AI-00215-2023

1/11  Expediente N.º: EXP202304374 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de marzo de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra ECOSCOOTING DELIVERY, S.L. con NIF B65874893 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinatario de dos paquetes unificados en uno solo, cuya gestión de entrega le correspondía a la parte reclamada y señala que fue notificado en fecha 3 de marzo de 2023. Afirma que el mismo fue entregado a un conserje de su Comunidad de Propietarios, si bien en su edificio no hay conserje, por lo que señala que preguntó a vecinos de inmueble, sin que ninguno de ellos consta que fuera receptor del paquete, por lo que entiende que se ha entregado el mismo, con sus datos personales a un tercero, sin su consentimiento, exponiendo sus datos personales de forma inadecuada. La parte reclamante manifiesta que ha sido objeto de una vulneración de datos personales —incluyendo teléfono, dirección y correo electrónico—, así como de la pérdida de productos adquiridos, como consecuencia de un servicio deficiente prestado por la parte reclamada como empresa de transporte. Señala que se encontraba a la espera de la recepción de dos pedidos unificados que debían ser entregados por la mencionada empresa y que recibió una notificación de entrega a su correo electrónico, indicando que los paquetes habían sido entregados a un "conserje del edificio". Indica que esta afirmación le generó dudas de inmediato, dado que en el edificio en cuestión no existe personal de conserjería. Afirma que, tras llegar a su domicilio y verificar los buzones, no encontró los paquetes por lo que procedió a preguntar a los vecinos del edificio, quienes confirmaron no haber recibido dichos productos. Sin embargo, una vecina de su apartamento informó que un repartidor intentó hacer una entrega, pero que finalmente este colgó el telefonillo, dejando la entrega inconclusa y sin aportar mayor información sobre el paradero de los paquetes. La parte reclamante sostiene que esta situación ha generado dos problemáticas principales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 La pérdida de los productos adquiridos, lo que conlleva un perjuicio económico directo. La posible exposición y uso indebido de sus datos personales, que supone una grave vulneración de derechos fundamentales protegidos por la normativa vigente. Por ello, además de poner de manifiesto tales hechos, solicita una indemnización económica que compense tanto la pérdida de los productos como el daño causado por la exposición indebida de datos personales. - Junto a la notificación se aporta la siguiente documentación: Captura de pantalla de mensaje de correo electrónico enviado por la parte reclamada, donde se comunica lo siguiente: “Hola A.A.A., Su pedido con referencia ***REFERENCIA.1 ha sido entregado correctamente en Conserje”. - Captura de pantalla de un correo electrónico enviado por la parte reclamante a “custormersupport” a través del cual comunica: “Aún no sé dónde han entregado mis pedidos, ningún vecino mío lo tiene y no me han dejado nada en los buzones, espero tener respuesta por su parte.” Adjunta al correo electrónico una captura de pantalla en la que figura información de seguimiento del pedido ***REFERENCIA.1 y se indica para el 3 de marzo “Paquete entregado, Portero.” En la imagen consta, asimismo, como dirección de entrega: ***DIRECCIÓN.1”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5/04/2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 6 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 El 19/01/2024 (nº de registro REGAGE(...)) se recibe contestación al requerimiento de información efectuado en la que se pone de manifiesto por la parte reclamada: “……… el repartidor que debía realizar la entrega del paquete al Sr. A.A.A. forma parte de una de las flotas subcontratadas por Ecoscooting Delivery para proceder a los repartos, en concreto la empresa MAEGMANT SOLUCIONES SL.” “Asimismo, Ecoscooting Delivery firma con todas las flotas externas un protocolo de obligado cumplimiento por parte de las mismas donde se establecen las medidas que han de llevarse a cabo por los repartidores para realizar su trabajo con la diligencia debida……..” “Comprobando desde Ecoscooting el recibo de entrega que aportamos como Documento número 4 puede verse que en ningún caso pone en receptor que fuera un conserje quien recogió el paquete, sino que pone el nombre y apellido del reclamante, un DNI, que el reclamante desconoce y un garabato como firma, por lo que confirmamos que se produjo una falsa entrega del paquete.” “La falsa entrega se lleva a cabo de la siguiente manera: el repartidor tiene una cantidad determinada de paquetes que repartir en un día, como muchas veces no finalizan el reparto, los paquetes que devuelven a almacén, lo marcan como entregado inventando un DNI para que quede simulado que todos han sido entregados. Al día siguiente estos paquetes deberían volver a salir a reparto junto con los nuevos paquetes asignados para ese día, pero algunos de esos paquetes que ya deberían estar repartidos no vuelven a repartirse y se quedan en el almacén, por lo que el