1/10 Procedimiento Nº AP/00012/2016 RESOLUCIÓN: R/02522/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00012/2016, instruido por la Agencia Española de Protección de Datos a la UNIVERSIDAD DE SEVILLA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 8/05/2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que declara que al buscar en Google por su nombre obtiene en la página de resultados un enlace con una página web del Vicerrectorado de Investigación de la Universidad de Sevilla, en la que se informa de que ha sido sometido a una evaluación XXXX y el precio pagado por la misma. Aporta impresión de la página mencionada. Manifiesta que considera que la publicación de esta información le perjudica. Recibida esta denuncia, se ha constatado, en tres fechas distintas, la publicación de lo denunciado (que el denunciante se ha realizado una evaluación XXXX y el importe de la misma), emitiéndose Diligencias de constancia de hechos, de fechas 5/06/2015, 17/02 y 5/04/2016. Se comprueba que, sin que el usuario deba identificarse ni autenticarse, puede acceder a los datos del denunciante a través de la página web con dirección http://investigacion.us.es............... Se ha constatado asimismo, a través del sitio web http://investigacion.us.es, que el nombre de carpeta incluido en aquella dirección web, ####, corresponde al Sistema de Información sobre Investigación de la Universidad de Sevilla. SEGUNDO: Con fecha 11/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a UNIVERSIDAD DE SEVILLA por la presunta infracción de:
- a)Artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el 91 y 93 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tipificada como grave en el artículo 44.
- h)de la LOPD.
- b)Artículo 10 de la LOPD, tipificada como grave en el artículo 44.
- d)de la LOPD. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 10/05/2016 la denunciada indica: 1) En el sistema operativo en el que figuraban los datos objeto de la denuncia, denominado #### se pone de manifiesto con criterios de visibilidad, accesibilidad y publicidad tanto los recursos humanos como financieros con los que cuenta la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 investigación en el ámbito de la Universidad de Sevilla. Se recoge información de la producción científica de su personal docente e investigador adscrito, y en el marco de la normativa que resulta de aplicación. Informa que la página forma parte de un conjunto de páginas públicas, que corresponde a la memoria de investigación del año AA, y que actualmente no se encuentra enlazada desde la página principal de investigación, dado que estos enlaces solo se activan durante el periodo de revisión de la Memoria de Investigación “Hemos comprobado que aun así estas páginas se encuentran indexadas en GOOGLE, probablemente debido al hecho de que durante el tiempo de revisión, si están enlazadas y GOOGLE las guarda. Por esta razón, en la búsqueda por nombre del denunciante en GOOGLE aparecía la página.” 2) La información publicada se corresponde con fragmentos indexados de la “Memoria de investigación de la Universidad de Sevilla en el año AA” y en donde se hace referencia a los datos contenidos en un contrato ***** donde participa personal docente e investigador de la Universidad de Sevilla, adscrito a un determinado Departamento y Área de Conocimiento, y en donde se debe explicitar la fuente de financiación que justifica su ejecución. En concreto el caso denunciado aborda un peritaje efectuado por el Tribunal Interdiocesano de Sevilla, bajo la denominación “Evaluación XXXX” (*****1- A.A.A. 320,00 €. Reconocen haber usado el nombre y apellidos de una persona en la denominación dada a un determinado contrato de investigación, no coincidiendo con la interpretación dada por el denunciante. La identificación del mismo con su nombre y apellidos no responde al sujeto sobre el que se ha llevado a cabo el servicio correspondiente al contrato sino la identificación del Organismo financiador. En el presente caso, se produce el error a la vinculación de dato del pagador de los contratos de investigación ***** con aquellos que revistan un carácter identificativo de una persona física concreta a la hora de denominar o enunciar los elementos integrantes de dicho contrato. 