AAPP-00006-2016

1/10 Procedimiento Nº AP/00006/2016 RESOLUCIÓN: R/03133/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00006/2016, instruido por la Agencia Española de Protección de Datos a la entidad DIRECCIÓN GENERAL DE SERVICIOS PARA LA FAMILIA Y LA INFANCIA, del MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 23/11 y 28/12/2015, tuvieron entrada en la Agencia Española de Protección de Datos sendos escritos de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a la entidad Dirección General de Servicios para la Familia y la Infancia, del Ministerio de Sanidad, Servicios Sociales e Igualdad, por el envío a su dirección de correo electrónico ......@yahoo.es de dos mensajes, remitidos desde la dirección “....@auladirecta.com”, con las direcciones de correo electrónico de todos los destinatarios (más de 600 en un caso y más de 300 en el otro), incluida la suya, visibles para todos ellos. Muchas de estas direcciones de correo electrónico están integradas por el nombre y apellidos de su titular. Aporta una copia impresa de los correos electrónico que motivan la denuncia, de fecha 16/11/2015, que contiene la siguiente indicación como Asunto: “MSSSI – No admitido en: Intervención de los equipos multidisciplinares ante el maltrato filoparental: 60 horas” y “MSSSI – No admitido en: Intervención psicosocial en casos de violencia familiar: 30 horas”; y aparecen suscritos por el Área de Formación de la Dirección General de Servicios para la Familia y la Infancia. Según manifiesta la denunciante, estos correos tienen relación con su inscripción en unos cursos ofrecidos por el citado Ministerio, realizada a través de la URL https://www.msssi.gob.es.......htm. SEGUNDO: Con fecha 18/01/2016, por la Subdirección General de Inspección de Datos se accede al Registro General de Protección de Datos y se verifica que constan inscritos dos ficheros cuya titularidad corresponde a la Dirección General de Servicios para la Familia y la Infancia, denominados “Programa de Formación de la DGIS” y “Fichero de formación de cursos sobre infancia y familias”, ambos con nivel de seguridad básico. TERCERO: Con fecha 11 de julio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad Dirección General de Servicios para la Familia y la Infancia, del Ministerio de Sanidad, Servicios Sociales e Igualdad por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la Dirección General de Servicios para la Familia y la Infancia presentó escrito de alegaciones en el que solicita el archivo del procedimiento conforme a las consideraciones siguientes: . Para la gestión de los cursos organizados en el marco del Plan Anual de Formación en materia de Servicios Sociales, Familias e Infancia, y la asistencia técnica al alumnado y empresas que participan en los mismos, se contrata a una empresa especializada, la cual está obligada a aplicar la LOPD de acuerdo con lo establecido en el Pliego de Prescripciones Técnicas que rige la contratación. En este caso, resultó adjudicataria la entidad Aula Directa, S.L., que incluyó expresamente en su oferta la obligación de adoptar las medidas que garanticen la confidencialidad e integridad de la información y el respeto a la normativa de protección de datos de carácter personal. . En relación con los hechos que motivan la denuncia, señala la citada Dirección General que el día 16/11/2015 se llevó a cabo un mailing informativo dirigido a los solicitantes de cursos que no fueron admitidos, aunque se pudo haber optado por la publicación de los listados de admitidos y excluidos. El envío de estos mensajes se realizó por un empleado de Aula Directa, S.L. desde la cuenta “....@auladirecta.com”, con todos los destinatarios en copia visible por un error de dicho empleado y en contra de las instrucciones de la empresa. Este error fue inmediatamente subsanado y cancelado el contrato de trabajo de aquel empleado. . Tales hechos no son constitutivos de infracción alguna considerando que las personas que participan en el proceso de selección autorizan el uso de sus datos personales con dicha finalidad. Además, la única información que ha trascendido fue la dirección de correo electrónico de los destinatarios, a los que no se identifica, por lo que aquel dato no desvela información sobre la persona y no puede, por ello, tener carácter de dato protegido. Se trata de unos hechos aislados que no responden a una práctica habitual, que no han tenido trascendencia para los afectados y que no han producido beneficio alguno a la Dirección General de Servicios para la Familia y la Infancia. . No obstante lo expuesto, deja constancia de su compromiso de extremar la vigilancia para evitar incidencias futuras. Con su escrito de alegaciones, la citada Dirección General aporta copia de la documentación siguiente: . Pliego de Condiciones Técnicas que rige la contratación de una empresa, en el marco del Plan Anual de Formación para el año 2015, para la prestación de servicios de “Gestión del alumnado, asistencia técnica al alumnado y a las empresas que sean adjudicatarias de la impartición de los cursos, seguimiento de los cursos y explotación de los datos”. En cuanto a la “Gestión del alumnado”, este Pliego señala que la empresa adjudicataria se encargará de ejecutar el proceso de