E-06418-2015

1/9 Expediente Nº: E/06418/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la SOCIEDAD ESTATAL CORREOS Y TELÉGRAFOS, S.A, en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 09/09/2015 tuvo entrada en esta Agencia un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que la SOCIEDAD ESTATAL CORREOS Y TELÉGRAFOS, S.A., (en lo sucesivo, CORREOS o la denunciada) ha entregado en el domicilio de la empresa INTRUM JUSTITIA DEBT FINANCE, AG, la carta certificada que el Juzgado de Primera Instancia número 57 de Madrid le envió, pese a que el Juzgado hizo constar correctamente en ella los datos de su domicilio y a que no existe ninguna relación entre el procedimiento judicial y la empresa a quien se entregó la carta que iba dirigida a ella. La denunciante añade que conoció los hechos cuando acudió al acto de la Vista del Juicio del procedimiento en el que es parte demandante en la fecha del señalamiento inicial, enterándose entonces de que aquélla se había aplazado y que tal circunstancia le había sido comunicada por el Juzgado a través de una carta certificada con acuse de recibo. Indica que CORREOS, en respuesta a la reclamación que presentó, le informó que ignoraba el motivo por el cual se produjo ese error y que no tenía en su poder la carta que iba dirigida a ella pues INTRUM no la devolvió. Acompaña a la denuncia, entre otros, los siguientes documentos: Copia del “Aviso de Recibo” “Certificado” en el que como destinataria figura la denunciante –nombre, dos apellidos y domicilio, el mismo que consta en la denuncia- y como remitente del envío el sello del Juzgado de Primera Instancia número 57 de Madrid. En ese documento también aparece de forma manuscrita la indicación “URB 240/15”. Copia del documento que acredita la recepción de la carta certificada dirigida a la denunciante en fecha 02/06/2015 por INTRUM JUSTITIA IBÉRICA, S.A.U., siendo recogida por una persona identificada por su nombre, dos apellidos ( B.B.B.) y por su número de DNI. Copia de la reclamación que por estos hechos la denunciante presentó en CORREOS el 28/07/2015. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de Actuaciones Previas de Investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos recogidos en el Informe de Actuaciones que se reproduce: <<ANTECEDENTES Con fecha 9 de septiembre de 2015, tiene entrada en esta Agencia un escrito de A.A.A., en el que denuncia que, con fecha 16/06/2015, ha tenido conocimiento a través del Juzgado donde tiene causa abierta, de que la notificación de aplazamiento del juicio le había sido remitida por correo certificado, habiendo sido éste entregado, según consta en el acuse de recibo que le fue entregado, en la entidad INTRUM JUSTITIA. Una vez realizadas averiguaciones en la oficina de CORREOS correspondiente, le han manifestado que ha sido un error, y que no saben qué ha podido ocurrir. ACTUACIONES PREVIAS DE INSPECCIÓN 1. Con fecha 25 de noviembre de 2015 se recibe en esta Agencia escrito de la Sociedad Estatal de Correos y Telégrafos, poniendo de manifiesto que: 1.1. Consultado el Responsable de la Unidad de Reparto de Madrid, informa que; el envío número CD********, se incluyó por error en una Relación de envíos destinados a INTRUM JUSTITIA IBERICA, S.A.U, en la calle (C/...1) de Madrid. 1.2. Fue entregado el día 2 de junio de 2015, firmado el recibí por una empleada de la entidad cuyo nombre apellidos y DNI consta en el acuse de recibo que se adjunta. 1.3. El certificado no ha sido devuelto por la empresa a la que se entregó, y recabando información en la misma, manifiestan que no tienen constancia que dicha carta se encuentra en la empresa. 2. Con fecha 27 de noviembre de 2015, se recibe en esta Agencia escrito de la entidad Intrum Justitia, en el que pone de manifiesto, entre otros, que: 2.1. Confirman la firma de la trabajadora que firmó el acuse de recibo. 2.2. Revisados sus denunciante.>> sistemas de información no constan datos de la FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia que nos ocupa versa sobre la conducta de CORREOS, que hizo entrega en el domicilio de un tercero –el de la empresa INTRUM JUSTITIA IBÉRICA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 S.A.U. (en adelante, INTRUM) – de una carta certificada con acuse de recibo dirigida a la denunciante y, por tanto, en la que constaban su domicilio, nombre y apellidos. Está acreditado que la carta fue recogida por una empleada de INTRUM pues en el acuse de recibo –cuya copia se ha aportado con el escrito de denuncia- consta el número de DNI y el nombre y apellidos de la empleada receptora. Procede valorar seguidamente si la conducta descrita ha sido respetuosa con la normativa de protección de datos de carácter personal o, por el contrario, puede subsumirse en alguno de los tipos sancionadores que en ella se recogen. La LOPD se refiere en el artículo 10 al deber de secreto y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El artículo 44.3.
