1/9 Expediente Nº: E/04483/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidades CENTRO MEDICO SAN JOSE, y FREMAP Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la SS nº 61, SERVICIOS PROFESIONALES DE LA SALUD Y LA FORMACION, S.L., en virtud de denuncia presentada por el GOBIERNO DE EXTREMADURA-CONSEJERIA DE SALUD Y POLITICA SOCIOSANITARIA, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de junio de 2015, tuvo entrada en esta Agencia un escrito remitido por el GOBIERNO DE EXTREMADURA-CONSEJERIA DE SALUD Y POLITICA SOCIOSANITARIA, con el que adjuntan la investigación realizada por el servicio de Inspección sanitaria por si existiera una posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal con relación a la asistencias sanitarias prestadas a los trabajadores cubiertos por FREMAP Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la SS nº 61 (en adelante FREMAP), realizadas por parte de la Clínica San José de Almendralejo para funciones que no tienen atribuidas (control de Incapacidad Temporal) y del Centro Médico de Jerez de los Caballeros- VitaCenter sin existir concierto con la mutua. Se solicita documentación al GOBIERNO DE EXTREMADURA-CONSEJERIA DE SALUD Y POLITICA SOCIOSANITARIA referida al Centro Médico de Jerez de los Caballeros y recibida contestación, entre la documentación aportada se encuentra el Concierto de asistencia sanitaria suscrito entre FREMAP y Centro Médico San Jose S.C. con fecha 15 de noviembre de 2004 en Almendralejo. En él se especifica que “… el contenido de las actuaciones sanitarias … consistirá en pruebas diagnósticas, tratamientos y procesos de recuperación funcional que sean necesarios para evitar la prolongación innecesaria de las bajas médicas derivadas de contingencias comunes de los trabajadores asegurados, así como el control y seguimiento médico de los indicados procesos de incapacidad temporal…” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se inician las presentes actuaciones de inspección para verificar la existencia de un convenio o contrato de prestación de servicios suscrito entre FREMAP y el Centro Médico de Jerez de los Caballeros- VitaCenter. Solicitada dicha documentación a FREMAP los representantes de la entidad aportan lo siguiente: 1.Copia del Concierto de Asistencia Sanitaria firmado entre FREMAP y el centro sanitario Servicios Profesionales de la Salud y Formación, S.L., de fecha 1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 diciembre de 2007, de conformidad con lo previsto en el artículo 12.5 del Real Decreto 1993/1995, de 7 de diciembre, por el que se aprueba el Reglamento de Colaboración de las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Segundad Social. En las Cláusulas Decimosegunda y Decimotercera de dicho concierto sanitario, se incluyen las obligaciones en materia de protección de datos. Se incluyen entre otras previsiones sobre la confidencialidad de los datos personales y secreto profesional, al tratamiento conforme a las instrucciones de la mutua, a la no utilización con fines distintos, a las medidas de seguridad aplicables y a la devolución o destrucción de los datos finalizada la relación contractual. 2.Oficio de la Dirección General de Ordenación de la Seguridad Social, de fecha 9 de julio de 2008, por el que se autoriza dicho concierto sanitario Señalan los representantes de FREMAP que la citada Dirección General ejerce las funciones de dirección y tutela de las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Segundad Social, actualmente Mutuas Colaboradoras con la Seguridad Social, de conformidad con el artículo 68.3.
