1/10 Procedimiento Nº: E/03783/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 30 de abril de 2020 la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación en relación con la Orden del Ministerio del Interior ***ORDEN.1, de ***FECHA.1, que establece en el apartado Cuarto punto 8, 2º párrafo que, por parte de los Cuerpos policiales actuantes y los centros competentes de la Secretaría de Estado de Seguridad, se impartirán directrices para prevenir y minimizar los efectos de la desinformación, extremándose la vigilancia y monitorización de las redes y páginas web en las que se difundan mensajes e informaciones falsas orientadas a incrementar el estrés social, e instando en su caso las medidas de intervención previstas en la legislación aplicable, y a las noticias aparecidas en diversos medios de comunicación sobre la elaboración de un informe dedicado a la identificación, estudio y seguimiento, en relación con la situación creada por el COVID-19 de campañas de desinformación, así como publicaciones desmintiendo bulos y fake news susceptibles de generación de estrés social y desafección a instituciones del Gobierno, indicadas en la Orden de Servicio ***ORDEN.2 (ECHO-ALFA) de la Dirección General de la Guardia Civil. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: Con fecha 30 de abril de 2020 se requiere a la Secretaría de Estado de Seguridad del Ministerio del Interior (en adelante SES) información en relación con la Orden ***ORDEN.1 de ***FECHA.1 y con la Orden de Servicio ***ORDEN.2 (ECHO-ALFA) de la Dirección General de la Guardia Civil, específicamente se solicita información sobre cuáles son las finalidades concretas de los tratamientos de datos personales realizados en las citadas actuaciones tanto por la Dirección General de la Policía como por la Guardia Civil, la tipología de datos recabados en estos tratamientos y periodo de conservación previsto por dichos tratamientos, el número de afectados de dichos tratamientos y qué autoridades se han contemplado como destinatarios de los datos. Con fecha 14 de mayo de 2020 tiene entrada en la Agencia Española de Protección de Datos (en adelante AEPD) un escrito remitido por el Delegado de Protección de Datos del Ministerio del Interior en el que manifiesta que tras recabar los informes oportunos de la Dirección General de la Policía y de la Dirección General de la Guardia Civil, trasladan las siguientes consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 “En cuanto a la obtención de información en fuentes abiertas del denominado Ciberespacio (redes y páginas Web) indican que la Estrategia de Seguridad Nacional vigente (en adelante, ESN), aprobada mediante Real Decreto 1008/2017, de 1 de diciembre, advierte de “la utilización del ciberespacio como medio para la realización de actividades ilícitas, acciones de desinformación, propaganda o financiación terrorista y actividades de crimen organizado, entre otras, impacta en la Seguridad Nacional, amplificando la complejidad y la incertidumbre, y también pone en riesgo la propia privacidad de los ciudadanos.” Dentro de los objetivos generales que persigue la ESN se encuentra profundizar y adaptar el modelo integral de gestión de crisis en el marco del Sistema de Seguridad Nacional con el fin de proporcionar respuestas eficaces y oportunas a las amenazas y desafíos del panorama actual por lo que la gestión de crisis comporta varias fases en un arco temporal que abarca desde la alerta temprana hasta la respuesta en el que es importante fomentar un enfoque preventivo y anticipatorio, para el que cobran particular relevancia el seguimiento permanente del entorno de seguridad y sus constantes cambios, los sistemas de inteligencia e información, el desarrollo de metodologías de análisis de riesgos y de instrumentos que contribuyan a la protección contra la desinformación. En el marco de la gestión de crisis originada por el COVID-19 y siguiendo lo dispuesto en la ESN, ese Departamento estableció mediante Orden ***ORDEN.1, de ***FECHA.1, los criterios de actuación para las Fuerzas y Cuerpos de Seguridad en relación con el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-
- En dicha Orden se dispone en su apartado Primero.3, que las medidas previstas en la misma se aplicarán de acuerdo con los principios de proporcionalidad y necesidad, con la finalidad de proteger la salud y seguridad de los ciudadanos y contener la progresión de la enfermedad. El apartado objeto de análisis señala concretamente que “por parte de los Cuerpos policiales actuantes y los centros competentes de la Secretaría de Estado de Seguridad se impartirán directrices para prevenir y minimizar los efectos de la desinformación, extremándose la vigilancia y monitorización de las redes y páginas web en las que se difundan mensajes e informaciones falsas orientadas a incrementar el estrés social, e instando en su caso las medidas de intervención previstas en la legislación aplicable”. Dentro