usuario el día anterior recibe el email conforme su paquete ha sido entregado a un DNI que desconoce (cuando es falso) y si al día siguiente el repartidor no lo vuelve a sacar en su reparto, el paquete se queda en el almacén de la flota subcontratada.” “Desde Ecoscooting solo se puede visualizar que el paquete ha sido entregado no pudiendo tener constancia de la falsa entrega hasta recibir aviso por parte de la denunciante conforme no ha recibido los paquetes que desde MAEGMANT SOLUCIONES SL se han reportado como entregados.” “Tal y como se puede apreciar en la explicación de los hechos, el repartidor no ha actuado de manera diligente y ha marcado el paquete como entregado cuando el paquete sigue en almacén por lo que los datos no han sido en ningún momento facilitados a terceras personas, pero la trazabilidad de la misma marca como entregado tanto para Ecoscooting como para la reclamante.” “…………. con anterioridad al reparto se envía correo electrónico al receptor del mismo para que preautorice la entrega en buzón, conserje o vecino, de esta manera en Ecoscooting queda constancia de esta preautorización y el repartidor puede dejar el paquete a terceras personas (Documento número 6)”. "Se adjunta en el escrito (documento número 6) correo electrónico tipo dirigido al destinatario para que pueda autorizar la entrega del paquete en "buzón, conserje/portero o vecino"". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 “Asimismo, la empresa dispone de un Análisis de Riesgos (aportado como Documento número 7), Registro de Actividad de Tratamiento (aportado como Documento número 8) y tiene firmado contrato de subencargado de tratamiento con ***EMPRESA.1 así como el contrato de subencargado de tratamiento con MAEGMANT SOLUCIONES SL (aportados como Documento número 1 y 2).” En cuanto a la acreditación documental de las medidas técnicas y organizativas adoptadas o modificadas para evitar, en lo posible, incidentes de seguridad como el sucedido el reclamado responde: “Desde el mes de agosto 23 en Ecoscooting se ha procedido a iniciar la implementación de nuevas medidas de seguridad para que la confidencialidad de los datos de los usuarios quede protegida y para que los repartidores de las flotas que le prestan los servicios realicen su trabajo de manera profesional: La prueba piloto implantada en Valencia en agosto en la que se modificaba la caratula de los envíos pasando a prescindir del número de móvil de los usuarios en las mismas (dejando solo los últimos cuatro dígitos del teléfono) ha empezado a implantarse a otras ciudades del resto de España y se prevé que durante el año 2024 se consolide en todo España…. Adjuntamos como Documento número 9 la nueva carátula de los envíos: ………” “Asimismo, se está requiriendo a las flotas el cumplimiento del DPA (ACUERDO DE PROCESAMIENTO DE DATOS) firmado con Ecoscooting como del anexo 5 puesto que ellos son responsables de que sus repartidores tengan una formación básica en protección de datos y cumplan con los protocolos establecidos en materia de protección de datos y confidencialidad de los datos………..” La parte reclamada adjunta contrato (…) de prestación de servicios y anexo de subencargado de tratamiento firmado con la empresa suministradora del producto (***EMPRESA.1), documento este que se encuentra en idioma inglés y en cuya página 1/56 indica (traducción no oficial): “1.- ***EMPRESA.1 está contratado por la plataforma de transacciones en línea de ***EMPRESA.2, otras plataformas de comercio electrónico o vendedores y compradores registrados en plataformas de comercio electrónico para proveerles a través de una plataforma de servicios de información logística desarrollada y operada por ***EMPRESA.1 de soluciones de servicios logísticos optimizada y servicios logísticos de manejo de información y cooperar con proveedores de servicios logísticos de alta calidad para proveer servicios de logística específicos; 2.- El proveedor de servicios logísticos posee las licencias y cualificaciones requeridas bajo las leyes de los países y regiones en los cuales provee servicios, así como recursos de servicio de valor añadido en relación con la provisión de Servicios de Logística Internacionales y oras logísticas y es capaz de proveer los Servicios de Logística Internacionales aquí especificados; 3.- El proveedor de servicios logísticos intenta cooperar con ***EMPRESA.1 como proveedor de servicios de ***EMPRESA.1, proveyéndole a ***EMPRESA.1 servicios de logística internacionales, quien ha sido contratado por plataformas de transacción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 de comercio electrónico, el vendedor o comprador registrado en las plataformas de transacción de comercio electrónico;” En la página 10/56 de dicho documento se indica (traducción no oficial): “El proveedor de servicios logísticos (el reclamado) garantiza que implementará las medidas técnicas y organizativas para la protección de los datos (

1. i)contra la destrucción ilegal o accidental, y (