- c)del Texto Refundido de la Ley General de la Seguridad Social (hasta el 31 de diciembre de 2014, artículo 71.1 de dicha norma). 3.Contrato de cesión de equipos informáticos y software, de fecha 1 de marzo de 2015, suscrito con el centro sanitario Servicios Profesionales de la Salud y Formación, S.L., indicando los representantes de FREMAP que se suscribe con el fin de registrar, con criterios uniformes y homogéneos, los datos correspondientes a la asistencia sanitaria prestada por la indicada clínica a los trabajadores de las empresas asociadas a FREMAP que fueran atendidos por la misma. 4.Copia del modelo de documento de comunicación y petición de consentimiento a los pacientes, para el tratamiento de sus datos de carácter personal, que se ofrece a los pacientes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar es preciso tener en cuenta que el tratamiento de los datos de salud de los beneficiarios de Fremap lo efectúa la Mutua en calidad de entidad colaboradora de la Seguridad Social que cubre las contingencias de accidente de trabajo y enfermedad profesional, y, en cuanto tal, debe tenerse en cuenta lo señalado en el artículo 68 de la Ley General de la Seguridad Social, texto refundido aprobado por Real Decreto Legislativo 1/1994, de 20 de junio que las define en los siguientes términos: 1 “Se considerarán mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social las asociaciones debidamente autorizadas por el Ministerio de Trabajo y Asuntos Sociales que con tal denominación se constituyan, sin ánimo de lucro y con sujeción a las normas reglamentarias que se establezcan, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 empresarios que asuman al efecto una responsabilidad mancomunada y con el principal objeto de colaborar en la gestión de la Seguridad Social, sin perjuicio de la realización de otras prestaciones, servicios y actividades que le sean legalmente atribuidas”. Conforme al artículo 68.2 la colaboración de las mutuas en la gestión de la Seguridad Social comprenderá las siguientes actividades: “
- a)La colaboración en la gestión de contingencias de accidentes de trabajo y enfermedades profesionales.
- b)La realización de actividades de prevención, recuperación y demás previstas en la presente Ley. Las actividades que las mutuas puedan desarrollar como Servicio de Prevención ajeno se regirán por lo dispuesto en la Ley 31/1995, de 8 de noviembre (RCL 1995, 3053), de Prevención de Riesgos Laborales, y en sus normas reglamentarias de desarrollo.
- c)La colaboración en la gestión de la prestación económica de incapacidad temporal derivada de contingencias comunes.
- d)Las demás actividades, prestaciones y servicios de Seguridad Social que les sean atribuidas legalmente.” El artículo 67 que le precede dispone: “Entidades colaboradoras.- La colaboración en la gestión del sistema de la Seguridad Social se llevará a cabo por Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social y por empresas, de acuerdo con lo establecido en la presente sección.” Por su parte, el artículo 70 dispone: “Empresarios asociados.-1. Para formalizar la protección respecto a las contingencias de accidente de trabajo y enfermedad profesional del personal a su servicio, los empresarios podrán optar entre hacerlo en la entidad gestora competente o asociándose a una Mutua de Accidentes de Trabajo y Enfermedad de la Seguridad Social. 2. Los empresarios asociados a una Mutua a los fines de las presentes normas, habrán de proteger en la misma entidad a la totalidad de sus trabajadores correspondientes a centros de trabajo situados en la misma provincia, siempre que ésta se encuentre comprendida en el ámbito territorial de la Mutua. A estos efectos se entenderá por centro de trabajo el definido como tal en la Ley 8/1980, de 10 de marzo, del Estatuto de los Trabajadores. 3. Las Mutuas de Accidente de Trabajo y Enfermedades Profesionales habrán de aceptar toda proposición de asociación y consiguiente protección que se formule, respecto a su personal, por los empresarios comprendidos en su ámbito de actuación, en los mismos términos y con igual alcance que las entidades gestoras en relación con los empresarios y trabajadores que tengan concertada esta contingencia con las mismas. La falta de pago de las cuotas por un empresario asociado a una mutua no podrá dar lugar a la resolución del convenio de asociación.” El artículo 99 regula la inscripción de empresas del siguiente modo: “1.