de las labores de vigilancia y monitorización de las redes y páginas web, únicamente se intervendrá de acuerdo con los fines y principios citados y siempre al amparo de la legislación aplicable. En el caso de que en el transcurso del análisis de la zona “en abierto” de dichas fuentes se observasen indicios racionales de la comisión de un ilícito penal, se obrará bajo la correspondiente autorización judicial para el tratamiento de datos de carácter personal, el cual quedaría en este caso amparado por lo dispuesto en la Directiva (UE) 2016/680, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 En el caso que estas actividades se refieran a la investigación de amenazas contra la Seguridad Nacional, no entrarían dentro del ámbito de aplicación del RGPD ni de la mentada Directiva, sino que se tratarían al amparo de la normativa relativa a secretos oficiales y materias clasificadas. En este sentido, en concreto en el mencionado ámbito de la Guardia Civil, la Orden complementaria nº 2 de la Orden de Servicio ***ORDEN.2 (ECHOALFA), citada en el requerimiento de la AEPD, recoge de forma genérica lo dispuesto en la antedicha Orden ***ORDEN.1, de ***FECHA.1, concretamente dispone que se incremente (no que se implemente puesto que es una misión legal derivada del artículo 11 de la Ley Orgánica 2/1986, de 13 de marzo de Fuerzas y Cuerpos de Seguridad) la vigilancia de las redes sociales para la detección de actividades de desinformación. En virtud de lo anterior, por parte de las Fuerzas y Cuerpos de Seguridad del Estado se lleva a cabo una monitorización activa del ciberespacio, al objeto de cubrir las necesidades de inteligencia en el ámbito de sus funciones relacionadas con la lucha contra el terrorismo y otras formas graves de delincuencia organizada en este ámbito, realizar una detección temprana de ciberamenazas, que puedan afectar a los Sistemas de Información TIC (Tecnologías de la Información y Comunicaciones) de las organizaciones catalogadas como infraestructuras críticas, y las dependientes de los principales organismos del Estado implicados en la gestión y tratamiento de la crisis sanitaria motivada por el COVID-19, y actividades de desinformación. En estas actividades, a priori, no se lleva a cabo ningún tratamiento de datos personales, circunscribiéndose a la observación diaria de noticias o informaciones públicas de redes sociales, en que la información recabada se refiere a datos de carácter público, compartidos por sus autores a través de redes sociales y medios públicos de comunicación, consistentes fundamentalmente en el contenido de la comunicación y el medio de difusión. En el caso de detectar algún ilícito penal se instruyen las correspondientes diligencias y se ponen las actuaciones a disposición de la autoridad judicial competente.” En respuesta a las específicas cuestiones planteadas en el requerimiento de información se dan las siguientes respuestas: En relación con las finalidades concretas de los tratamientos de datos personales realizados en las citadas actuaciones tanto por la Dirección General de la Policía como por la Guardia Civil se expone que: “No se han realizado tratamientos de carácter personal específicos en virtud de lo dispuesto en el párrafo 2 del apartado 4.8 de la Orden ***ORDEN.1, de ***FECHA.
- En el caso de que de la supervisión de fuentes abiertas en el Ciberespacio se detectase algún ilícito penal se procedería a llevar a cabo el correspondiente tratamiento de conformidad con lo que determinan las leyes procesales penales y las de protección de datos aplicables. En el supuesto de que se detecte alguna amenaza contra la Seguridad Nacional se obra de conformidad con lo que determina la normativa sobre secretos oficiales y materias clasificadas; así como el resto que le sea de aplicación al supuesto.” En relación con la tipología de datos recabados en estos tratamientos y periodo de conservación previsto por dichos tratamientos, manifiestan que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 “No se han recabado datos de carácter personal en relación con la citada actividad de supervisión del Ciberespacio. En el caso de que en dichas actividades hubiese detectado un ilícito penal o una amenaza contra la Seguridad Nacional el tratamiento de identificadores y/o datos personales se realizaría de conformidad con la normativa procesal penal, la normativa de protección de datos aplicable, la normativa sobre materias clasificadas y cualquiera otra que resultase de aplicación.” En relación con el número de afectados de dichos tratamientos, se afirma que “No se han identificado personas en relación con la citada actividad de supervisión del Ciberespacio. En el caso de que en dichas actividades hubiese detectado un ilícito penal o una amenaza contra la Seguridad Nacional la obtención o tratamiento de identificadores que permitan “identificar” a los interesados se realizaría de conformidad con la normativa procesal penal, la normativa