← España

AAPP-00003-2014

1/10 Procedimiento Nº AP/00003/2014 RESOLUCIÓN: R/01435/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00003/2014, instruido por la Agencia Española de Protección de Datos a la entidad MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4/2/13, tiene entrada en esta Agencia un escrito de la Policía Municipal de Madrid, al que se adjunta documentación encontrada por dicha autoridad, con fecha 26 de diciembre de 2012. La documentación que contiene información con datos personales, se encontraba en la vía pública, siendo retirada por una persona que se encontraba rebuscando en un contenedor de basura orgánica. La la documentación encontrada pertenece en gran parte al Ministerio de Industria Turismo y Comercio. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/1461/2013 y concluye la investigación con el informe de la Inspección de Datos de fecha 2/7/13: TERCERO: Por parte del Director de la Agencia se dictó Acuerdo de Inicio de Declaración de Infracción de Administraciones Públicas a MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO por la presunta infracción del art. 9 y 10 de la LOPD. CUARTO: Notificado el citado acuerdo de inicio se presentó escrito de alegaciones que se ha tenido en cuenta en la resolución de este procedimiento. QUINTO: Por el instructor del procedimiento se acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/01461/2013, así como la documental aportada por MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO y las alegaciones al Acuerdo de Inicio SEXTO: Se dictó propuesta de resolución, con fecha 27/05/14, en el sentido que por parte del Director de la Agencia de Protección de Datos se declare que el MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO ha infringido lo dispuesto en los artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de dicha norma. SEPTIMO: Han tenido entrada, con fecha 24/06/14, escrito de alegaciones ante dicha propuesta por parte de organismo denunciado solicitando el archivo del mismo al tratarse de un hecho puntual. Y que el organismo está elaborando un borrador de instrucción de Seguridad donde se establecen medidas concretas de protección de la información relacionada con la LOPD. HECHOS PROBADOS 1º Consta denuncia presentada por la Policía Municipal de Madrid, al que se adjunta documentación encontrada por dicha autoridad, con fecha 26/12/12. La documentación que contiene información con datos personales, se encontraba en la vía pública, siendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 retirada por una persona que se encontraba rebuscando en un contenedor de basura orgánica. Toda la documentación encontrada pertenece al Ministerio de Industria Turismo y Comercio. 2º Consta manifestaciones en el escrito de denuncia de la Policía Municipal en el sentido que, por los agentes actuantes, debido a la gran cantidad de documentación recuperada se optó por destruir de forma segura la mayor parte de esa, dejando tan sólo una pequeña muestra que se aportó junto al escrito de denuncia y aparece numerada en el mismo. 3º Consta Acta de Inspección levantada el día 29/4/13 en la sede del Ministerio de Industria, Turismo y Comercio. 4º Que el representante del Ministerio realizó en el transcurso de la misma las siguientes manifestaciones en relación a la documentación recuperada: * Toda la documentación mostrada pertenece a las Subdirecciones Generales de Fomento de la Sociedad de la Información y Coordinación y Ejecución de Programas. * Ambas Subdirecciones Generales dependían, en el momento en el que sucedieron los hechos, directamente de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información. * En la documentación hallada, se cita a la Dirección General de Telecomunicaciones y Tecnologías de la Información y la Dirección General de la Sociedad de la Información, atendiendo a la estructura orgánica de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información en el momento de elaboración de los documentos. * Casi la totalidad de los documentos mostrados corresponden a documentación incluida en expedientes derivados de programas de concesión de ayuda. No obstante, toda la documentación se encuentra automatizada, no existiendo expedientes en formato papel. * Por la fecha en la que fueron encontrados los documentos, el origen de los mismos podría ser la limpieza de un despacho realizada con motivo de la jubilación de un Vocal Asesor (Nivel 30), que podía tener en su poder dichos documentos. * En la actualidad la documentación en papel que se puede considerar confidencial o que contiene datos personales, es destruida en las máquinas destructoras existentes en los despachos, o bien se traslada a una destructora ubicada en el primer sótano del edificio, que tiene una capacidad mayor. * El resto de documentación que, en principio no contiene datos personales, es depositada en un contenedor de papel, que se encuentra ubicado dentro del recinto del Ministerio. Por este motivo no pueden dar explicación sobre los documentos que aparecieron en la vía pública. * El Ministerio, no cuenta con un protocolo establecido para la destrucción de documentación en papel, y no tienen constancia de que se hayan proporcionado instrucciones al respecto a los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 * En el Documento de Seguridad al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, no constan medidas de seguridad establecidas por este Organismo para la destrucción de la documentación en papel, ante lo que manifiestan que, no obstante, en el borrador del nuevo Documento de Seguridad, pendiente de aprobación, se ha incluido un apartado al respecto. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/06291/2013, se determinó que, salvo prueba en contrario, que la localización de documentación con datos de carácter personal que estaba abandonada en la vía pública accesible a terceros no autorizados, podía suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, así como el deber de guardar secreto profesional, hechos que motivan el inicio del presente procedimiento de declaración de infracción de las Administraciones Públicas. Por parte del MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO se han presentado las siguientes alegaciones, en síntesis al Acuerdo de Inicio: * Que examinados los documentos incautados por la Policía Municipal se pone de relieve que los datos que recogen son principalmente de personas jurídicas. Dichos datos principalmente no pertenecen a personas físicas y en ningún caso recogen datos especialmente protegidos. En el caso de los documentos en los que pueden aparecer datos personales, éstos son datos de cargos públicos * Los documentos localizados no son documentos originales, sino copias, correos de trabajo, por lo que no es seguro que sea responsable este Ministerio de haber abandonado allí dicha documentación. Que aunque no había protocolo establecido para la destrucción de documentos de papel y no tienen constancia que se haya proporcionado instrucciones al respecto no significa que no hubiese un uso y modo de proceder, consistente en la destrucción de la documentación en papel que se puede considerar confidencial. * Que el resto de la documentación que en principio no contiene datos personales es depositada en un contenedor de papel que se encuentra ubicado en el recinto del Ministerio * Que se está elaborando un borrador de la instrucción de Seguridad que además de mantener las referencias a la Ley Orgánica 15/99 incluye el tratamiento de la información diferenciando según su normativa reguladora. Se establecen medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 concretas de protección de la información relacionada con la LOPD y medidas concretas relacionadas con la protección de la documentación impresa que se adjuntan. III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  2. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
