1/10 Procedimiento Nº AP/00062/2016 RESOLUCIÓN: R/00671/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00062/2016, instruido por la Agencia Española de Protección de Datos al SERVICIO ANDALUZ DE SALUD, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de octubre de 2016, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que declara expresamente lo siguiente: “Tras corroborar que en un expediente judicial, del cual soy acusación particular, existían documentos míos, remitidos por el Servicio de Registro del H.U. San Cecilio de Granada, que violan mi intimidad y la confidencialidad médico-paciente, comienzo a presentar reclamaciones por lo sucedido. El día 15 de abril del 2016, la AEPD resuelve a mi favor la tutela de derechos contra el Servicio de Registro del H.U. San Cecilio instalándoles a responder en un plazo de 10 días hábiles a la notificación no produciéndose esta en el plazo solicitado (resolución R/00764/2016) El mismo día 10 de noviembre de 2015 presento otra reclamación ante los SSCC del Servicio Andaluz de Salud relatando todo lo anterior y solicitando el acceso a la cesión de mis datos del historial para averiguar cómo y/o quién ha entregado esos datos de carácter reservado, instándoles a que tomasen las medidas oportunas para depurar responsabilidades en éste asunto (SSR/2015/0007729). A fecha del 25 de enero de 2016 me envía un listado de accesos. El 4 de febrero de 2016 realizo una reclamación de no conformidad, ya que puedo demostrar 11 accesos más que no mencionan en el listado, dejando claro que el acceso realizado en el que se ceden los datos a terceros y es el objeto de las reclamaciones no ha quedado registrado en su base de datos (SSR/2016/0000198). El 3 de marzo de 2016 dan una primera respuesta alegando “un posible error informático en la solicitud de los datos” y el día 5 de abril de 2016 alegan que “no están implementadas las auditorías de las consultas externas por lo que no existen datos auditados de los accesos”, dejando en evidencia la trazabilidad de su sistema. El 5 de mayo de 2016 vuelvo a presentar reclamación de no conformidad alegando que los centros tenían certificación avanzada durante la mayor parte de las fechas que solicito (SSR/2016/0001745) y denunciando el incumplimiento de la LOPD en varios puntos, sobre todo en la seguridad de mis datos y mis derechos de acceso. La respuesta emitida el 9 de junio del 2016 cierra el curso de las reclamaciones remitiéndome a lo ya contestado anteriormente y considerando que no existe motivo alguno para tomar medidas correctoras. El día 22 de septiembre de 2016 se envía desde el Complejo Hospitalario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Universitario de Granada respuesta a la notificación de la AEPD denegándome el acceso a mi historial y remitiéndome al Servicio de Atención al Cliente para exponer mi “situación así como los indicios de ilicitud de que tuviese conocimiento”. Dicha respuesta llega vía postal, por correo ordinario, encontrando la carta en mi buzón el día 6 de octubre. Quiero denunciar al Servicio de Registro del H. U. San Cecilio de Granada como responsable directo de la custodia de mi historial clínico de la Unidad de Salud Mental Comunitaria del Zaidín Centro por incumplimiento de mi derecho a la intimidad y la confidencialidad de mis datos clínicos pudiendo comprobar que durante el periodo comprendido entre el 01/10/2011 al 31/12/2014 se ha estado utilizando un programa de soporte de la historia clínica electrónica (Diraya) que no ha registrado todos los accesos a mis datos clínicos, con el agravante de que en dos ocasiones todo el contenido del historial de Salud Mental ha sido impreso, de manera lícita, y remitido a personal no sanitario (una vez a un juzgado de instrucción y otra a mí misma) sin que quede constancia de ello incumpliendo los artículos 9 y 10 de la ley 15/1999 de Protección de datos. En el presente procedimiento y con la documentación aportada en el mismo, se tiene en consideración que, ante la solicitud de información de la afectada sobre los accesos a su historia clínica, el Servicio Andaluz de Salud le ha comunicado que se le han enviado los datos que están disponibles en su historia de salud, y que durante el periodo solicitado por ella, del 1/10/2011 a 31/12/2014, aun no estaban implementadas las auditorías de consultas externas, por lo tanto no existen datos auditados acerca de los accesos a su Historia de Salud Mental. Los hechos denunciados podrían constituir un incumplimiento de las medidas de seguridad aplicables al no conservar los datos registrados sobre los accesos realizados a la historia clínica de la denunciante por el período mínimo de dos años según lo previsto en el punto 4 del artículo 103 del RLOPD y con los requisitos que en este artículo se mencionan sobre el Registro de Accesos. SEGUNDO: Con fecha 14 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al SERVICIO ANDALUZ DE SALUD (Hospital Universitario San Cecilio) por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 103 del reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. TERCERO: Con fecha 23 de diciembre de 2016, se procedió a la notificación del acuerdo de inicio al denunciado, según consta en el acuse emitido por el Servicio de Correos Notificado el acuerdo de inicio al denunciado, el SALUD no ha presentado alegaciones al respecto. SERVICIO ANDALUZ DE CUARTO: El artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 “