2. ii)pérdida, alteración, divulgación no autorizada de los datos o acceso a los datos (Incidente de Seguridad). Tales medidas tienen que tener en cuenta el estado del arte, el coste de la implementación y la naturaleza, alcance, contexto y propósito del procesamiento, así como el riesgo de variar la probabilidad y severidad de los derechos y libertades de las personas naturales” En el apartado ACUERDO DE PROCESAMIENTO DE DATOS (DPA), página 33/56, se indica (traducción no oficial “***EMPRESA.1 es un encargado de datos personales en nombre de sus clientes (“Responsables”) (por ejemplo, vendedores online y operadores de plataformas de comercio electrónico tales como ***EMPRESA.3) y está regido por ciertas restricciones y obligaciones respecto a este procesamiento. ***EMPRESA.1 por la presente delega estas obligaciones a ECOSCOOTING DELIVERY S.L. (“Subencargado”) (la parte reclamada) el cual debe cumplir con las leyes de protección de datos en relación con sus obligaciones bajo este DPA. ” En la página 50/56, en el apartado “DELIVERIES” aparece un cuestionario hecho a ECOSCOOTING. En el subapartado 3 (“Delivery attemps”) en la pregunta (traducción no official): (¿Hacen entrega a vecinos o a cualquier otra dirección no indicada por el cliente?)” A lo cual se responde: (Sólo si el cliente lo autoriza)” Con lo cual se confirma que ***EMPRESA.1 tenía conocimiento de estos procedimientos de entrega a terceros. En el documento “DOC_2_DPAData_Processing_Agreement_MAEGMENT_ECO.pdf” adjunto por la parte reclamada se encuentra un “ACUERDO DE PROCESAMIENTO DE DATOS (DPA)” entre la parte reclamada y MAEGMANT SOLUCIONES SLU de cuya traducción del inglés se obtiene: ““ECOSCOOTING es un encargado de datos personales en nombre de sus clientes (“Responsables”) (por ejemplo, vendedores online y operadores de plataformas de comercio electrónico tales como ***EMPRESA.3 o clientes que usan las soluciones logísticas de ECOSCOOTING) y está regido por ciertas restricciones y obligaciones respecto a este procesamiento. ECOSCOOTING por la presente delega estas obligaciones a MAEGMANT SOLUCIONES S.L.U. (“Subencargado”) el cual debe cumplir con las leyes de protección de datos en relación con sus obligaciones bajo este DPA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 1.- Descripción del procesamiento: El procesamiento de los datos personales se llevará a cabo con el propósito de proveer los servicios e incluye categorías de datos personales tales como dirección, número de teléfono y nombre del contacto del remitente, así como dirección, número de teléfono y nombre del destinatario, número de orden de logística, información de seguimiento, información del producto, valor declarado, en la medida necesaria para la prestación de los servicios. ” (Traducción no oficial). En el mismo documento (página 5/11) se define SERVICIOS como: “Significa aquellos que se definen en el acuerdo, en particular Servicios Logísticos relevantes.” (Traducción no oficial). En el apartado D (SEGURIDAD) de dicho documento indica: “El subencargado implementará y mantendrá las medidas técnicas y organizativas diseñadas para prevenir brechas de datos personales. Tales medidas tendrán en cuenta el estado del arte, los costes de implementación y la naturaleza, alcance, contexto y propósitos del procesamiento, así como el riesgo de variar la probabilidad y severidad de los derechos y libertades de las personas naturales”. (Traducción no oficial) Se adjunta también (documento 4 “DOC_4_(...)__771_A.pdf”) el justificante de entrega del paquete con código ***REFERENCIA.1. En el mismo figura: “DESTINATARIO: A.A.A. ***DIRECCIÓN.1 TEL:+ +***TELÉFONO.1 RECIBÍ: Receptor: A.A.A. Documento: (…) (…) Rúbrica” La parte reclamada adjunta (documento “doc_5_(...)__771_a.pdf”) respuesta de ***EMPRESA.3 a la parte reclamante indicando que se va a proceder a la devolución del dinero y adjunta como documento 7documento “DOC7_ANALISIS_RIESGOS_ECOSCOOTING.pdf”). La parte reclamada adjunta documento “doc_3_Anexo_5_ECOFLOTAS.pdf” relativo a “PROTOCOLO DE ENTREGA” donde describe un supuesto código de conducta, confidencialidad y protección de datos que tanto los empleados del prestador de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 servicios como sus subcontratas indica que están obligados a cumplir, donde, entre otras cosas indica en su apartado g): “Si el usuario receptor del paquete no está en el domicilio ni es posible contactar con él, se deberá programar nueva entrega. NUNCA puede dejarse un paquete a un tercero sin autorización del usuario que debería recibirlo.” En respuesta de fecha 13/06/2024 y nº. de registro REGAGE(…) la parte reclamada adjunta protocolo de entrega firmado entre esta y MAEGMANT SOLUCIONES S.L.U. En este escrito, además, la parte reclamada indica que los datos personales que figuraban en el exterior del paquete eran: nombre y apellidos, dirección postal y teléfono de la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
3. f)y
4. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida y utilización de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, dirección postal y teléfono. Así mismo, la parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: “responsable del tratamiento” o “responsable”: la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo junto con otros, determine los fines y medios del tratamiento. III Principios relativos al tratamiento La letra
5. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El citado principio de confidencialidad conlleva que los datos personales deben ser tratados de manera que se garantice una seguridad adecuada, incluyendo la protección contra el tratamiento no autorizado o ilícito, la pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas y organizativas apropiadas. Por su parte, el incumplimiento de dicho principio de confidencialidad tiene lugar cuando los datos personales son expuestos, tratados o accedidos de forma no autorizada, debido a la inadecuación o falta de medidas técnicas u organizativas de cualquier tipo. En consecuencia, para que exista un incumplimiento de dicho principio debe haberse constatado que poder acreditarse que efectivamente ha ocurrido una exposición, tratamiento o cesión no autorizada de los datos personales. Por tanto, no basta con la mera sospecha; es necesario que exista evidencia concreta de que los datos fueron ilícitamente tratados. Por el contrario, si no se puede acreditar que los datos personales hayan sido tratados ilícitamente, no se puede concluir que ha habido un incumplimiento del principio de confidencialidad. En el presente caso no quedaría acreditado que el paquete se haya entregado a ningún tercero o persona no autorizada. La parte reclamada aportó un justificante de entrega en el domicilio de la parte reclamante, en el que figura este como receptor, si bien la firma o el número de DNI del “recibí” no coinciden con los suyos. En consecuencia, del justificante de entrega del recibí no queda acreditado que la entrega se realizara a un tercero. Según manifiesta la parte reclamada, en este caso, el repartidor no ha actuado de manera diligente y ha marcado el paquete como entregado, cuando este continuaba en almacén. Por tanto, asegura, los datos no han sido en ningún momento facilitados a terceras personas. Si bien este hecho no resulta probado, tampoco lo es lo contrario; esto es, que un tercero no autorizado haya recibido el paquete y, en consecuencia, haya tenido acceso a los datos personales de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 En este sentido, para poder iniciar un procedimiento sancionador se deben tener indicios o pruebas que lo motiven, teniendo en cuenta el principio de presunción de inocencia que rige el procedimiento administrativo de carácter sancionador. Es por ello, que si no existen los mismos, como ocurre en el presente caso, no resulta posible iniciar un procedimiento sancionador, Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. No en vano, el artículo 53.2
7. b)de la LPACAP reconoce el derecho de los presuntos responsables a “la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Pues bien, el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia implica que “cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación, como ocurre en este caso. Con respecto a solicitud de indemnización solicitada por la parte reclamante, resulta oportuno indicar que esta autoridad no tiene atribuida la competencia para determinar la existencia de dicha indemnización ni tampoco para, en su caso, la cuantía o alcance de la misma. Es cierto que el artículo 82.1 del RGPD otorga a las personas que hayan sufrido por daños y perjuicios como consecuencia de una infracción del citado Reglamento el derecho a recibir del responsable o el encargado una indemnización por dichos daños y perjuicios: “Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.” No obstante, ese derecho deberá de ser ejercitado en su caso mediante la presentación de la acción judicial ante los órganos judiciales competentes del correspondiente orden jurisdiccional, el cual va a depender, entre otros aspectos, de la naturaleza del responsable o encargado que haya sido responsable de dicha infracción. En este sentido se pronuncia el apartado sexto del citado del artículo 82 y el apartado segundo del artículo 79 del RGPD. “Artículo 82.6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 Las acciones judiciales en ejercicio del derecho a indemnización se presentarán ante los tribunales competentes con arreglo al Derecho del Estado miembro que se indica en el artículo 79, apartado 2. Artículo 79.2 Las acciones contra un responsable o encargado del tratamiento deberán ejercitarse ante los tribunales del Estado miembro en el que el responsable o encargado tenga un establecimiento. Alternativamente, tales acciones podrán ejercitarse ante los tribunales del Estado miembro en que el interesado tenga su residencia habitual, a menos que el responsable o el encargado sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos.” Por lo expuesto, sin perjuicio del derecho que asiste a la parte reclamante a reclamar dicha indemnización ante las autoridades jurisdiccionales competentes, la presente Autoridad no puede pronunciarse sobre la existencia, alcance o determinación de la cuantía, en base a los argumentos anteriormente esgrimidos. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ECOSCOOTING DELIVERY, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es