AI-00283-2024

1/11  Expediente N.º: EXP202405906 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de marzo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que le fue sustraído su documento de identidad de extranjero y que terceras personas, valiéndose de dicho documento, han realizado, sin su consentimiento, retiradas de efectivo en distintas sucursales bancarias, así como también varios cargos en sus cuentas bancarias. En concreto, manifiesta que, en fecha 21 de octubre de 2022, comprueba a través de su banca online que se han realizado dos transferencias desde su cuenta, sin su consentimiento, a dos cuentas distintas de la entidad ***ENTIDAD.1. Manifiesta que ***ENTIDAD.1 contactó con la parte reclamante para saber si era él quien estaba realizando dichas transferencias y al negarlo, la entidad canceló una tercera transferencia, además de informarle que dos personas habían entrado en una sucursal de dicha entidad con documentación de la parte reclamante intentando realizar diversas gestiones. Por otra parte, manifiesta que, en fecha 10 de noviembre de 2022, terceras personas se personaron en una oficina de CAIXABANK, S.A y realizaron una serie de movimientos y cargos, sin su consentimiento, en su cuenta bancaria, pese a estar bloqueada dicha cuenta y también bloqueadas sus tarjetas. Añade que, tras revisar las cámaras de videovigilancia de la oficina bancaria, se visualiza a dos personas realizando diversas gestiones en su cuenta. Manifiesta que presentó las correspondientes denuncias ante la Policía por los hechos descritos, así como también presentó denuncia ante la Policía facilitando los números de teléfono de los supuestos estafadores, afirmando que también le contactaban desde la aplicación china WeChat "con la excusa de que lo hacían en nombre de la policía internacional china". Junto a la reclamación aporta copia de varios extractos bancarios, sellados por CAIXABANK, S.A. en fecha 15 de noviembre de 2022, correspondientes a diversos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 cargos relativos a compras efectuadas en distintos comercios y disposiciones de efectivo en cajeros (desde el 10 hasta el 15 de noviembre de 2022), así como copia de solicitudes de emisión de transferencias de CAIXABANK, S.A., de fechas 10 y 11 de noviembre de 2022 y detalle del saldo y de traspasos relativos a la entidad (…). A su vez, aporta copia de tres denuncias presentadas ante la Policía, en fechas 21 de octubre y 15 de noviembre de 2022, así como el 8 de junio de 2023. Asimismo, aporta copia parcial de una Providencia (…), de fecha 9 de noviembre de 2022, por la que se libra oficio a ***ENTIDAD.1 para que facilite a dicho Juzgado la titularidad de 2 números de cuenta, todos los documentos presentados por dichos titulares y extracto de los movimientos bancarios del mes de octubre de 2022, así como también se ordena que se tome declaración testifical a dos testigos y se cite a los investigados para tomar declaración. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23 de abril de 2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 4 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 15/04/2025 se realiza por esta AEPD requerimiento de información a la parte reclamada, solicitando, entre otros aspectos, información sobre: - Medidas que se adoptaron para verificar la identidad de las personas que realizaron los movimientos en una oficina de su entidad y en la cuenta bancaria previamente bloqueada; - Medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. El 28/05/2025 la parte reclamada en respuesta al requerimiento de información realizado por la AEPD manifiesta, en resumen, que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 - Tiene conocimiento de que los hechos denunciados están siendo investigados por el (…), cita el número de diligencias previas, y manifiesta que no ha sido requerida en ese procedimiento. - La cuenta a que se refiere la parte reclamante no fue bloqueada en su día ni consta bloqueada a fecha del presente escrito. - No se han localizado las transferencias mencionadas en los atestados. - No dispone de ninguna oficina en la dirección mencionada en los atestados. Adjunta un resumen de la información personal y los productos y servicios contratados entre las partes. Tras la remisión de solicitudes de colaboración a las comisarías de Policía Nacional en que se realizaron los atestados, así como al Juzgado anteriormente citado, se recibe confirmación de que se están investigando los hechos, así como del número de diligencias previas. El 05/06/2025 se remite nuevo requerimiento de información a la parte reclamada, solicitando información sobre: - Las fechas de alta y baja y los procedimientos de autenticación de los usuarios de las tarjetas empleadas en los 21 cargos mencionados en las denuncias aportadas en la reclamación. - Los canales empleados y procedimientos de autenticación para las 5 transferencias mencionadas en las denuncias aportadas en la reclamación. - El funcionamiento del agregador financiero y el proceso de inclusión en el mismo de las cuentas que aparecen en el resumen de información personal de la parte reclamante remitido. - Información sobre las cuentas de la parte reclamante que figuran en el mencionado documento. - Historial de modificaciones en los sistemas de autenticación, credenciales, y datos de contacto de la parte reclamante. En su respuesta, la