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” HECHOS PROBADOS PRIMERO: Doña A.A.A. denuncia que el H.U. San Cecilio de Granada ha facilitado datos que constan en su historia clínica al Juzgado de Instrucción nº 4 de San Vicente de Raspeig. SEGUNDO: Con fechas 15 de abril y 19 de agosto de 2015, Doña A.A.A. ejerció el derecho de acceso frente al H.U. San Cecilio, concretamente solicitaba los accesos a su historia clínica desde el día 01/10/2011 al 31/12/2014 y las cesiones y cesionarios que se realizaron. TERCERO: Al no recibir contestación adecuada, Doña A.A.A. presentó reclamación, que dio lugar a la Tutela de derechos, TD/01983/2015. Se resolvió con estimación de lo reclamado, en el sentido de que se facilitase el acceso a la información relativa a las posibles cesiones habidas en su historia clínica CUARTO: Con fecha 5 de abril de 2016, la Consejería de Salud, Servicio Andaluz de Salud, contestó a la denunciante indicándole expresamente lo siguiente: “…del 01/10/2011 a 31/12/2014 aún no estaban implementadas las auditorias de consultas externas, por lo tanto no existen datos auditados de los accesos a la Historia de Salud Mental reseñada en esta segunda reclamación”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública, prevé la posibilidad de que el acuerdo de iniciación puede ser considerado propuesta de resolución De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al posible sancionado en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 notificación del acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el sancionado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III La denunciante se refiere a dos posibles infracciones en su escrito de denuncia: no poder facilitar los accesos a su historia clínica durante un período de tiempo, y su cesión a los Tribunales. En relación al primero de los hechos denunciados, la Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” Por otra parte, el artículo 17 de la misma Ley, en su apartado 6 determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. IV El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. Con relación al “Registro de accesos”, y “Auditorias” el Reglamento de desarrollo de la LOPD, en sus artículos 96 y 103, aplicable a los datos de salud, establece: “Auditoría 1. A partir del nivel medio, los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título. Con carácter extraordinario deberá realizarse dicha auditoría siempre que se realicen modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoría inicia el cómputo de dos años señalado en el párrafo anterior. 2. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas. 3. Los informes de auditoría serán analizados por el responsable de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 competente, que elevará las conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas.” “Accesos 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
- a)Que el responsable del fichero o del tratamiento sea una persona física.
- b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” Esta es la concreta medida de seguridad de las legalmente previstas en la que se observa la falta del deber de cuidado en esta ocasión, dado que al no tener implementados los controles de auditoría no ha permitido conocer los accesos efectuados a la historia clínica de la denunciante, posibles cesiones y legitimidad de las mismas. En conclusión, en el presente caso ha quedado acreditado que entre octubre de 2011 y diciembre de 2014, el Servicio Andaluz de Salud no tenía implementada las medidas de seguridad adecuadas para auditar y verificar todos los accesos que se producían a la historia clínica de cualquier paciente. Todo ello lleva a considerar que por parte de la Consejería denunciada se carecía de un efectivo control de los accesos a la información recogida en el fichero de historias clínicas de sus pacientes, para el cumplimiento del principio de seguridad de los datos, consagrado en el artículo 9 de la LOPD. Un sistema que permita, no solo conocer los registros de todos los accesos que se realizan a cada una de las historias clínicas de sus pacientes, sino también que permita, por medio de la revisión periódica de esa información, la detección de problemas tales como los accesos injustificados. Con ello se garantizaría la seguridad de los datos de carácter personal y se evitaría su alteración, pérdida, tratamiento o acceso no autorizado, en definitiva, unas medidas de seguridad adecuadas que garanticen el derecho fundamental a la protección de datos personales. Por todo lo expuesto, se concluye que, en el presente caso no ha podido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 auditarse el registro de accesos a las historias clínicas. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En el presente caso ha quedado acreditado que el Servicio Andaluz de Salud, Consejería de Salud, carece de las medidas de seguridad que la Ley exige al responsable del fichero, dado que se ha constatado que no han auditado los accesos a la historia clínica de la denunciante de este procedimiento. VI En relación con la cesión de la historia clínica de la denunciante a un Juzgado de Instrucción, el artículo 11 de la LOPD, referido a la comunicación de datos, determina lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: …
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.” Si el Juzgado de Instrucción nº 4 de San Vicente de Raspeig, que tramitó el procedimiento al que se refiere en su escrito de denuncia, solicitó como prueba (o admitió la prueba propuesta) consistente en que se aportase parte o toda su historia clínica, no es necesario pedir consentimiento a los afectados por dicha cesión. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el supuesto presente, de la contestación del Servicio Andaluz de Salud se desprende que en la actualidad si tiene implementado el control de auditorías de acceso a las historias clínicas, por lo que no es necesario hacer requerimiento de nuevas medidas para adoptar. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO ANDALUZ DE SALUD, ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO ANDALUZ DE SALUD. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es