1/10 • Procedimiento Nº: A/00291/2017 RESOLUCIÓN: R/02928/2017 En el procedimiento A/00291/2017, instruido por la Agencia Española de Protección de Datos a A.A.A., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/06/2017, tiene entrada en esta Agencia un escrito remitido por Don B.B.B., en la que manifiesta lo siguiente: <<El pasado 16 de Mayo, un individuo de nombre A.A.A. realizó una difusión de mi currículo en un grupo de Facebook, PÚBLICO y ABIERTO, de nombre "***GRUPO.1". En dicho currículo, además de otros datos, mi dirección, número de teléfono y correo electrónico son perfectamente visibles, sin que en ningún caso se haya recabado mi consentimiento para dicha publicación. Además, desconozco cómo ha llegado a manos del señor A.A.A. mi currículum, aunque podría haberlo obtenido de portales como Linkedin o Infojobs, si bien mis configuraciones de publicidad en ambos portales impiden que mi hoja curricular sea accesible, salvo para empresas demandantes de personal. Una búsqueda en Google permite verificar que el señor A.A.A. figura como administrador de varias empresas, lo que podría haber utilizado para tener acceso a mis datos personales y, mucho más grave, difundirlos sin mi consentimiento. Del mismo modo, el currículo podría haber sido facilitado por el señor C.C.C., a quien yo mismo se lo había facilitado hace un par de años, cuando me encontraba buscando trabajo, con la finalidad de presentárselo a la administradora de su comunidad de vecinos y con quien mantenía una relación de amistad hoy devenida en enemistad manifiesta. El señor C.C.C. y el señor A.A.A. son amigos entre sí. Acompaña captura de pantalla de la publicación del currículo, que puede ser verificada en el enlace siguiente, previo log-in en FACEBOOK: https://***URL.1. En la misma, el denunciado en conversación con otras personas alude al denunciante, que no figura que participe en modo alguno en el Grupo, y a que “(...)”, o “(...)” SEGUNDO: Con fecha ***FECHA.1, figura Diligencia de Inspección en la que se verifica que a través de internet sigue accesible la información denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 TERCERO: Con fecha 4/09/2017 se recibe ampliación a la denuncia por parte del denunciante. Manifiesta que A.A.A.. ha vuelto a difundir su currículo en el grupo de FACEBOOK “***GRUPO.1”. A este grupo se accede mediante solicitud y cuenta con más de 7.000 miembros. Manifiesta que se puso en contacto con el Administrador del Grupo y se puso en contacto con el usuario denunciado, negándose a ello Aporta copia que así lo ratifica y en el que el denunciado se niega a retirarlo. En las inserciones del currículum, el denunciante vuelve a aludir en conversación, de nuevo al creador de los “fotoshops” CUARTO: El denunciante presenta una tercera ampliación de su denuncia el 14/09/2017. Expone que el denunciado ha realizado ocho nuevas difusiones de sus datos, en los canales de FACEBOOK: “***GRUPO.1” y “***GRUPO.1”. Aporta impresión de pantallas de 7 y 14/09/2017, en las que se aprecia que sobre la impresión del currículo a un lado, se indica ***GRUPO.1 y en otra pantalla el currículo del denunciante con su foto. Se otra impresión de pantalla con fecha 8/09/2017, con el mismo currículo en la página ***GRUPO.1. En la misma página figura también expuesto en otras horas del mismo día el mismo currículo. También indica que pidió al Administrador quitar dicho archivo, indicando este que ya había quitado algunos archivos, aportando copia de impresión de pantalla en tal sentido. Las expresiones que acompaña el denunciado a la inserción del currículum en conversación con otros, sin constar que lo haga el denunciante con expresiones como “(...)”, reiterando la inserción con “(...)”, “el autor”, o “de momento que sirva de recordatorio” QUINTO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. SEXTO: Con fecha 29/09/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00291/2017 por infracción de los artículos 6.1 y 10 de la LOPD, por parte de A.A.A.., tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- c)de la LOPD. SÉPTIMO: Con fecha 18/10/2017 el denunciado presenta alegaciones indicando: 1) El currículum del denunciante ha sido público en todo momento. Sus datos se publicaron en portales públicos como LINKEDIN o INFOJOBS, que los considera como “fuente de acceso público” y el mismo lo manifiesta. No es cierto que haya obtenido el currículum del denunciante accediendo a dichas páginas ni se lo ha cedido persona alguna. También lo ha publicado el mismo en FACEBOOK Y lo ha entregado a personas desde el año 2014. 2) El denunciante es un personaje público ostentó varios cargos como portavoz de ***PARTIDO POLITICO.1 en ***LOCALIDAD.1 y sigue perteneciendo al mismo. La gente ya conoce su actividad y los datos personales de una persona publica del partido. 3) Tuvo un juicio con el denunciante y este aportó a dicho proceso copia de su currículum como prueba y al ser el juicio público, el currículum “circuló públicamente” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 4) Los grupos de FACEBOOK “***GRUPO.1” y “***GRUPO.1” son canales no oficiales de participantes del partido político al cual “ambos pertenecemos”. 5) Libertad de expresión en los foros, como derecho constitucional. 