2. c)de la LOPD tipifica como infracción grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10”. Estos preceptos tienen como finalidad evitar que quienes estén en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Ese deber de sigilo resulta esencial en las sociedades actuales, cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE. Derecho fundamental que, a tenor de la STC 292/2000, de 30 de noviembre, “persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino” e impide que se produzcan situaciones atentatorias frente a su dignidad. La Audiencia Nacional de manera reiterada ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión implica que los datos revelados hayan sido necesariamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 28/05/2009, Rec 499/2008). Cabe citar en tal sentido por ser muy esclarecedora la SAN de 28/05/2009 (Rec. 499/2008) en la que ese Tribunal estimó el recurso contencioso administrativo interpuesto contra la Resolución de la AEPD que acordaba sancionar a una entidad financiera por vulneración del artículo 10 de la LOPD, habida cuenta de que la entidad denunciada había enviado una carta al denunciante, cliente suyo, en un sobre de ventanilla a través del que se visualizaban no solo sus datos personales (nombre, apellidos y dirección postal) imprescindibles para el envío sino también el texto que decía que “a fecha de hoy, su banco nos ha devuelto impagado el recibo que habíamos presentado en su cuenta bancaria”. La Audiencia Nacional estimó el recurso contencioso interpuesto, anuló la resolución sancionadora dictada por la AEPD y dejó sin efecto la sanción impuesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 argumentando que la Agencia no había acreditado que los datos del denunciante que podían visualizarse a través de la ventanilla del sobre hubieran sido realmente conocidos por terceras personas. En el Fundamento de Derecho Tercero la SAN precitada dice: “La infracción tipificada en el art. 44.3.
3. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividadpero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. (El subrayado es de la AEPD). Ese ha sido el criterio mantenido de forma constante por la Audiencia Nacional en Sentencias posteriores, por todas la de 28/05/2009 (Rec. 499/2008) y 11/06/2009 (Rec. 500/2008). Así las cosas, la comisión de una infracción del deber de guardar secreto que recoge el artículo 10 de la LOPD, en tanto es una infracción de resultado, presupone que se ha producido una efectiva revelación de datos a un tercero no legitimado para conocerlos. De tal modo que aunque la conducta desplegada pudiera dar lugar a una revelación de datos a terceras personas, si ésta no se ha producido de manera efectiva y ha quedado acreditada -sin que sea admisible la simple presunción- no es posible imputar una infracción del artículo 10 de la LOPD. Por otra parte, el artículo 9 de la LOPD relativo a la “Seguridad de los datos” establece: 1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El artículo 44.3.
