1/10 Expediente N.º: EXP202305727 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 14 de marzo de 2023 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 14 de marzo de 2023 tuvo entrada en esta Agencia reclamación presentada por D. A.A.A. (en adelante, la parte reclamante) contra DIGI SPAIN TELECOM, S.L (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso a datos personales. La parte reclamante remitió un correo electrónico a la parte reclamada solicitando “(…) el registro de llamadas de mi línea en el período ***PERÍODO.1”. Tras un intercambio de correos, para la aportación de la solicitud firmada y concreción del período solicitado, la parte reclamada le contesta que “(…) sólo disponemos de servicio de solicitud de llamadas salientes”, a lo que la parte reclamante responde que “(…) He solicitado tanto las llamadas entrantes como las salientes por un asunto de necesidad, en virtud al derecho de acceso que contempla la RGPD.”, reiterando la parte reclamada que ”(…) sólo podemos gestionar detalle de llamadas salientes. Las entrantes no es posible.” Aporta los correos telecomunicaciones. electrónicos intercambiados con el operador de SEGUNDO: Desde la entidad reclamada se puso de manifiesto en la respuesta al trámite de traslado de reclamación efectuado por esta Agencia, que, efectivamente recibieron el ejercicio del derecho de acceso de la parte reclamante y que fue debidamente atendido proporcionándole todos aquellos datos que están en disposición legal de facilitar. Entre ellos las llamadas salientes ya que su legitimación en el tratamiento de estos datos se encontraría en las necesidades de tarificación y cobro por los servicios prestados a sus clientes. Afirma sin embargo que, En relación con las llamadas entrantes, no tienen la misma legitimación. Motiva su imposibilidad de facilitar los datos de llamadas entrantes en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (Ley 25/2007), indicando que la legitimación para el tratamiento de estos datos se encuentra en el artículo 3 de esta ley que establece los datos que deben ser conservados por los operados. En el artículo 5 se establece un plazo general de conservación de doce meses, con excepciones y en los artículos 6 y 7 se regulan las normas generales de cesión de estos datos que sólo podrán cederse por autorización judicial o a los agentes facultados que son los que se establecen en el artículo 6 y donde no se incluye a los operadores telefónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 Además manifiesta que hay que tener en cuenta la afectación a derechos de terceros involucrados en las llamadas que se solicitan. La parte reclamada indica que se pone a disposición de esta Agencia para modificar su posición si la Agencia estima de forma razonada que su posición no es correcta. Por lo expuesto, esta Agencia, en su resolución de fecha 03 de julio de 2023, consideró que el derecho había sido atendido. TERCERO: Disconforme con la resolución, la parte reclamante interpuso recurso de reposición argumentando que solicita el detalle de las llamadas entrantes y salientes asociadas a su línea de teléfono móvil, viéndose su solicitud desatendida ya que el operador de telecomunicaciones reclamado se niega a proporcionarle el registro de las llamadas entrantes en el período solicitado, porque únicamente disponen del servicio de solicitud de llamadas salientes, causándole un perjuicio ya que necesita esta información para un juicio en el que figura como denunciante. Instruido el procedimiento de Recurso de Reposición correspondiente, en el que se dio audiencia a la parte reclamada, con fecha 08 de marzo de 2024, por parte de la Directora de esta Agencia se estimó el mismo. CUARTO: Como consecuencia de la estimación del citado Recurso de Reposición, se procedió a la apertura del presente Procedimiento de Derechos, dando traslado de la documentación a la parte reclamada, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada, señaló, en síntesis, que reitera lo ya señalado en los escritos enviados con anterioridad: “
- Que se debía tener en cuenta la ponderación de derechos y obligaciones no solo de DIGI y el reclamante sino también con respecto a terceros, así como las restricciones descritas en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Esto es, la limitación del tratamiento exclusivamente para la puesta a disposición de los Agentes Facultados y Órganos Judiciales, según lo dispuesto en dicha Ley.
- Que la concreción en el traslado del recurso del período (***PERÍODO.1) solicitado, no cambia su naturaleza como llamadas entrantes cuyo único objeto de conservación es la puesta a disposición de los órganos del Estado señalados en la citada Ley.
- Que, coherentemente, este tipo de información se encuentra a disposición de los Órganos Judiciales que, en caso de que entendieran pertinente y proporcionada la solicitud que realizara el reclamante a través de dichos Órganos Judiciales, podrían y de hecho pueden requerirla a este operador como parte de las facultades de dichos Órganos, todo ello siguiendo las garantías procesales y constitucionales aplicables.