6) Él no es el responsable de ninguno de los canales de FACEBOOK, solo un usuario. Los responsables de los datos de los participantes son los Administradores de dichas páginas. Él no es el responsable de los ficheros del Grupo. Para que se cancelen, el denunciante debe dirigirse a los mismos. HECHOS PROBADOS 1) B.B.B. denuncia a A.A.A.. por haber expuesto en un grupo de FACEBOOK público y abierto llamado “***GRUPO.1” su currículum profesional. Aportó impresión de pantalla de dicha página en la que en las referencias A.A.A. figuran comentarios del denunciante y “Ahí está el currículo”, aportando copia del mismo insertada en la página, pudiendo ver la foto del denunciante y la fecha 16/05. El currículum contiene estudios, cursos y desarrollo laboral desde 2003, dirección, correo electrónico y número de teléfono. El servicio de Inspección comprobó accediendo a FACEBOOK que en un foro en el que participaban varis personas se comenta la declaración del denunciante en un juicio y aparece el denunciado A.A.A. insertando el currículum del denunciante. También figura que el denunciado expone en dicha página parte de una sentencia en la que se puede leer que el denunciante denunció al denunciado por amenazas y la parte del fallo en la que se puede leer que queda absuelto del delito de amenazas. En impresión de noticia de la ***WEB.1 se imprime el ***FECHA.1 la noticia en la que consta una entre vista al denunciado que ostenta el cargo de ***PARTIDO POLITICO.2. 2) El denunciante amplía su denuncia el 4/09/2017, al verificar que con fecha 2/09/2017 aparece de nuevo expuesto por la misma persona el currículum en FACEBOOK, grupo “***GRUPO.1” aportando copia impresa de la misma. De nuevo el denunciante en escrito de 14/09/2017 manifiesta que se ha vuelto a publicar. Aporta copia de impresiones de pantallas de “***GRUPO.1” imprimidas el 8/09/2017 en la que al hilo de A.A.A. figuran de nuevo hasta cinco inserciones del currículum, y en el grupo ***GRUPO.1 el 7 y 9/09/2017, hasta 6 veces. 3) Antes de iniciarse este procedimiento, el 2/09/2017, el Administrador del grupo ***GRUPO.1 advirtió al denunciado que retirara dicho documento que contiene datos personales expuestos sin autorización del afectado, constando la negativa de este, que los expuso varias veces con posterioridad a dicha fecha. 4) No consta que el denunciante participara en ninguna de las conversaciones de los foros de FACEBOOK indicados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 3.
- j)de la LOPD, precisa sobre “fuentes accesibles al público:” aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencias que, en su caso, el abono de una contraprestación. Tienen consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.” Los datos que puedan constar en una página de internet, según esta definición, no se consideran fuentes accesibles al público. Por otro lado, de ser cierto que el denunciante repartiera físicamente su currículo a otras personas, ello no autoriza al denunciado a exponerlo en foros de FACEBOOK ni a exponerlo repetidamente, pues es distinto el medio empleado y sus resultados, constando además que no tiene el consentimiento del referido para dicha exposición. El derecho de protección de datos, de acuerdo con una de las sentencias del Tribunal Constitucional que lo configura, STC 292/2000, señala que "... el contenido del derecho fundamental de protección de datos consiste en un poder de disposición y control sobre los datos personales que faculta a la persona para decidir cuáles de sus datos proporciona a un tercero (...) estos poderes de disposición y control sobre los datos personales, que constituyen parte del derecho fundamental a la protección de datos se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular". Tampoco el hecho de que el denunciante aportara copia de dicho currículum en un juicio público convierte dicho documento en fuente de acceso público. No es lo mismo que el juicio sea público que los datos que aporten las partes en dicha sede se utilicen luego para ser expuestos en FACEBOOK. Que el procedimiento sea público no quiere decir que los datos manejados durante el mismo se puedan utilizar sin consentimiento del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 En cuanto a la libertad de expresión, el hecho de anexar en multitud de ocasiones un currículum va más allá de dicha libertad, usando datos personales sin el consentimiento del afectado que se exponen en FACEBOOK. El denunciado departe con otros usuarios y sin relación alguna, inserta, sube o cuelga el currículum. Se debe diferenciar la libertad de expresión con la vulneración del derecho fundamental a la protección de datos que se produce al subir el currículum que no guarda relación con las charlas que el denunciado mantiene en tono informal con otros usuarios. Para el citado derecho no es preciso ni aparece relacionado anexar dicho documento, teniendo además en cuenta que el denunciante no participa en modo alguno en dichos grupos. El artículo 6.1 LOPD dispone que "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa". Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. Se trata de una garantía fundamental que solo encuentra como excepciones a ese consentimiento del afectado, las establecidas en una ley, recogiéndose en el apartado 2 del citado artículo 6 LOPD una serie de excepciones a la prestación del citado consentimiento. El denunciado es el responsable del tratamiento llevado a cabo con el currículum del denunciante que en formato pdf o en fotografía ha subido en varias ocasiones a FACEBOOK. Nada se indica de fichero ni nada tiene que ver con el Administrador o creador de un grupo. Lo cierto es que el denunciado inserta nuevamente, aunque el Administrador elimine el archivo el currículum del denunciante. Diversas sentencias de la que se cita como muestra, una de lo civil, de la Audiencia Provincial de Asturias (Sección 7ª) núm. 20/2017 de 19/01, recurso de Apelación 526/2016 determina responsables de los hechos, en este caso exponer una sentencia con datos de otra en FACEBOOK como intromisión ilegítima al honor, indicando “La Sentencia dictada en la precedente instancia, estima sustancialmente la demanda interpuesta por F.F.F. frente a D.