3) Se han adoptado las medidas correctoras necesarias para impedir que vuelva a cometerse dicho error. Aportan copia de un informe técnico firmado el 3/05/2016 por la Directora del Secretariado de investigación en el que manifiesta respecto dicha página web: a. La información publicada hace referencia al contrato *****. En la página mencionada se publican, por cada grupo de investigación, todos los proyectos concedidos en convocatoria públicas y contratos ***** de investigación que la Universidad haya firmado este año. Cada entrada se publica según el esquema: TITULO/ORGANISMO FINANCIADOR/IMPORTE Investigadores. Aporta como ejemplos dos, en los que no se menciona ningún nombre y apellidos relacionado con la cuantía. b. Detalla que en el caso concreto se trataba de un contrato ***** mediante el cual se realizaba un peritaje para los Tribunales Interdiocesanos de Sevilla, siendo la investigadora encargada B.B.B. que pertenece a un grupo del Departamento. En este caso concreto, el “organismo financiador”, el que tiene que pagar el peritaje del contrato es una persona física y corresponde a la parte demandante del proceso peritado por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 los Tribunales Interdiocesanos. Esta persona coincide con el denunciante el procedimiento de la AEPD. Esta persona pagó el contrato y no fue objeto del estudio. Aporta copia de solicitud de formalización de convenio titulado: “Evaluación XXXX”, fecha inicio marzo 2014, fin mayo 2014, presupuesto 320 euros, firmado el 25/03/2014. En entidad financiadora del proyecto figuran los datos del denunciante, NIF, dirección, teléfono móvil y correo electrónico. En tipo de proyecto figura Dictamen técnico. En resumen declara que: “Se trata de realizar un informe de evaluación XXXX a dos sujetos de estudio”. En cuanto a la materia se trata de la práctica de una prueba pericial determinada por el Tribunal Interdiocesano de Sevilla en una causa de nulidad matrimonial, y determina que la parte demandante abonará 320 euros por los honorarios del Perito. c. Este problema afecta a otros contratos ***** firmados por investigadores del Departamento. Para evitar la confusión, el 26/04 de este año “hemos subido una versión” donde ya no se muestra el nombre del financiador si el mismo es una persona física. En dicha página se ha eliminado cualquier financiador que sea persona física. Aporta impresión de pantalla en la que junto al contrato y la cuantía, no figura dato de persona alguna, figurando el nombre de la persona integrante, responsable del contrato. CUARTO: Con fecha 20/05/2016 por ausencia del Instructor designado, se acuerda el cambio de Instructor del procedimiento. QUINTO: Con fecha 12/09/2016 se introduce en la web de GOOGLE el nombre y apellidos del denunciante, arrojando como resultado en primer lugar la referencia a la página investigación.us. Se imprime el formato pdf que sale y se hallan similares referencias a las aportadas por el denunciante en su denuncia (folios 3 a 8, 12 a 16), si bien en las que se imprimen no figuran ya los datos del denunciante. Pese a ello, en los expedientes referenciados como ***** que se visualizan, figura: “Evaluación XXXX, números 21 al 23 seguido por un nombre y apellidos y cantidades, o evaluación expediente ***/14 o evaluación y psicoterapia, todos ellos podrían ser supuestos como el denunciado, desconociéndose porque figuran indexados en GOOGLE, ni si dichas personas han dado su consentimiento. SEXTO: Con fecha 14/09/2016 se emitió propuesta de resolución del literal: “PRIMERO: Declarar que la UNIVERSIDAD DE SEVILLA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma. SEGUNDO: Declarar el ARCHIVO de la infracción del artículo 9.1 de la LOPD imputada a la UNIVERSIDAD DE SEVILLA en relación con el 91 y 93 del RLOPD tipificada como grave en el artículo 44.3.