inscripción de solicitantes. Para la modalidad “on line” se establece expresamente que la notificación de la admisión o no admisión a los solicitantes se realizará por correo electrónico. El Pliego incluye un apartado de “Protección de datos” en el que se indica que “la empresa adjudicataria se compromete a aplicar y respetar en todos sus extremos con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 . Oferta presentada por la empresa adjudicataria del servicio, Aula Directa, S.L., en la que describe su propuesta técnica. En el apartado “Gestión del alumnado”, en cuanto a la notificación de la admisión o no admisión a los solicitantes, esta propuesta reproduce literalmente el contenido del Pliego. Y en el apartado “Protección de Datos” indica que “Auladirecta adopta, para la ejecución de todos los servicios que presta, las medidas necesarias para asegurar la disponibilidad, confidencialidad e integridad de los datos manejados y de la documentación facilitada”. . Impresión de pantalla correspondiente a la solicitud de inscripción, que incluye al pie una leyenda informativa en materia de protección de datos de carácter personal. QUINTO: Con fecha 26/10/2016, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducida a efectos probatorios la denuncia formulada y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio AP/00006/2016 formuladas por la Dirección General de Servicios para la Familia y la Infancia y la documentación que a ellas acompaña. SÉXTO: Con fecha 14/11/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad Dirección General de Servicios para la Familia y la Infancia ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículos 44.3.
2. d)de la misma norma; y que se requiera a dicha entidad para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del citado artículo. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo. SÉPTIMO: Notificada la citada propuesta, se recibe escrito de la entidad Dirección General de Servicios para la Familia y la Infancia en el que, después de reiterar sus alegaciones anteriores y señalar que los hechos se producen de manera excepcional, admite que pueden impartirse instrucciones más precisas que extremen el respeto a las previsiones de la LOPD y aumentar los controles sobre los procesos de comunicación con los usuarios/alumnos, así como a incluir cláusulas específicas en los pliegos de contratación que se aprueben para regir la próxima contratación de Plan de Formación con el contenido siguiente: “Por las características del servicio, la empresa adjudicataria deberá someterse a las normas de seguridad y control para dar cumplimiento a la Léy Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre. En el caso de tener personal en su plantilla para el desarrollo del servicio a contratar, la empresa adjudicataria se compromete a impartir a todas las personas a su cargo las instrucciones precisas para el efectivo y obligado cumplimiento de esas instrucciones y de la responsabilidad que asumen en virtud del presente contrato sobre confidencialidad y secreto. En este sentido, el adjudicatario realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios con su personal con el fin de asegurar el cumplimiento de tales obligaciones. Las obligaciones mencionadas en los párrafos anteriores tienen el carácter de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 obligaciones contractuales esenciales, cuyo incumplimiento será causa de resolución al amparo de lo dispuesto en el artículo 223.f del texto refundido de la Ley de Contratos del Sector Público”. HECHOS PROBADOS 1. La denunciante, a través de la URL https://www.msssi.gob.es.......htm, solicitó su inscripción como alumna en los cursos ofrecidos por la Dirección General de Servicios para la Familia y la Infancia, dentro del Plan Anual de Formación en materia de Servicios Sociales, Familias e Infancia. 2. Con fecha 16/11/2015, la denunciante recibió en su dirección de correo electrónico “......@yahoo.es” dos mensajes remitidos desde la dirección “....@auladirecta.com”, con las direcciones de correo electrónico de todos los destinatarios (más de 600 en un caso y más de 300 en el otro), incluida la suya, visibles para todos ellos. Muchas de estas direcciones de correo electrónico están integradas por el nombre y apellidos de su titular. Dichos correos contienen la siguiente indicación como Asunto: “MSSSI – No admitido en: Intervención de los equipos multidisciplinares ante el maltrato filoparental: 60 horas” y “MSSSI – No admitido en: Intervención psicosocial en casos de violencia familiar: 30 horas”; y aparecen suscritos por el Área de Formación de la Dirección General de Servicios para la Familia y la Infancia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Perfilándose el concepto de dato de carácter personal en el apartado
4. a)del artículo 3 de la citada LOPD, en el que se define como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Por otra parte, en relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD: “
6. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
7. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
8. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
9. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
10. c)del presente artículo.
11. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
12. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. A la vista de lo anterior, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular que lo identifique, como en el presente caso (la mayoría de las direcciones están compuestas por nombres y apellidos o iniciales y apellidos), en los cuales no existe duda de que dicha dirección ha de ser considerada como dato de carácter personal, o supuestos en los que la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta, de modo que no nos encontramos ante un dato de carácter personal, a no ser que otros datos (dominio, domicilio, etc.), conjunta o separadamente, permitan la identificación del sujeto sin un esfuerzo desproporcionado por parte de quien procede a la identificación, en cuyo caso, la dirección de correo electrónico quedará amparada por el régimen establecido en la LOPD. De acuerdo con lo expuesto, en este caso no se plantea duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 III El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que los datos no puedan revelarse ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, ha quedado acreditado en el expediente que la denunciante recibió dos correos electrónicos suscritos por el Área de Formación de la Dirección General de Servicios para la Familia y la Infancia, en los que se visualizaban datos personales de múltiples personas (más de 600 direcciones de correo en un caso y más de 300 en el otro, configuradas por nombres y apellidos), incluidos los de la denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. La entidad Dirección General de Servicios para la Familia y la Infancia ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. La Dirección General de Servicios para la Familia y la Infancia, a pesar de haber establecido el correo electrónico como forma de comunicación con los alumnos admitidos o solicitantes de cursos excluidos, no estableció ninguna medida para que las indicaciones anteriores fuesen respetadas. En definitiva, según ha quedado expuesto, consta que la entidad Dirección General de Servicios para la Familia y la Infancia reveló los datos personales de las personas que solicitaron on-line su inscripción como alumnos en el Plan de Formación desarrollado por aquella entidad, sin que estos afectados hubiesen prestado su consentimiento para ello y sin que existiera habilitación legal para la divulgación de datos personales realizada. La Dirección General de Servicios para la Familia y la Infancia no ha acreditado que dispusiera del consentimiento de los afectados, y no puede entenderse prestado el mismo por la mera inscripción de los cursos. Es cierto, como señala la citada entidad, que la solicitud formulada por los afectados permite la utilización de los datos recabados con la finalidad de gestionar el proceso de selección de alumnos, pero este consentimiento no alcanza a la comunicación de los datos personales a terceros no autorizados. Por otra parte, consta que en el mencionado proceso de selección de alumnos interviene como encargado del tratamiento la entidad Aula Directa, S.L., que colabora en el mismo como prestadora de servicios contratada al efecto por la Dirección General de Servicios para la Familia y la Infancia, que es la responsable del fichero y, por tanto, la entidad sobre la que recae el deber de secreto que impone el artículo 10 de la LOPD, como responsable de la custodia de los datos en cuestión, y la obligada a impartir a todas las personas que intervienen en el tratamiento de los datos las instrucciones precisas para que este deber quede garantizado y a adoptar todas las cautelas adecuadas para evitar el acceso a la información por parte de terceros. En este caso, no consta que la Dirección General de Servicios para la Familia y la Infancia hubiese impartido instrucciones precisas a Aula Directa, S.L. ni la documentación que rige la contratación formalizada por ambas entidades contiene ninguna cautela con la finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 expresada. IV El artículo 44.3.
13. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Así, la Dirección General de Servicios para la Familia y la Infancia ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando los datos personales de la denunciante y otros afectados. V En este caso, tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, la entidad Dirección General de Servicios para la Familia y la Infancia, para evitar la reiteración en la conducta sancionable, se ha comprometido a impartir instrucciones más precisas que extremen el respeto a las previsiones de la LOPD y aumentar los controles sobre los procesos de comunicación con los usuarios/alumnos, así como a incluir en los pliegos de contratación que se aprueben para regir la próxima contratación de Plan de Formación cláusulas específicas sobre el cumplimiento de las normas de seguridad y control previstas en la LOPD y para garantizar la confidencialidad y secreto de la información, estableciendo el incumplimiento de estas estipulaciones como causa de resolución de los contratos. Si bien, en la formalización de un contrato que conlleve el acceso a datos de carácter personal por las entidades prestadoras de servicios, deberán añadirse a lo expuesto las previsiones del artículo 12 de la LOPD, incluidas las medidas de seguridad que está obligado a cumplir la empresa contratada como encargada del tratamiento. Por tanto, se entiende que la Dirección General de Servicios para la Familia y la Infancia ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD similar a la examinada en el presente procedimiento, a fin de evitar su reiteración. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad DIRECCIÓN GENERAL DE SERVICIOS PARA LA FAMILIA Y LA INFANCIA, del MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
14. d)de dicha norma. SEGUNDO: DECLARAR que la entidad DIRECCIÓN GENERAL DE SERVICIOS PARA LA FAMILIA Y LA INFANCIA, del MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD, ha adoptado medidas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD similar a la examinada en el presente procedimiento, por lo que no procede instar la adopción de medidas correctoras. TERCERO: NOTIFICAR la presente resolución a la entidad DIRECCIÓN GENERAL DE SERVICIOS PARA LA FAMILIA Y LA INFANCIA, del MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD y a A.A.A.. CUARTO: COMUNICAR la presente resolución a la Defensora del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es