ª G.G.G., declarando que las publicaciones efectuadas por esta última los días 29 y 30 de julio de 2015 en su cuenta de Facebook suponen una intrusión en el derecho al honor de los demandantes y condena a la demanda a cesar en lo sucesivo en cualquier intromisión en su derecho al honor, publicar en su cuenta de Facebook el fallo de la sentencia y facilitar la parte dispositiva de la misma o el acceso a la cuenta de Facebook de la demanda a las dos personas que se indican y al abono solidario a los actores de la cantidad de 2.100 euros en concepto de daño moral así como al pago de las costas.” Respecto de la alegación del denunciado que el denunciante debió haber ejercitado el derecho de cancelación ante el Administrador, ya el denunciado conocería esta pretensión del denunciante pues figura en el procedimiento la conversación del denunciado con el Administrador de un Grupo con el resultado de la negativa a retirar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 el currículum, constando además que lo volvió a exponer. Por otro lado, el Administrador del grupo no tiene el archivo pdf que una y otra vez se ha colgado o subido a dicha página. Dicha acción ha sido realizada por el denunciado. El Administrador puede borrar comentarios o archivos, pero si estos se vuelven a insertar ningún efecto surge. El Administrador no es responsable de lo que cada usuario manifiesta o cuelga, que en este caso se acredita que tiene su origen en el denunciado. El Administrador puede haber creado el Grupo, pero el uso de la plataforma no le convierte en responsable de ficheros. Es más, en el presente supuesto se imputa al denunciado como responsable del tratamiento considerado este en el artículo 3.
- c)de la LOPD como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Tribunal de Justicia de la Unión Europea, en la sentencia de 6/11/2003 (caso Lindqvist. Asunto C-101/01) abordó la cuestión que estamos tratando, señalando lo siguiente: "El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b, de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46. " C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 La sentencia no distingue si la página web es propia o de otra persona, pero en este caso queda acreditado que la información conteniendo los datos ha sido expuesta en varias ocasiones por el denunciado, luego ha efectuado tantos tratamientos como ocasiones se ha subido dicho currículum. En cuanto a la alegación de que el denunciante es una persona con relevancia pública, se acredita que no ostenta ningún cargo público entendido como elegido por la ciudadanía, aunque haya desempeñado actuaciones relacionadas con una formación policita. Aunque sea una persona de relevancia pública no existe habilitación para la exposición del currículum sin su consentimiento en reiteradas ocasiones en FACEBOOK. Se acredita pues la comisión de la infracción del artículo 6.1 por el denunciado. La Infracción cometida por el denunciado aparece tipificada como grave en el artículo 44.3.
- b)de la LOPD, que considera como tal, “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III Don A.A.A. al exponer, sin consentimiento del denunciante en FACEBOOK el currículo del denunciante sin limitaciones, ha incurrido en la infracción del artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dicha infracción se encuentra tipificada en el artículo 44.3.
- d)de la LOPD que califica como grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. No queda en el presente supuesto acreditada que la posición del denunciado sea la de responsable del fichero que debía guardar datos del denunciante. Tampoco que ostentara alguna posición jurídica relacionada con el mismo para serle exigible el deber de secreto de los datos Así pues, se archiva esta infracción imputada al denunciado. IV El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IOS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD (artículo 45.5.a LOPD), concretamente: El volumen de los tratamientos efectuados. Ausencia de reincidencia, al no haber sido sancionado con anterioridad por la comisión de infracciones de la misma naturaleza. No constan perjuicios causados a la persona interesada o a terceras personas, salvo los que se desprenden de la infracción cometida. La falta de vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00291/2017) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. 2.- REQUERIR a D. A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto se insta al denunciado a retirar de cualquier grupo de FACEBOOK el archivo que contiene el currículum del denunciante. Deberá aportar e informar a esta AEPD en el plazo de diez días, con copia de impresión de la página, fecha y dirección web que existía y contenía el currículum expuesto, y copia impresa de la misma página sin el currículum, y la misma dirección URL, siendo además admisible cualquier otro medio de acreditación de tales extremos. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es