- Los empresarios, como requisito previo e indispensable a la iniciación de sus actividades, solicitarán su inscripción en el Régimen General de la Seguridad Social, haciendo constar la entidad gestora o, en su caso, la Mutua de Accidente de Trabajo y Enfermedad Profesional de la Seguridad Social que haya de asumir la protección por estas contingencias del personal a su servicio, de acuerdo con lo dispuesto en el artículo 70.” El análisis conjunto de las normas citadas del Texto Refundido de la Ley General de la Seguridad Social, permite deducir que la misma constituye Ley habilitante suficiente para el tratamiento de los datos de salud de los trabajadores de aquellas empresas que hayan elegido a una Mutua para la prestación de la asistencia sanitaria y abono de las prestaciones económicas a que aquéllos tengan derecho en los casos de accidente laboral o enfermedad profesional, entre otras. Cabe añadir que el Real Decreto 1993/1995, de 7 de diciembre, por el que se aprueba el Reglamento sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 colaboración de las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social contempla en su artículo 10 el alcance de la cobertura que han de prestar estas entidades, “en los mismos términos y con igual alcance que las Entidades Gestoras de la Seguridad Social asumen la cobertura de que se trate”. Y su artículo 12 añade que “las Mutuas podrán establecer instalaciones y servicios sanitarios y recuperadores para la prestación de la asistencia debida y la recuperación plena de los trabajadores accidentados en el trabajo y enfermos profesionales”. Por su parte, el artículo 1.1 del Real Decreto 1630/2011, de 14 de noviembre, por el que se regula la prestación de servicios sanitarios y de recuperación por las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social, relativo a las prestaciones sanitarias y recuperadoras de las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social, señala que: “Las prestaciones sanitarias y recuperadoras de la Seguridad Social derivadas de contingencias profesionales, encomendadas a las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social, así como la asistencia sanitaria correspondiente a contingencias comunes que sea legalmente autorizada o que pueda realizarse y facturarse de conformidad con la normativa aplicable, se podrán hacer efectivas por aquéllas mediante alguna o algunas de las siguientes modalidades:
- a)A través de los recursos sanitarios y recuperadores gestionados por las mutuas, incluidos los de las entidades y centros mancomunados.
- b)Por medio de convenios con las Administraciones públicas sanitarias o mediante conciertos con medios privados.” En el supuesto de Prestación de servicios sanitarios y recuperadores con medios privados, el artículo 11 del citado Real Decreto 1630/2011 establece que “….Tales conciertos, que deberán ajustarse a lo dispuesto en la Ley 30/2007, de 30 de octubre, no podrán suponer la sustitución de la función colaboradora atribuida a las mutuas, en cuyo nombre se prestará la asistencia, ni excluir la posibilidad de que tales conciertos se extiendan a otras mutuas.” El concierto para la prestación de la asistencia sanitaria en tanto contrato de prestación de servicios públicos, viene determinado lo dispuesto en el artículo 8.1 del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público estableciendo lo siguiente, “El contrato de gestión de servicios públicos es aquél en cuya virtud una Administración Pública o una Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la Seguridad Social, encomienda a una persona, natural o jurídica, la gestión de un servicio cuya prestación ha sido asumida como propia de su competencia por la Administración o Mutua encomendante. Las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales sólo podrán realizar este tipo de contrato respecto a la gestión de la prestación de asistencia sanitaria.” A su vez, dispone el artículo 275.1 de la misma norma que “La Administración podrá gestionar indirectamente, mediante contrato, los servicios de su competencia, siempre que sean susceptibles de explotación por particulares. En ningún caso podrán prestarse por gestión indirecta los servicios que impliquen ejercicio de la autoridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 inherente a los poderes públicos”, regulando el artículo 277 sus modalidades de contratación de concesión, gestión interesada, concierto y sociedad de economía mixta. Por su parte, la disposición adicional vigésimo sexta del Real Decreto Legislativo 3/2011, dispone en el primer párrafo de su apartado 2 que “Para el caso de que la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante, aquél tendrá la consideración de encargado del tratamiento”. Lo dispuesto en el mencionado precepto no implica necesariamente que en la totalidad de los supuestos en los que como consecuencia de la celebración de un contrato sujeto al Texto Refundido de