- Que DIGI entiende (…) que la Ley 25/2007 supone una excepción al derecho fundamental a la protección de datos, e igualmente al derecho a la garantía del secreto de las comunicaciones (que también podría verse afectado en caso de ceder información sobre determinadas comunicaciones a terceros distintos de los Agentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 Facultados, según se definen en dicha Ley). Por tanto, como tal restricción, debe ser interpretada de forma restrictiva en toda su aplicación.” La parte reclamada señala que las Directrices 01/2022 se refieren a servicios de mensajería, y que éstos suponen importantes diferencias materiales respecto al canal de comunicación basado en las llamadas. “En efecto, existe una gran variedad de servicios de mensajería. En su mayoría presuponen normalmente la necesidad del receptor final de disponer de distinto tipo de claves para poder acceder al sistema de mensajería. Sin embargo, las llamadas pueden ser atendidas por personal distintas del usuario habitual de la línea. A mayor abundamiento, es muy común en el sector de las telecomunicaciones que una línea esté a nombre de un titular y su usuario sea distinto. (…).” QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, señalando, en síntesis, y por lo que al presente procedimiento interesa, “(…) reiterar en mi postura y la reclamación formulada como titular de la línea en ese momento. Así como recordar que dicha información pertenece a la comunicación entre ambas partes (receptor y emisor de la llamada), y debe estar incluida al requerir el acceso a los datos.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. La apertura del presente procedimiento se produce por la indebida atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el presente caso, del examen de la documentación aportada, ha quedado acreditado que la parte reclamante solicitó un registro de las llamadas entrantes y salientes de su número de teléfono en un período concreto, y que la parte reclamada sólo le ha facilitado las llamadas salientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Las Directrices 1/2022, en su versión de 28 de marzo de 2023, del Comité Europeo de Protección de Datos, señalan lo siguiente: “6.
- Observaciones generales
- El derecho de acceso está sujeto a los límites que resultan del artículo 15, apartado 4, del RGPD (derechos y libertades de los demás) y del artículo 12, apartado 5, del RGPD (solicitudes manifiestamente infundadas o excesivas). Además, la legislación de la Unión o de los Estados miembros puede restringir el derecho de acceso de conformidad con el artículo 23 del RGPD. Las excepciones relativas al tratamiento de datos personales con fines científicos, históricos o estadísticos o fines de archivo en interés público pueden basarse en el artículo 89, apartado 2, y en el artículo 89, apartado 3, del RGPD, y las excepciones para el tratamiento realizado con fines periodísticos o con fines de expresión académica, artística o literaria pueden basarse en el artículo 85, apartado 2, del RGPD.
- Es importante señalar que, aparte de los límites, excepciones y posibles restricciones antes mencionados, el RGPD no permite otras exenciones o excepciones al derecho de acceso. Esto significa, entre otras cosas, que el derecho de acceso no tiene ninguna reserva general a la proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para cumplir con la solicitud de los interesados con arreglo al artículo 15 del RGPD. Además, no está permitido limitar o restringir el derecho de acceso en un contrato entre el responsable del tratamiento y el interesado.” De igual forma, las mismas instrucciones interpretan el alcance del citado derecho de acceso, negando una interpretación excesivamente restrictiva y permitiendo la posibilidad que en su ejercicio se incluyan datos que puedan afectar a otras personas: El alcance del derecho de acceso está determinado por el alcance del concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre, la dirección, el número de teléfono, etc., una amplia variedad de datos pueden estar incluidos en esta definición, como hallazgos médicos, historial de compras, indicadores de solvencia, registros de actividad, actividades de búsqueda, etc. Los datos personales que han sido sometidos a seudonimización siguen siendo datos personales en lugar de datos anónimos. El derecho de acceso se refiere a los datos personales de la persona que realiza la solicitud. Esto no debe interpretarse excesivamente restrictivamente y puede incluir datos que también puedan afectar a otras personas, por ejemplo, el historial de comunicación que involucra mensajes entrantes y salientes. Finalmente, sobre el acceso a los datos de tráfico y localización que se conservan en cumplimiento de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, hay que señalar que el objetivo principal de dicha Ley 25/2007 es establecer la obligación de los operadores de telecomunicaciones de retener determinados datos generados o tratados por los mismos, con el fin de posibilitar que dispongan de ellos los agentes facultados. Se entienden por agentes facultados, entre otros, los miembros de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Cuerpos Policiales autorizados para ello en el marco de una investigación criminal por la comisión de un delito. En este sentido, la Ley es respetuosa con los pronunciamientos que, en relación con el derecho al secreto de las comunicaciones, ha venido emitiendo el Tribunal Constitucional, respeto que, especialmente, se articula a través de dos garantías: en primer lugar, que los datos sobre los que se establece la obligación de conservación son datos exclusivamente vinculados a la comunicación, ya sea telefónica o efectuada a través de Internet, pero en ningún caso reveladores del contenido de ésta; y, en segundo lugar, que la cesión de tales datos que afecten a una comunicación o comunicaciones concretas, exigirá, siempre, la autorización judicial previa. El artículo 1.1 de la citada Ley 25/2007 dispone que “
- Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.” Y el artículo 3, Datos objeto de conservación: “
- Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: a) Datos necesarios para rastrear e identificar el origen de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: i) Número de teléfono de llamada. ii) Nombre y dirección del abonado o usuario registrado. (…) b) Datos necesarios para identificar el destino de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: i) El número o números marcados (el número o números de teléfono de destino) y, en aquellos casos en que intervengan otros servicios, como el desvío o la transferencia de llamadas, el número o números hacia los que se transfieren las llamadas. ii) Los nombres y las direcciones de los abonados o usuarios registrados. (…) c) Datos necesarios para determinar la fecha, hora y duración de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: la fecha y hora del comienzo y fin de la llamada o, en su caso, del servicio de mensajería o del servicio multimedia. (…) d) Datos necesarios para identificar el tipo de comunicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 1º Con respecto a la telefonía de red fija y a la telefonía móvil: el servicio telefónico utilizado: tipo de llamada (transmisión de voz, buzón vocal, conferencia, datos), servicios suplementarios (incluido el reenvío o transferencia de llamadas) o servicios de mensajería o multimedia empleados (incluidos los servicios de mensajes cortos, servicios multimedia avanzados y servicios multimedia). (…) e) Datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación: 1º Con respecto a la telefonía de red fija: los números de teléfono de origen y de destino. 2º Con respecto a la telefonía móvil: i) Los números de teléfono de origen y destino. ii) La identidad internacional del abonado móvil (IMSI) de la parte que efectúa la llamada. iii) La identidad internacional del equipo móvil (IMEI) de la parte que efectúa la llamada. iv) La IMSI de la parte que recibe la llamada. v) La IMEI de la parte que recibe la llamada. vi) En el caso de los servicios anónimos de pago por adelantado, tales como los servicios con tarjetas prepago, fecha y hora de la primera activación del servicio y la etiqueta de localización (el identificador de celda) desde la que se haya activado el servicio. (…) f) Datos necesarios para identificar la localización del equipo de comunicación móvil: 1º La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2º Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones.
- Ningún dato que revele el contenido de la comunicación podrá conservarse en virtud de esta Ley.” El artículo 6, Normas generales sobre cesión de datos, de la mencionada ley establece que: “
- Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.” El artículo 9 de la citada Ley 25/2007, Excepciones a los derechos de acceso y cancelación, dispone que: “
- El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10
- El responsable del tratamiento de los datos denegará el ejercicio del derecho de cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de 13 de diciembre.” Las excepciones respecto al ejercicio de los derechos de los artículos 15 a 22 del RGPD deberán establecerse por ley. Asimismo, de la transcripción del artículo 9 puede fácilmente advertirse que no se establece restricción alguna en relación con la posibilidad de ejercer el derecho de acceso. Únicamente se contienen las obvias precauciones de que al titular de los datos no tendrá que comunicársele la cesión de los mismos (cuestión obvia por tratarse de investigaciones penales), y que no podrá ejercerse el derecho de supresión. La conclusión es que los datos de ubicación de la línea telefónica pueden ser objeto de petición de derecho de acceso de los datos personales por parte de sus titulares. En el presente supuesto, del examen de la documentación aportada por las partes, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada acceso al registro de llamadas entrantes y salientes de su teléfono móvil del año 2022, y que ésta sólo le facilitó el registro de llamadas salientes. Durante la tramitación del procedimiento la parte reclamada ha señalado que “(…) se debía tener en cuenta la ponderación de derechos y obligaciones no solo de DIGI y el reclamante sino también con respecto a terceros, así como las restricciones descritas en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Esto es, la limitación del tratamiento exclusivamente para la puesta a disposición de los Agentes Facultados y Órganos Judiciales, según lo dispuesto en dicha Ley. A tal respecto conviene indicar que, en el presente caso, el ejercicio del derecho de acceso se basa en un registro de llamadas y no en el contenido de las comunicaciones de las mismas. Por tanto, no existe una afectación a los derechos y obligaciones de terceros puesto que únicamente figurará en los mismos el titular de la llamada entrante o saliente, la fecha y la hora de dicha llamada y, en su caso, la duración de la misma. Dichos datos ya figuran por defecto en los dispositivos móviles cuando son realizados y recibidos por sus titulares. En este caso, la denegación del acceso no puede basarse en una supuesta limitación del derecho de acceso impuesta por la Ley 25/2007, por cuanto, como ya se ha señalado, esta ley no establece ninguna limitación para el ejercicio del derecho de acceso. En consecuencia, procede estimar la reclamación que dio lugar al presente procedimiento al objeto de que la parte reclamada facilite el acceso solicitado o deniegue fundada y motivadamente el mismo. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a DIGI SPAIN TELECOM, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 S.L. con NIF B84919760, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a DIGI SPAIN TELECOM, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es