parte reclamada manifiesta en resumen: - Que los hechos denunciados por la parte reclamante están siendo investigados en el (…), y aporta el número de diligencias previas. - (…). - (…). - (…). - (…). - (…). - (…). - (…). - (…). Asimismo, la parte reclamada aporta una tabla con la información solicitada sobre el modo de autenticación en los 21 cargos empleando cuatro tarjetas diferentes. Nueve de las operaciones, de las dos tarjetas marcadas en azul y gris, correspondientes a extracciones de dinero en cajeros y compras presenciales por importes superiores a 50€, requirieron la introducción de PIN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 Las dos cuentas (…) que aparecen en el agregador financiero de CAIXABANK, a las que corresponden las consultas de saldos y movimientos de las páginas 29, 30 y 35 del documento remitido, y a las cuales se realizaron las transferencias que aparecen en las páginas 32 a 34, 37 a 41, 45 y 46 del mismo documento, figuran a nombre de la parte reclamante, que no menciona, ni en su reclamación ni en las denuncias aportadas, incidencias con la titularidad o sobre uso o modificación fraudulenta de las credenciales, relacionados con esas cuentas. Por otra parte, la parte reclamada indica que la numeración telefónica y el correo electrónico de la parte reclamante fueron modificadas el 10 de noviembre de 2022. A raíz de la respuesta de la parte reclamada, esta Agencia remite el 31 de julio de 2025 un requerimiento a la operadora asignataria de la nueva numeración solicitando información sobre los titulares de esta. La operadora responde el 12 de agosto de 2025 que, desde el 4 de noviembre de 2022 al 11 de junio de 2023, la línea ***TELÉFONO.1 estuvo a nombre de A.A.A. (…). Señala que no ha tenido portabilidades. Por otra parte, el 10 de julio de 2025 se envía requerimiento de información a ***ENTIDAD.1 para que proporcione información sobre: - Las transferencias mencionadas en los atestados, sobre las llamadas telefónicas mantenidas con el reclamante ese día 21 de octubre u otros cercanos en relación con esas transferencias, y sobre la presencia de terceras personas con documentos del afectado en sucursales de su entidad. - Los intentos de inclusión del afectado como titular o autorizado en cuentas ***ENTIDAD.1, o de cambio de datos de identificación o autenticación del afectado en ***ENTIDAD.1, durante el mes de octubre de 2022. El 30 de julio de 2025, ***ENTIDAD.1 remite contestación a esta Agencia, y señala, en resumen: que el reclamante no es cliente de esa entidad, que desconoce su número de teléfono por lo que no puede informar sobre las llamadas, y que no dispone de las grabaciones de las cámaras. Identifica al titular de las cuentas ***ENTIDAD.1 como B.B.B. (…), e indica que ambas cuentas fueron bloqueadas y una de ellas posteriormente cancelada. El 1 de agosto de 2025, la AEPD envía nuevo requerimiento de información a la parte reclamada, para que aporte: - Otras modificaciones en teléfono y correo electrónico de la parte reclamante. - Horas de contratación y activación de la tarjeta solicitada presencialmente en la oficina ***OFICINA.1. - Hora y lugar de contratación de la cuenta Imagin. - Identidad y domicilio del titular de las cuentas en que aparece la parte reclamante. - Identidad de las personas que aparecen asociados a “CaixaBank NOW” y titular de ese servicio sobre el que se proporcionaron las claves. - Datos identificativos de las operaciones realizadas a través de CaixaBank NOW y CaixaBank Sign. El 19 de agosto se recibe respuesta de la parte reclamada, que manifiesta, en resumen: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 - Respecto de las respuestas a anteriores requerimientos, que: “(…) también se señaló a esta Agencia que los hechos denunciados por el reclamante están siendo investigados por el Juzgado de Instrucción (…), por posibles indicios de fraude en las circunstancias objeto de la denuncia que trae causa de la presente reclamación (…)” - Respecto de otras modificaciones en el número de teléfono y correo electrónico, la parte reclamada responde: “El día 11 de noviembre se modifica el número de teléfono móvil, dando de baja el número ***TELÉFONO.1 y se da de alta el número ***TELÉFONO.2. La modificación se realiza presencialmente, en la oficina de ***OFICINA.1” La parte reclamada no había informado previamente de este segundo cambio en la numeración, que tuvo lugar al día siguiente de su primera modificación el 10 de noviembre. Como ya se ha indicado, la numeración ***TELÉFONO.2 está a nombre de la parte reclamante y la numeración ***TELÉFONO.1 a nombre de un tercero. - Respecto de la hora de contratación de la tarjeta (…): “La oficina ***OFICINA.1 no ha localizado el documento con la hora de contratación. Se solicitó que la tarjeta fuera enviada al domicilio del reclamante informado en nuestros sistemas (***DIRECCIÓN.1). La activación se realiza a las 18:39 horas, mediante la banca digital (CaixaBank NOW).” La parte reclamada manifiesta que no puede aportar la hora de contratación de esa tarjeta en la oficina ***OFICINA.1. Según había manifestado la parte reclamada en su contestación de 05/06/2025, la parte reclamante contrató el servicio de banca online CaixaBank NOW el mismo día 10 de noviembre de 2022 de forma presencial en la oficina ***OFICINA.2; esa y las otras tarjetas cuyos cargos fueron objeto de denuncia, fueron activadas