4. h)de la Ley Orgánica 15/1999 tipifica como infracción grave C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Tanto la LOPD como su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007 (RLOPD), obligan a los responsables de los ficheros –por lo que aquí interesa, a CORREOS- a adoptar las medidas de índole técnica y organizativa que eviten la alteración, pérdida, tratamiento o acceso no autorizado a los datos que figuran en sus ficheros. El Tribunal Constitucional ha resaltado la importancia de estas medidas protectoras al declarar (SSTC 143/1994 y 197/2003) que un sistema normativo que autorizase la recogida de datos incluso con fines legítimos y de contenido aparentemente neutro, pero no incluyese garantías frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico, vulneraría el derecho a la intimidad de la misma manera en que lo harían las intromisiones directas en el contenido nuclear de ésta. El RLOPD se ocupa en su Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” y las clasifica en tres niveles: básico, medio y alto. Conforme al artículo 81 del RLOPD las medidas de seguridad exigibles a los ficheros de los que CORREOS es titular son las de nivel básico, reguladas en los artículos 89 a 94 del citado Reglamento. Entre esas medidas el artículo 93 del RLOPD se refiere de la “ identificación y autenticación” y señala: “1. El responsable del fichero o tratamientos deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. (…)”. III Centrándonos en los hechos que son objeto de la presente denuncia es preciso recordar que INTRUM, en respuesta al requerimiento informativo de la Inspección de Datos de la AEPD, manifestó que “revisados nuestros sistemas de información y archivos no automatizados, no hemos encontrado información alguna relacionada con A.A.A. ni la mencionada comunicación”. Por otra parte, la entidad reconoció que era trabajadora suya la titular de los datos personales que constan -en calidad de receptora- en el acuse de recibo que acredita la entrega de la carta a la denunciada. Ahora bien, el examen del acuse de recibo que obra en el expediente evidencia que en el apartado “Nombre y apellidos del receptor” figura “INTRUM JUSTITIA IBÉRICA, S.A.U. (el nombre y dos apellidos de una persona, B.B.B..) y en el apartado “DNI DEL RECEPTOR” “DNI…” y seguidamente todos los dígitos y la letra del NIF de la empleada. Y también que esa leyenda se encuentra escrita en letra impresa, lo que parece demostrar que la recepción de cartas certificadas por parte de la empresa INTRUM es muy frecuente, hasta el punto de que para cumplimentar el acuse del Servicio de Correos acreditativo de las entregas se recurre a un sello con los datos de la entidad y de una persona física empleada en ella. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Parece obvio que en el momento de la recepción de la carta dirigida a la denunciante -que por error CORREOS entregó a INTRUM como si fuera ella la verdadera destinataria- la empleada de INTRUM receptora del correo no comprobó a quién se dirigía – por lo que tampoco pudo conocer sus datos- sino que se limitó a dar por supuesto, sin más, que, en tanto se le entregaba un correo la empresa era su destinataria. De lo anterior resulta que no es posible concluir que la persona física, empleada de INTRUM, que recogió la carta dirigida a la denunciante -que ha quedado identificada a través de su nombre, apellidos y DNI impresos en el acuse de recibo- hubiese conocido al tiempo de su recepción los datos personales de la denunciante que constaban en el sobre. De ser así, parece lógico pensar que no habría llegado al extremo de cumplimentar el acuse e indicar como “datos del receptor” los de la sociedad INTRUM y los suyos propios. Llegados a este punto hay que añadir que una vez que la carta quedó en poder de INTRUM –recibida por su empleada en la creencia de que era la empresa su verdadera destinataria- ignoramos el curso que siguió ni tampoco si un empleado pudo haber verificado que entre el correo recibido obraba una carta que no iba dirigida a la empresa INTRUM sino a la denunciante. INTRUM se ha limitado a responder al requerimiento de la AEPD manifestando que no ha encontrado la referida comunicación y que los datos personales de la denunciante no figuran ni en sus sistemas de información ni en sus ficheros. Así pues la AEPD no tiene constancia fehaciente de que los datos de la denunciante hubieran sido conocidos por un tercero pues, aunque el curso que siguió la carta dirigida a la denunciante en el seno de la empresa INTRUM pudiera haber dado lugar a que un empleado comprobara que no era ella la destinataria de la carta -lo que implicaría que accedió a los datos de su la denunciante (nombre, apellidos y domicilio de la destinataria) que aparecían en el sobre- tal extremo no ha quedado acreditado ni tampoco la identidad de ese hipotético empleado. Recordemos que para la Audiencia Nacional no es admisible imputar una infracción del artículo 10 de la LOPD apoyándose en una mera presunción. En su SAN de 28/05/2009 (Rec. 499/20089) afirmó que la infracción del artículo 10 LOPD, entonces tipificada en el artículo 44.3.g, y actualmente en el artículo 44.3.d, “es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido.” En ese orden de ideas debe tenerse en cuenta que en el Derecho Administrativo sancionador están vigentes -con alguna matización pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución Española que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con ese planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, en relación con el principio de presunción de inocencia, el artículo 137 de LRJPAC establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En consideración a las anteriores reflexiones y en aras del principio de presunción de inocencia, no se aprecia en los hechos que somete a la valoración de esta Agencia una infracción del artículo 10 de la LOPD tipificada en el artículo 4.3.d, de la citada Ley Orgánica. IV Corresponde examinar seguidamente si la conducta de CORREOS es subsumible en el tipo sancionador del artículo 44.3.
