E-06065-2015

1/10 Expediente Nº: E/06065/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Doña A.A.A., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de julio de 2015, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B. en el que expone lo siguiente: “La página web http://www.cultivoskefir.com no cumple con ningún requisito de la agencia de protección de datos. Se escudan en el anonimato para realizar una venta ilícita sin permiso sanitario. He sido incapaz de obtener más información sobre ellos que la que aparece en su remitente, que es inventada, Ni informan sobre cookies, ni sobre quiénes son, etc. etc. Los únicos datos que tengo sobre él son los de un pedido que realicé a nombre de un familiar, adjunto foto de la dirección de remite que utilizó, en ella consta "Cultivos Kefir S.L" pero esa empresa no me consta que exista. En la página quienes somos que adjunto, también aparece una tal " C.C.C.", que también seguramente es una identidad falsa ya que en el teléfono móvil atiende un hombre que se ha negado a dar más datos de la página o ninguna empresa.” Anexa la siguiente documentación: Foto del paquete Muestra la etiqueta del paquete enviado tras adquirir productos en el sitio web, figurando como remitente CULTIVOS KEFIR SL. Captura de pantalla Muestra la página “Quienes somos del sitio web” en el que se muestra una imagen de una mujer bajo el nombre C.C.C.. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 8 de abril de 2016, se constata que el sitio web denunciado recoge datos de carácter personal como consta en las diligencia de inspección. En la misma diligencia se constata que no existe política de privacidad, constando únicamente en las condiciones generales el siguiente texto: “Para que podamos envíar su pedido es imprescindible que nos proporcione algunos datos personales, como: Nombre, Domicilio, teléfono de contacto y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 email. No solicitamos datos como: DNI, Nºs de cuentas, ni tarjetas. Solo y exclusivamente los imprescindibles para realizar el envío de su pedido. Estos serán guardados en nuestra base de datos para posteriores referencias. Cumplimos excrupulosamente con la ley de protección de datos y jamás y bajo ningún concepto, serán cedidos a terceros, ni utilizados para envíos de correos publicitarios o Spam.” 2. El 11 de abril se constata que en el Registro Mercantil Central no consta ninguna sociedad cuya denominación social sea CULTIVOS KEFIR SL. 3. Con fecha 8 de abril de 2016, se constata que el propósito de los DARD utilizados por el sitio web denunciado los excluye de la obligación de solicitar el consentimiento informado de los usuarios del sitio web. 4. Con fecha 8 de abril de 2016, se constata que el sitio web denunciado NO contiene información completa relativa a la utilización de DARD 5. En el sitio web no constaba dirección postal o electrónica alguna pero sí una línea de teléfono, por lo que el Subinspector actuante, en fecha 8 de abril de 2016, se pone en contacto telefónico de tal forma obtuvo de su interlocutor los datos identificativos y de contacto de la responsable del sitio web. El 11 de abril de 2016, y en respuesta a la solicitud de información remitida por correo postal y adelantado por correo electrónico, se recibió una llamada del interlocutor que atendió previamente al subinspector. Durante la llamada éste manifestó que:  Si estaba vulnerando alguna norma lo desconocía y que no era tal su intención.  No quería tener problemas, por lo que había procedido a clausurar el sitio web y a cesar la actividad comercial del mismo.  No dispone ni había dispuesto jamás de una base de datos. 6. Se ha podido constatar que desde el 11 de abril de 2016 el sitio web denunciado no es accesible en Internet. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver el presente expediente conforme a lo establecido tanto en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), como con arreglo a lo dispuesto en el párrafo segundo del artículo 43.1 de la LSSI. II El primer hecho denunciado es la vulneración del derecho de información previa de los usuarios y clientes de la página web http://www.cultivoskefir.com, quienes al objeto de realizar una compra online facilitan sus datos personales a través del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 formulario de registro contenido en dicha página web. Los apartados 1, 2 y 3 del artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. En el supuesto analizado se produce un tratamiento automatizado de datos personales que se materializa con la recogida y utilización de los datos personales facilitados por los usuarios que cumplimentan el formulario contenido en la página web reseñada. Este tratamiento colocaría a la persona física o jurídica titular del sitio web que nos ocupa no sólo como responsable del fichero en que se registran dichos datos, sino también como responsable del tratamiento dado a los mismos, en tanto que ha decido sobre la finalidad, contenido y uso de los datos de carácter personal captados por esa vía, situándola conforme a lo dispuesto en el artículo 43 de la LOPD en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. Especificado lo anterior, la obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales y a la realización de cualquier tratamiento con los mismos, debiendo ser expresa, precisa e inequívoca. Por su parte el artículo 5.2 de la LOPD establece una regla especial para los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo que las mismas sean “determinadas, explícitas y legítimas”. En este caso, a través de las actuaciones previas de investigación efectuadas, ha resultado acreditado que a través del formulario de registro habilitado en el sitio web http://www.cultivoskefir.com se recogían datos de carácter personal sin que el responsable del fichero en el que vaya a registrarse esa información proporcionase a los afectados la información completa en materia de protección de datos que se advierte en el artículo 5 de la LOPD. De esta forma, en el acceso efectuado se constató que el formulario no incluía una cláusula o enlace accesible desde el mismo que, con anterioridad a la recogida de los datos, informase a los usuarios sobre la identidad y dirección del responsable del fichero en el que se incluían los datos de carácter personal obtenidos en la forma anteriormente indicada, y el procedimiento para poder ejercer los derechos de acceso, rectificación, cancelación y oposición. La vulneración de lo dispuesto en el artículo 5 de la LOPD se tipifica en el artículo 44.2