entre los días 10 y 12 de noviembre a través de la banca online, y dadas de baja entre los días 15 y 17 del mismo mes. - Respecto de la cuenta (…): que la misma fue contratada a través de banca digital CaixaBank NOW, el 10 de noviembre por la tarde, con identificación mediante usuario y PIN. - Sobre la persona que aparece como titular en cuatro de las cinco cuentas que aparecen en el documento que contiene los productos que el reclamante tiene contratados con su entidad, remitido en contestación al primer requerimiento, proporciona los siguientes datos: C.C.C.; (…); ***DIRECCIÓN.1; ***TELÉFONO.3; ***EMAIL.1. - La dirección coincide con la de la parte reclamante. - Respecto de las contrataciones del servicio CaixaBank NOW que aparecen en documento que contiene la información sobre los productos del reclamante con la entidad, señala que el contrato (…) (alta en 2019), tiene como titular una mancomunidad de vecinos y como representante la parte reclamante; que el contrato (…) (alta en 2004), tiene como titular una comunidad de propietarios y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 como representante la parte reclamante; que el contrato (…) (alta en diciembre de 2022) tiene por titular a la parte reclamante. Es decir, la parte reclamante figuraba en noviembre de 2022 como representante en dos cuentas del servicio CaixaBank NOW y sobre una de ellas, la (…), se solicitaron las credenciales el 10 de noviembre de 2022 presencialmente en la oficina ***OFICINA.2; esas credenciales se emplearon para contratar el Agregador financiero, solicitar y dar de alta de tarjetas de crédito y realizar transferencias sobre las cuentas de la parte reclamante. - Respecto de los datos de las operaciones realizadas a través de CaixaBank NOW, así como de las firmas a través del servicio CaixaBank Sign, la parte reclamada manifiesta: “La ausencia por vacaciones de una parte importante de los equipos dificulta la recopilación de alguna información histórica, como la solicitada en el presente apartado. Les informamos que estamos trabajando en la recopilación de la misma para facilitarla a esta Agencia tan pronto como resulte posible.” No consta la recepción de la mencionada información. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " V Presunción de inocencia La Sentencia del Tribunal Constitucional de 20 de febrero -S 44/1989- indica lo siguiente: (…) "Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate. Desde la perspectiva constitucional la diferenciación entre la presunción de inocencia y la regla in dubio pro reo resulta necesaria en la medida que la presunción de inocencia ha sido configurada por el artículo 24.2 de la Constitución como garantía procesal del imputado y derecho fundamental del ciudadano protegible en la vía de amparo, lo que no ocurre propiamente con la regla in dubio pro reo, condición o exigencia subjetiva del convencimiento del órgano judicial en la valoración de la prueba inculpatoria existente aportada al proceso. Es cierto que la distinción entre medio probatorio y resultado probatorio no puede ser tan radical en cuanto que la presunción de inocencia es también una regla de juicio a favor de ella que obliga a decidir a favor de la presunción de inocencia cuando no existan pruebas de las que pueda deducirse la culpabilidad, esto es, pruebas de carácter inculpatorio. El que ahora el principio pro reo pueda tener un más sólido fundamento constitucional no permite que pueda confundirse el principio in dubio pro reo con el derecho constitucional a la presunción de inocencia, ni tampoco convertir el proceso de amparo en una nueva instancia en que pueda discutirse el resultado valorativo de una actividad probatoria de cargo realizada en el juicio oral y con todas las garantías" (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
14. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” VI Conclusión En el caso que nos ocupa, el 4 de marzo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra CAIXABANK, S.A. por una posible suplantación de identidad con consecuencia de fraude bancario. La parte reclamante manifiesta que, tras robar su documento de identidad y suplantando su identidad, terceras personas realizaron de forma fraudulenta varias transferencias a cuentas bancarias de titularidad ajena, así como compras y retiradas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 de efectivo en cajeros con varias tarjetas de crédito. Aporta documentos bancarios de los movimientos y cargos que señala como fraudulentos, copias de algunas de las denuncias presentadas ante la Policía Nacional, así como de una providencia de diligencias previas de un juzgado de instrucción. Por todo ello, se concluye que aunque como consecuencia de la denuncia presentada ante la policía por los hechos denunciados por la parte reclamante, estos están siendo investigados en el (…), no se han encontrado evidencias suficientes que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, ya que no se ha acreditado que la actuación de la entidad reclamada fuera irregular. En este sentido, no consta, con la documentación obrante en el expediente, que la entidad reclamada fuera responsable de la posible suplantación de identidad o que, esta, en su caso, se debiera a un fallo en los mecanismos de verificación o en las medidas de seguridad implantadas por la parte reclamada. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es