la Ley de Contratos del Sector Público la entidad adjudicataria acceda a datos de carácter personal de los administrados, su condición será la de encargado del tratamiento, sino que tal situación se dará en los supuestos en los que la condición de responsable, es decir dotada del poder de decisión sobre la finalidad, contenido y uso del tratamiento, sólo pueda predicarse de la Administración o Mutua contratante, debiendo tenerse en cuenta si el tratamiento de datos que comporta el concierto, viene determinado por otras normas específicas de aplicación a dichos datos de carácter personal. Tal es el caso del tratamiento de los datos de salud, donde la norma de carácter especial, esto es, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica viene a establecer un régimen específico para el tratamiento y cesión de los datos de salud contenidos en las historias clínicas respecto del contemplado en la Ley 15/1999, que comporta una serie de obligaciones en cuanto al acceso, uso y conservación de las historias clínicas que deberán cumplir los centros o profesionales que atiendan a los trabajadores que a ellos acudan a recibir asistencia sanitaria, que no pueden ser desconocidas por aquéllos. De manera que tales obligaciones no pueden ser modificadas o contradichas por las instrucciones que pudiera dar el responsable del tratamiento, lo que impide considerar que, en caso de tratamiento y cesión de datos de salud de los trabajadores que pudieran suministrar las Mutuas en virtud de dichos Conciertos a los centros sea un encargo de tratamiento. Cualquier cesión de datos de salud, de los que son titulares los propios trabajadores cubiertos por la Mutua y no ésta, que será responsable de su tratamiento, requerirá que una Ley lo habilite o el consentimiento expreso de dichos trabajadores atendiendo a lo señalado por el art. 7.3 de la Ley 15/1999, salvo en las cesiones necesarias para solucionar una urgencia a que se refiere el artículo 11.2 f). de la misma Ley, que no se precisará tal consentimiento. Por otra parte, los datos de salud de los trabajadores de empresas asociadas a la Mutua que suscriba el Concierto serán recabados directamente de los afectados por el centro o profesional médico desde el momento en que aquellos acudan a sus dependencias a recibir asistencia sanitaria, e irán integrando la historia clínica del proceso asistencial, de manera que los datos de salud los obtendrá directamente el centro concertado o profesional médico individual, sin necesidad de una previa comunicación de la Mutua, estando legitimados para el tratamiento de dichos datos en virtud de lo señalado por el artículo 7.6 de la Ley Orgánica ya citado, y no por el Concierto suscrito al amparo de los señalado en el art. 8.1 del Texto Refundido de la Ley de Contratos del Sector Público. En definitiva, podemos concluir que, si bien el contrato de prestación de servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 que ha de suscribir la Mutua de Accidentes de Trabajo y Enfermedades Profesionales con los centros sanitarios privados para la prestación de la asistencia sanitaria a los trabajadores es el referido en el artículo 8.1 en relación con el artículo 275.1 del Real Decreto Legislativo 3/2011, y que su disposición adicional vigésimo sexta atribuye al contratista que accede a datos de carácter personal de cuyo tratamiento es responsable la entidad contratante, la condición de encargado del tratamiento, es preciso tener en cuenta que, tratándose de datos de salud contenidos en historias clínicas, por imperativo de la Ley 41/2002, de 14 de noviembre, el contratista no podrá tener la condición de encargado del tratamiento. Por tanto, el contrato que formalice la consultante para estos conciertos de asistencia sanitaria con medios privados, debería adaptar las cláusulas en este concreto supuesto, observando las obligaciones que impone la Ley 41/2002 referidas a la integración de la historia clínica, usos, accesos y conservación de la misma, no pudiendo dar instrucciones o imponer cláusulas a los contratistas contrarias a lo ya señalado, lo que determina, desde la óptica de la protección de datos de carácter personal, la imposibilidad de atribuir la condición de encargado del tratamiento de los datos de salud a los centros sanitarios privados con los que se suscriba el Concierto. III Respecto a los datos de salud generados por la asistencia sanitaria prestada a los trabajadores accidentados en los centros de la Mutua, es preciso tener en cuenta que el centro sanitario destinatario de los datos viene obligado a elaborar y custodiar la historia clínica derivada del tratamiento sanitario que se efectúe al paciente, tal y como dispone el primer inciso