5. h)de la LOPD, relativo a una infracción grave consistente en mantener sin las debidas medidas de seguridad que por vía reglamentaria se determinen los ficheros, locales, programas o equipos que contengan datos de carácter personal. La cuestión es por tanto si los hechos objeto de la denuncia demuestran que la entidad denunciada, CORREOS, no tenía implementadas las medidas de seguridad que el artículo 93 del RLOPD le impone encaminadas a garantizar “la correcta identificación y autenticación de los usuarios”, entendiendo por éstos (artículo 5.2.
6. p)del RLOPD) el “sujeto o proceso autorizado para acceder a datos o recursos. (…)” A esta cuestión hay que responder subrayando que, por una parte, la correcta identificación del sujeto que va a acceder a los datos coincide, en el presente caso, con la correcta identificación del destinatario de los envíos postales que se efectúan a través de ese servicio, por lo que el cumplimiento de esa medida coincide con el efectivo cumplimiento del objeto principal de su actividad empresarial. A lo anterior se añade que no se tiene noticia en esta Agencia de hechos semejantes al que se plantea en la denuncia que nos ocupa. Está presente además un elemento de especial relevancia que demuestra que las medidas de control que tiene CORREOS para la correcta identificación de los destinatarios de las cartas que gestiona es total. Nos referimos al hecho de que en respuesta al requerimiento de la Inspección de la AEPD además de manifestar que según el Responsable de la Unidad de Reparto de Madrid el envío “CD**********84 “se incluyó por un error en una relación de envío destinados a INTRUM …” ha facilitado una impresión de pantalla que acredita que mantuvo un seguimiento permanente de la carta de la denunciante. Siendo cierto que en esas impresiones de pantalla aparece erróneamente como destinataria de la carta de la denunciante no ésta sino INTRUM JUSTITIA, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 comprueba que la carta aparece registrada por el número de identificador “CD” y que consta la fecha y hora exacta en la que la carta entró en la Unidad de Reparto; la fecha y hora en la que entró en reparto; y la fecha y hora exacta en la que fue entregada a INTRUM. De las consideraciones precedentes se desprende que no hay evidencias de que CORREOS hubiera incumplido la obligación de mantener las medidas de seguridad descritas en el artículo 93 del RLOPD. Parece que la entrega equivocada a INTRUM de la carta de la denunciante constituye un mero error puntual de CORREOS carente del elemento subjetivo de culpabilidad cuya concurrencia es imprescindible para el ejercicio de la potestad sancionadora. Error surgido en la Unidad de Reparto de CORREOS que consistió en haber incluido la carta destinada a la denunciante entre los envíos dirigidos a INTRUM. Al error puntual carente del elemento subjetivo de la infracción se ha referido la Audiencia Nacional en su Sentencia de 14/12/2006 (Rec. 1363/2005). Si bien la citada sentencia versó sobre una presunta infracción del artículo 10 de la LOPD el razonamiento es también extrapolable a la presunta infracción del artículo 9 LOPD. En la precitada sentencia la Audiencia apreció la ausencia de culpabilidad y se pronunció en los siguientes términos: “Pues bien, la aplicación de la citada Doctrina (de la necesaria culpabilidad para el ejercicio de la potestad sancionadora) al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 bque se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992,en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo” Así las cosas, no concurren indicios razonables de una presunta infracción de la obligación de adoptar las medidas de seguridad previstas reglamentariamente de la que CORREOS fuera responsable, debiendo acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la SOCIEDAD ESTATAL CORREOS Y TELÉGRAFOS. S.A., y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es