  3. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO es responsable de los ficheros y tratamientos, derivados de su actividad administrativa, y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. IV Se valora en este procedimiento si se ha producido por parte del Ministerio de Industria una vulneración de los artículos 9 y 10 de la LOPD en relación a la localización, por parte de la Policía Municipal de Madrid, de una documentación en la vía pública que procedían en su mayoría de dicho Organismo. El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse.” Según el relato de los hechos, una patrulla policial observó, el día 26 de diciembre de 2012, a un individuo que junto a un carro de supermercado se encontraba rebuscando y sacando documentos de un contenedor de basura. Dicha documentación procedía en su mayoría del Órgano denunciado. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 8, en su punto 3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
  4. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  5. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  6. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  7. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10
  8. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  9. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  10. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Dentro de estas últimas, en lo referente al nivel básico, deben tenerse en cuenta las siguientes prescripciones: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo Artículo 107. Dispositivos de almacenamiento. Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el acceso de personas no autorizadas. Artículo 108. Custodia de los soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” Debe tenerse en cuenta que muchos de los casos relacionados con la infracción de medidas de seguridad tienen que ver con la aparición en la vía pública de documentos que contenían datos de carácter personal de uso interno para la entidad; pudiendo tratarse de copias o documentos de trabajo, como en el caso que nos ocupa, sin embargo dicha localización implica que por parte del responsable o encargado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 tratamiento no se prestó la diligencia necesaria en orden a la observancia de las medidas de seguridad. Es decir, tal como interpreta la Audiencia Nacional: “No basta entonces con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto”. Es evidente, y en este sentido se expresa en el Reglamento de Desarrollo de la LOPD, que las medidas de seguridad deben reflejarse en unos protocolos de actuación para el caso concreto que se proceda al desecho o destrucción de la documentación, y que los mismos deben figurar en el documento de seguridad o en las instrucciones dictadas por el responsable. En el presente caso se ha manifestado por el Ministerio que aunque no había protocolo establecido para la destrucción de documentos de papel y no tienen constancia que se haya proporcionado instrucciones al respecto no significa que no hubiese un uso y modo de proceder, consistente en la destrucción de la documentación en papel que se puede considerar confidencial. Sin embargo no puede acogerse las manifestaciones de la entidad denunciada relativas a su no responsabilidad en la custodia, ya que, a pesar de lo manifestado más arriba, documentación con datos de carácter personal pudo ser recuperada posteriormente, – sin perjuicio que pueda existir un error personal en el tratamiento de ese material – lo que implicó que no se siguiera el circuito establecido para la destrucción de la documentación que fue posteriormente localizada en la vía pública El artículo 44.3
  11. h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte del se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos de carácter personal, cuya custodia era responsabilidad de esa entidad, acabaran siendo recuperados. La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Existe una obligación de resultado, que no se ha cumplido, existiendo una falta de negligencia del responsable del tratamiento, debiéndose valorarse positivamente la existencia de dichas medidas e instrucciones implementadas, y que se trate posiblemente de un hecho puntual, V El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18 de enero de 2002, recoge en su Fundamento de Derecho Segundo, y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Ahora bien la obligación impuesta por el artículo 10 debe entenderse como una obligación de resultado, donde lo relevante, tal como lo ha entendido la Audiencia Nacional, entre otras en la sentencia de 18/06/09, es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto), que exista o no una omisión de las medidas de seguridad. En el caso que nos ocupa, aún cuando la entidad denunciada es responsable de la custodia de la documentación, ésta se encontraba dentro de un contenedor de basura orgánica, y pasada a ser custodiada por la policía, por lo que no se puede considerar que fuera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 revelada a terceras personas vulnerando así el deber de secreto. Entendiéndose así que no se ha producido infracción del artículo 10 por parte de la denunciada. VI De acuerdo con los fundamentos anteriores, se deduce que por parte de la MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO, se ha producido una vulneración del principio de seguridad de los datos, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h de de la citada Ley Orgánica. SEGUNDO: DECLARAR que, debido a las circunstancias operantes en este caso y que se han sido contempladas en esta resolución; el carácter puntual del hecho, en el que ha podido influir la existencia de un error humano; y que por parte de dicho Organismo se está elaborando un borrador de instrucción de seguridad, donde se establecen medidas concretas de protección de la información relacionada con la LOPD; no se considera necesario requerir a la MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO que adopte nuevas medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD. No obstante de lo anterior, se solicita que remitan a esta Agencia, copia de la referida Instrucción de Seguridad una vez que esté implementada. TERCERO: NOTIFICAR la presente resolución a MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO y a la POLICIA MUNICIPAL DE MADRID CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.