- h)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 TERCERO: Requerir a la UNIVERSIDAD DE SEVILLA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, y en concreto la referida en el fundamento de derecho IV. “ SÉPTIMO: Frente a la propuesta, en el plazo otorgado no se recibieron alegaciones. HECHOS PROBADOS 1) El denunciante denuncia que sus datos figuran en la página web investigación.us.es......................., del Vicerrectorado de Investigación de la Universidad de Sevilla, aportando impresión de varias hojas sin numerar, que contienen cuadros de docentes del Departamento de XXXX así como cuadros de investigación adscritos al Departamento relacionados con proyectos de investigación e importe del mismo. El denunciante aporta una de las hojas en la que se refiere “Evaluación XXXX XVIII” 18 ***** con su nombre y apellidos, y la cantidad 320 euros, y los datos de una persona de la Universidad como persona responsable. La misma información figuraba sin necesidad de introducir contraseña, según impresión incorporada a este expediente el 5/06/2015 y el 17/02/2016 (1, 3, 8,11, 15,17 a 20, 24,36, 37). 2) #### es un sistema de información implementado en la página web de la Universidad de Sevilla que permite acceder a diversa información relacionada con los investigadores, contratos, dirección de proyectos de investigación, composición de grupos de investigación, alimentándose parcialmente de los datos de la Memoria anual de investigación. Se incluye información sobre la cuantía del proyecto y el financiador o pagador del mismo (25, 33). 3) La Universidad de Sevilla explica que en el caso denunciado, el denunciante fue el que abonó 320 euros por un peritaje que elaboró la profesora titular de la Facultad de XXXX de la Universidad de Sevilla, B.B.B., que se identificaba en proyecto como “Evaluación XXXX XVIII”. El coste del trabajo de 320 euros percibido por dicha persona en nombre de la Fundación de investigación de la Universidad de Sevilla respondía a la realización de un informe de evaluación XXXX de dos personas que encomienda el Tribunal Interdiocesano de Sevilla como prueba en una causa de nulidad matrimonial, debiendo los afectados abonar dicha cuantía de 320 euros. Por tanto el denunciante y sus datos figuraban como pagador de dicho informe, reconociendo la Universidad el error al incorporar dichos datos al vincular datos personales como pagador del peritaje no existiendo habilitación legal para dicha divulgación de datos. (33, 36,37, 39 a 46). 4) La Universidad de Sevilla desde el 26/04/2016 ha modificado la versión de las entradas que figuraran en la aplicación #### para que en los contratos o proyectos, no figure el nombre del “financiador” si es una persona física (37, 38), si bien en este caso no se trata de financiador sino de persona responsable del abono de un servicio en un proceso. 5) Las páginas que se aportan con la denuncia, según informa la denunciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 corresponden a parte de la memoria de investigación del año AA, si bien pasado el tiempo no se encuentran enlazadas desde la página principal de investigación. Estas páginas, según reconoce la denunciada, si se encuentran indexadas en GOOGLE
(36). Así, se verifica en este procedimiento el 12/09/2016 que en dicho buscador, introduciendo el nombre y apellidos del denunciante no salen los datos de este, pero si de otras personas físicas vinculadas a los mismos datos que el denunciante ha denunciado, “Evaluación XXXX”, nombres y apellidos y cuantías, relacionadas con contratos *****. (36, 49 a 51). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Según la denuncia, el hecho de que alguna persona, el denunciante, ha de abonar un peritaje es considerado o relacionado con un proyecto de investigación o con un contrato que financia el mismo. Esta circunstancia más ajustada realmente al abono por la prestación de unos servicios no justifica que los datos de dicho pagador figuren en la web pues no se trata claramente de un proyecto que financie el denunciante En este caso, al pago del servicio que se realiza a instancia del Tribunal Interdiocesano de Sevilla, que encomienda la tarea a la profesora y Psicóloga Dña. B.B.B. no aparece relacionado con proyecto financiado, y la inclusión de los datos del denunciante en dicha web supone la infracción imputada del artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” La Universidad de Sevilla, como sujeto responsable de la página web objeto de la denuncia, trata los datos automatizadamente en dicha página y en este caso, disponía de los datos del denunciante como sujeto responsable del abono del peritaje encomendado por el Tribunal Diocesano como prueba de un proceso matrimonial consistente en la evaluación XXXX de dos sujetos a estudio. Se acredita así la falta de relación causal para la exposición de los datos del denunciante como financiador o sujeto responsable de la financiación de un proyecto, cuando lo que realmente era la persona responsable del abono del servicio de peritaje en un proceso. Se acredita además con dicha exposición que los datos han sido expuestos sin habilitación legal. Además se han dado a conocer dando lugar a equívocos al relacionar su nombre y apellidos con una evaluación XXXX y una cuantía. Es de hacer notar que las mismas circunstancias concurren en otras personas cuyos datos constan indexados por GOOGLE aunque a partir de una determinada fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 la denunciada ha variado el sistema de publicar los datos. Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia n. 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este mismo sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: <<El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados – en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto>>. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El artículo 10, contiene una regla que afecta a la confidencialidad como parte de la seguridad, por lo que se refiere especialmente al responsable del fichero y a las personas que hayan participado en el tratamiento. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". Ahora bien, hay que tener en cuenta que en ocasiones la propia normativa exige la transmisión de la información y no existe un deber de secreto que resulte ilimitado y aplicable en cualquier caso. En este caso no existía causa para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 exponer los datos del denunciante por la circunstancia de que tuviera que abonar el coste del servicio procesal que instó el Juzgado, suponiendo la infracción del artículo 10 de la LOPD a través de la web de la Universidad. III La infracción aparece tipificada como grave en el artículo 44.3.
- d)de la LOPD que indica: ”La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” IV La segunda infracción imputada es la del artículo 9.1 en relación con los artículos 91 y 93 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); El artículo 9.1 indica “1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Artículo que se ha de enlazar con el 91 del RLOPD que sobre control de accesos, indica: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Y en conexión asimismo con el 93 del citado Reglamento, que precisa: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” En el presente supuesto, no se desvela incumplimiento de medidas de seguridad en el fichero de la denunciada o en el tratamiento del dato. La información que figura en la web está destinada para el público, y su acceso permite consultar proyectos y contratos así como responsables de los grupos de investigación, no es pues de uso limitado interno. Se trata de En este sentido, se produce una infracción del artículo 10 al introducir unos datos en la web en un supuesto sobre el que no había habilitación. Se acredita que dichos datos e información no debían estar en dicha web. No se acredita que dicha información podría estar en la web siendo accesible con contraseñas, ni se acreditan accesos no autorizados, sino simplemente que dichos datos no deberían haberse implementado. En consecuencia, procede el archivo de la infracción del artículo 9.1 imputada a la denunciada. V El artículo 46 de la LOPD sobre las infracciones de las Admiraciones Públicas indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Se aprecia que si bien la información denunciada por el denunciante en la que aparecían sus datos ya no figura en la página denunciada, si figura el mismo tipo de información y de datos de otros datos según reveló el acceso de 12/09/2015 cuya copia se acompaña en esta propuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Como medida a tomar por la denunciada, para la solución de dicha cuestión se le requiere para que elimine la información similar a la que ha sido objeto de esta denuncia, sobre los datos de las personas físicas que aparecen en el mismo apartado “Grupos de Investigación con Responsable en otros Departamentos” del folio 51, que se envía, puntos
- b)a f). Subsidiariamente, y caso de que dicha información estuviera indexada por GOOGLE, se le requiere para que remita escrito a GOOGLE SPAIN al objeto de que dichos datos sean retirados. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la UNIVERSIDAD DE SEVILLA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la UNIVERSIDAD DE SEVILLA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, Y elimine la información similar a la que ha sido objeto de esta denuncia, sobre los datos de las personas físicas que aparecen en el mismo apartado “Grupos de Investigación con Responsable en otros Departamentos, para lo que se abre expediente de actuaciones previas E/5284/2016. TERCERO: NOTIFICAR la presente resolución a la UNIVERSIDAD DE SEVILLA y a A.A.A.. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es