9. c)de la LOPD como infracción leve, considerando como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ III La segunda cuestión planteada en la denuncia se refiere a que no existe información sobre la utilización de Dispositivos de Almacenamiento o Recuperación de Datos (DARD). El artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establecen la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. Dicho precepto se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del artículo hablan del destinatario, que según el apartado
10. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
11. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
12. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Conforme a las definiciones legales anteriores, la persona física o jurídica titular y responsable del sitio web que nos ocupa ostenta la condición de Prestador de Servicios de la Sociedad de la Información, debiendo, en consecuencia, dar cumplimiento a las obligaciones previstas en el artículo 22.2 de la LSS para dicha figura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. No hay que olvidar que la normativa estudiada pretende que el usuario sea suficientemente informado, y en forma comprensible, sobre la utilización y finalidades de los dispositivos de almacenamiento y recuperación de datos almacenados en su equipo terminal como condición para entender válidamente otorgado el consentimiento para su instalación y uso. Para ello resulta esencial informar sobre los tipos de cookies que se utilizan, indicando, en todo caso si son de primera o de tercera parte, en cuyo caso se identificará al tercero, sus respectivas finalidades, alusión a las acciones concretas que supongan la obtención del consentimiento y expresión de los procedimientos de rechazo o bloqueo para su instalación. De hecho, la adecuación a la normativa vigente hace necesario, con independencia del sistema de información elegido, la existencia de un enlace de carácter permanente que permita acceder directamente y en cualquier momento a la información sobre cookies de la entidad. El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Por tanto, cabe el suministro de tal información por grupos homogéneos de ambigüedad, aunque nada obsta a que dicha información se ofrezca respecto de cada una de las cookies descargadas. En el presente supuesto, a través de la valoración conjunta del resultado de los accesos efectuados con fechas 9 de julio y 9 de septiembre de 2015 al sitio web http://www.cultivoskefir.com ha quedado acreditado que desde el mismo se instalan dispositivos de almacenamiento y recuperación de datos de tercera parte no exentos del deber de información en los terminales de los usuarios que acceden a dicho portal. Dicha situación se produce sin que los internatuas afectados sean previamente advertidos por el prestador de servicios de la sociedad de la información en forma alguna sobre esta circunstancia ni, tampoco, sobre las finalidades a las que se destina la información recuperada a través de las cookies de tercera parte no exentas descargadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Esta falta de información en la página web en cuestión sobre el uso e instalación de cookies conculca el derecho de los internautas a recibir información previa, clara y completa sobre el uso y finalidades de dichos dispositivos, ello en su condición de destinatarios de los servicios de la información objeto de actividad económica del prestador del servicio de la sociedad de la información responsable del aludido portal, infringiendo con ello lo dispuesto en el primer párrafo del artículo 22.2 de la LSSI. Dicha conducta, encuentra su tipificación en la infracción leve prevista en el artículo 38.4.
13. g)de la LSSI, precepto que considera como infracción leve: ”
14. g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” IV En relación con la infracción de lo establecido en el artículo 5 de la LOPD, el artículo 45.6 de la misma Ley, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
15. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
16. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
17. a)y
18. b)del citado apartado 6 del artículo 45 de la LOPD. V A los efectos de acordar la resolución procedente en lo relativo a la segunda infracción, debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
24. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
25. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
26. a)La existencia de intencionalidad.
27. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
28. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
29. d)La naturaleza y cuantía de los perjuicios causados.
30. e)Los beneficios obtenidos por la infracción.
31. f)Volumen de facturación a que afecte la infracción cometida.
32. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39 bis de la LSSI, y en aplicación del criterio jurisprudencial señalado con anterioridad, esta Agencia considera que en este supuesto procedería el procedimiento de apercibimiento contra Cultivos Kefir, S.L. Ello en atención a las siguientes circunstancias: por un lado se cumplen los requisitos recogidos en las letras a),
33. b)y
34. d)del art. 39.2 bis y, por otro lado, se constata una cualificada disminución de la culpabilidad de la entidad imputada, teniendo en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 cuenta la concurrencia significativa de varios de los criterios contemplados en el artículo 40 de dicha norma (apartados a),
35. d)y e). En especial, se entiende que concurre el supuesto derivado de una inexistencia de perjuicios alegados por el denunciante y falta de constancia de que el infractor haya obtenido beneficios con motivo de los hechos imputados. VI No obstante lo anterior, debe analizarse en el presente caso la circunstancia de que el apercibimiento que correspondería de acuerdo con los artículos 45.6 de la LOPD y 39 bis 2 LSSI, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto en los Fundamentos de Derecho arriba señalados, la página web ha desaparecido. En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011, de fecha 29/11/2013, Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR las Actuaciones Previas de Investigación realizadas a Cultivos Kefir, S.L., (Doña A.A.A.), con arreglo a lo dispuesto en el artículo 39 bis, aparado 2 de la LSSI, con relación a la denuncia por infracción el artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
36. d)de la citada norma. SEGUNDO: ARCHIVAR las Actuaciones Previas de Investigación realizadas a (Doña A.A.A.), con arreglo a lo dispuesto en el artículo 45.6, LOPD, con relación a la denuncia por infracción el artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
37. b)y de la citada norma. TERCERO: NOTIFICAR la presente Resolución a Doña A.A.A. y a Don B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es