de protección de datos aplicable, la normativa sobre materias clasificadas y cualquiera otra que resultase de aplicación.” En relación con qué autoridades se han contemplado como destinatarios de los datos se señala que “No se han cedido datos de carácter personal derivados de la actividad objeto del requerimiento. En el supuesto de que en dichas actividades hubiese detectado un ilícito penal o una amenaza contra la Seguridad Nacional los datos recabados conforme a la normativa oportuna (en un tratamiento específico y distinto) se remitirán a la Autoridad Judicial competente o a los órganos competentes del Ministerio del Interior para recibir información clasificada.” TERCERO: Con fecha 17 de junio de 2020 se requiere a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL (en adelante DGGC) copia de la Orden de Servicio ***ORDEN.2 (ECHO-ALFA), de las órdenes complementarias 1 y 2, de las instrucciones dadas a la Unidad de Coordinación de Ciberseguridad, Información sobre el periodo de vigencia de estas órdenes e instrucciones, las finalidades concretas de los tratamientos de datos personales realizados por la Guardia Civil en el marco de la Orden de Servicio ***ORDEN.2 (ECHO-ALFA) y complementarias en lo relativo a publicaciones susceptibles de generación de desafección a instituciones del gobierno, los destinatarios de estos datos y la base legal que ampara los tratamientos. Con fecha 2 de julio de 2020 tiene entrada en la AEPD un escrito remitido por el Teniente Coronel Delegado de Protección de Datos de la Guardia Civil que manifiesta lo siguiente: “Con fecha 4 de mayo de 2020, se nos solicitó por parte de la Secretaría de Estado de Seguridad del Ministerio del Interior, información respecto a esta cuestión al objeto de contestar a esa AEPD. Para lo cual elaboramos un informe al respecto que se adjunta al presente escrito entendiendo que esa respuesta contiene la información que se vuelve a solicitar.” El informe aportado recoge las consideraciones trasladadas con fecha 14 de mayo de 2020 a la AEPD por el Delegado de Protección de Datos del Ministerio del Interior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 CUARTO: Con fecha 6 de octubre de 2020 se realizó una visita de inspección en la sede de la Dirección General de la Guardia Civil (DGGC), poniéndose de manifiesto los siguientes hechos, recogidos en el Acta de Inspección:
- En cuanto a la obtención de información en fuentes abiertas del denominado Ciberespacio (redes sociales y páginas Web) los representantes de la DGGC indican que la Estrategia de Seguridad Nacional vigente (en adelante, ESN), aprobada mediante Real Decreto 1008/2017, de 1 de diciembre, advierte de “la utilización del ciberespacio como medio para la realización de actividades ilícitas, acciones de desinformación, propaganda o financiación terrorista y actividades de crimen organizado, entre otras, impacta en la Seguridad Nacional, amplificando la complejidad y la incertidumbre, y también pone en riesgo la propia privacidad de los ciudadanos.”
- En el marco de la gestión de crisis originada por el COVID-19 y siguiendo lo dispuesto en la ESN, el Ministerio del Interior estableció mediante Orden ***ORDEN.1, de ***FECHA.1, los criterios de actuación para las Fuerzas y Cuerpos de Seguridad en relación con el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-
- En el ámbito de la Guardia Civil, la Orden complementaria nº 2 de la Orden de Servicio ***ORDEN.2 (ECHO-ALFA), recoge de forma genérica lo dispuesto en la antedicha Orden ***ORDEN.1, de ***FECHA.1, concretamente dispone que se incremente (no que se implemente puesto que es una misión legal derivada del artículo 11 de la Ley Orgánica 2/1986, de 13 de marzo de Fuerzas y Cuerpos de Seguridad) la vigilancia de las redes sociales para la detección de actividades de desinformación. Específicamente, el punto 2.2 (cometidos) establece en su apartado g): “Incrementar la vigilancia de redes sociales para la detección de actividades de desinformación, tanto de carácter interno como externo, así como para la prevención e investigación de actividades relacionadas con la ciberdelincuencia.” Tanto la ***ORDEN.1 como la Orden de Servicio ***ORDEN.2 (ECHO-ALFA) y sus complementarias estuvieron vigentes durante el tiempo que estuvo vigente el estado de alarma decretado por el Gobierno mediante el Real Decreto 463/2020
- Fueron recabados por la inspección de datos copia impresa de la de la Orden de Servicio ***ORDEN.2 (ECHO-ALFA) y de la Orden Complementaria número 2 de esta. 4.
- Por parte de la GC, manifiestan que la vigilancia de las RRSS se lleva a cabo mediante la creación de usuarios anónimos creados al efecto y haciendo una visualización de las publicaciones hechas por los usuarios de estas redes, en los puestos de trabajo de los agentes encargados de realizar esta función. Esta vigilancia se realiza entre otras redes sociales, en Twitter, Facebook, Instagram, Badoo y también páginas web.
