de 2013 escrito de alegaciones, en el que pone de manifiesto que la intención de la cámara era la prevención de la intrusión, pero que tras recibir el acuerdo de audiencia, han procedido a retirarla. Para acreditarlo, presentan fotografías del lugar en el que se encontraba colocada la cámara, en la que se puede comprobar que ya no se encuentra instalada. Por todo ello, se va a apercibir a la entidad COSTAISA S.A.. por una infracción del art. 4.1, en la medida en que ha quedado acreditado la existencia de una cámara que captaba y grababa imágenes de la zona de comedor de los trabajadores, pero no se va a requerir ningún tipo de medida, puesto que la entidad denunciada ya ha acreditado que ha retirado dicha cámara. IV La infracción quedaría tipificada en el artículo 44.3
5. c)que considera grave,:”Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” La entidad denunciada, responsable del fichero, ha vulnerado un principio básico del derecho fundamental a la protección de datos, en concreto el principio de calidad de los datos en lo que se refiere al uso proporcional de los mismos, al permitir captar y grabar datos de carácter personal (imágenes) por la cámara que captaba y grababa imágenes del comedor de los trabajadores, afectando a su intimidad. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00193/2013) a la entidad COSTAISA S.A.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
10. c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a COSTAISA S.A.. 3.- NOTIFICAR el presente Acuerdo a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es