del artículo 17.1 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, a cuyo tenor “Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad”. Además, el acceso a la historia clínica deberá ajustarse a lo regulado en el artículo 16.1 de la Ley 41/2002 que establece que “la historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”, añadiendo el artículo 16.2 que “cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten”. La finalidad de la historia clínica será, conforme al artículo 14.2 de la Ley 41/2002, “facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud”, regulando la Ley sus normas de conservación, así como el acceso por el paciente y por terceros a los datos contenidos en la historia. El acceso a la historia clínica o la comunicación de sus datos con otra finalidad, requerirá el consentimiento expreso del afectado. En el mismo sentido, recuerda el artículo 10.5 del Reglamento de desarrollo de la Ley Orgánica 15/1999 que “no será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud”. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 conclusión que se alcanza de lo señalado hasta ahora es la de que la comunicación de los datos de salud generados por la asistencia sanitaria prestada por la Mutua como consecuencia de un accidente de trabajo o enfermedad común no podría incluir accesos a la historia clínica con una finalidad distinta de la que se persigue con ésta, que, en último extremo es el restablecimiento del accidentado y la protección y recuperación de su salud, por lo que respetando el principio de calidad de los datos de carácter personal del artículo 4.2 de la LOPD que dice: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos” IV Poniendo en relación la normativa reseñada con el hecho denunciado en concreto: cesión de información médica junto con los ordenadores y el software desde FREMAP a la Clínica San José, S.L., de Almendralejo, que podría vulnerar la intimidad y la confidencialidad, hay que señalar que FREMAP tiene concierto suscrito con la Clínica mencionada para llevar a cabo “la realización de las actuaciones sanitarias dirigidas a la recuperación funcional de los trabajadores en situación de baja médica derivada de contingencias comunes, pertenecientes a empresas que tengan aseguradas con Fremap las citadas contingencias” El contenido de las actuaciones sanitarias mencionadas, consistirá en la realización de las pruebas diagnósticas, tratamientos y procesos de recuperación funcional que sean necesarios para evitar la prolongación innecesaria de las bajas médicas derivadas de contingencias comunes de los trabajadores asegurados, así como el control y seguimiento médico de los indicados procesos de incapacidad temporal, quedando excluidas todas las actuaciones de carácter administrativo que correspondan realizar a Fremap. Fremap tiene implantado un programa informático de GUÍAS CLÍNICAS para la cumplimentación de las historias clínicas. Los facultativos médicos y empleados sanitarios de FREMAP pueden acceder a las aplicaciones informáticas clínicas relativas a aquéllos pacientes que atienden y los gestores administrativos que solo pueden acceder a los apartados estrictamente administrativos de la aplicación informática. El artículo 82 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, referido a los encargados del tratamiento, indica lo siguiente sobre los soportes de información: “1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de información que los trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deberá hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento. Cuando dicho acceso sea remoto habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este último deberá hacer constar esta circunstancia en el documento de seguridad del responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento. 2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento. 3. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las medidas de seguridad contempladas en este reglamento.” En consecuencia, el responsable del fichero (FREMAP, en este caso) puede facilitar al encargado del tratamiento los ordenadores y el software necesario para el cumplimiento del encargo: acceso a las historias clínicas de los pacientes que acudan a FREMAP y sean tratados en las clínicas concertadas, con las finalidades determinadas y concretas recogidas en el contrato de prestación de servicios. Esta actuación no supone vulneración de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al GOBIERNO DE EXTREMADURACONSEJERIA DE SALUD Y POLITICA SOCIOSANITARIA y a FREMAP Mutua de Accidentes de Trabajo y Enfermedades Profesionales de la SS nº 61. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es