- El producto de estas actuaciones es la elaboración de un informe diario por parte de la Unidad de Coordinación que se remite a la Dirección Adjunta Operativa. El número total de informes realizados es de 53, se realizó uno diario entre el 20 de marzo y el 11 de mayo de
- Estos informes se estructuran en 4 apartados que recogen los hallazgos en las materias de ciberdelincuencia, ciberterrorismo y hacktivismo, ciberataques, desinformación y resumen de noticias. En cada uno de estos apartados se recoge la publicación realizada en la red social correspondiente, en algunos casos incluye un enlace a la publicación y en otros una captura de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 publicación con la información del identificativo con el que el usuario se presenta en la red. Los informes contienen solamente información publicada en redes, no incrementándose la información a partir de otras fuentes o ficheros. Manifiestan que cuando se detecta un presunto ilícito se capturan evidencias de la misma forma que se recopilan en cualquier otra investigación policial, de acuerdo con la cadena de custodia de evidencias. En estos casos la investigación se judicializa, realizando los cuerpos policiales un atestado sin ampliar la información (incluyendo solo lo que está publicado abiertamente en redes). Posteriormente el Juez puede realizar una orden para ampliar información, en concreto, para averiguar quién es el promotor o el que incita los comportamientos investigados. Aquellos hallazgos que pudieran ser constitutivos de delito se judicializan pasando a formar parte de los tratamientos recogidos en la actividad denominada INTPOL en el Registro de Actividades de Tratamientos. En relación con los informes que no han sido objeto de actuaciones judiciales, son conservados en los archivos administrativos de las Unidades destinatarias y conservados durante el periodo de cinco años establecido para la correspondencia pasiva. Los inspectores recabaron copia de 3 informes de fechas 19, 20 y 28 de marzo de 2020, en los que se verifica que la estructura y contenido se corresponde con lo anteriormente descrito. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 2 del RGPD al determinar su ámbito de aplicación dispone que “
- El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
- El presente Reglamento no se aplica al tratamiento de datos personales: a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE; c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas; d) por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.” El artículo 1 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, establece en su artículo 1 bajo el título Objeto y objetivos que “
- La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.(…)” El artículo 2 de la misma dispone respecto de su ámbito de aplicación que “
- La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines establecidos en el artículo 1, apartado 1.” No obstante, no habiendo sido transpuesta al derecho español la citada Directiva en el momento de producirse los hechos objeto de las actuaciones de investigación, debe tenerse en cuenta lo previsto en la disposición transitoria cuarta de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, según la cual: “Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.” A este respecto debe indicarse que los artículos 1 y 2 de la Ley Orgánica 15/1999 extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento de sus datos de carácter personal, siendo definidos éstos en el artículo 3.a) de dicha Ley como “cualquier información concerniente a personas físicas identificadas o identificables.“ El artículo 5.1.f del Reglamento de desarrollo de dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Ley, aprobado por Real Decreto 1720/2007, de 21 de diciembre, concreta dicha definición señalando que constituyen datos de carácter personal “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” De las actuaciones mencionadas en los antecedentes de hecho se desprende que en el marco de la Estrategia de Seguridad Nacional y de las competencias atribuidas por el artículo 11 de la Ley de Fuerzas y Cuerpos de Seguridad del Estado, así como del Real decreto 463/2002 de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID19, se lleva a cabo una visualización de publicaciones en abierto hechas por los usuarios de redes sociales. Esta actividad se realiza entre otras redes sociales, en Twitter, Facebook, Instagram, Badoo y también páginas web, circunscrita a las materias de ciberdelincuencia, ciberterrorismo, hacktivismo, ciberataques y desinformación. El producto de estas actuaciones es la elaboración de un informe diario por parte de la Unidad de Coordinación que se remite a la Dirección Adjunta Operativa, habiéndose llevado a cabo un total de 53 informes, uno diario, entre el 20 de marzo y el 11 de mayo de
- En delegado de Protección de Datos del Ministerio del Interior, manifiesta que en estas actividades, a priori, no se lleva a cabo ningún tratamiento de datos personales, circunscribiéndose a la observación diaria de noticias o informaciones públicas de redes sociales, en que la información recabada se refiere a datos de carácter público, compartidos por sus autores a través de redes sociales y medios públicos de comunicación, consistentes fundamentalmente en el contenido de la comunicación y el medio de difusión. Según se ha expuesto en la inspección presencial realizada “estos informes se estructuran en 4 apartados que recogen los hallazgos en las materias de ciberdelincuencia, ciberterrorismo y hacktivismo, ciberataques, desinformación y resumen de noticias. En cada uno de estos apartados se recoge la publicación realizada en la red social correspondiente, en algunos casos incluye un enlace a la publicación y en otros una captura de la publicación con la información del identificativo con el que el usuario se presenta en la red. Los informes contienen solamente información publicada en redes en las materias citadas, no incrementándose la información a partir de otras fuentes o ficheros.” Los inspectores de la AEPD recabaron copia de 3 informes de fechas 19, 20 y 28 de marzo de 2020, en los que se verifica que la estructura y contenido se corresponde con lo anteriormente descrito, sin que en los documentos aportados se contengan datos personales. Por lo tanto, no queda acreditada la realización de tratamientos de datos de carácter personal. Se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Este principio se encuentra expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.b) de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la Secretaría de Estado de Seguridad del Ministerio del Interior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es