PD-00075-2024

1/10  Expediente N.º: EXP202403900 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 25 de febrero de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 25 de febrero de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra PREVENFORMACIO, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso a sus datos personales. La parte reclamante manifiesta que desde el 8 de agosto de 2023 viene solicitando el derecho de acceso a sus datos a la entidad reclamada sin haber obtenido respuesta. De forma concreta, afirma haber solicitado información detallada y específica que incluye:       Datos de contacto del responsable del tratamiento de datos y, si corresponde, la identidad y datos del representante, así como los datos de contacto del delegado de protección de datos. Una descripción ampliada de los fines del tratamiento de los datos, los plazos o criterios de conservación, y cualquier decisión automatizada, perfiles creados y lógica aplicada en el proceso. Información sobre la base jurídica del tratamiento, en caso de obligación legal, interés público o legítimo, y detalles sobre la obligación o no de proporcionar los datos y las consecuencias de no hacerlo. Detalles de los destinatarios o categorías de destinatarios de sus datos, así como las decisiones de adecuación, garantías, normas corporativas vinculantes o situaciones específicas aplicables. Explicación de cómo ejercer los derechos de acceso, rectificación, supresión, portabilidad, y la limitación u oposición al tratamiento, incluyendo el derecho a retirar el consentimiento y a reclamar ante la Autoridad de Control. Información detallada del origen de los datos, incluso si proceden de fuentes de acceso público, y la categoría de datos tratados. Junto a su escrito aporta la siguiente documentación: -Correo electrónico, de 8 de febrero de 2024, solicitando el acceso a la información anteriormente citada, dirigido a las direcciones info@prevenformat.com.eevid.com y ***EMAIL.2, desde la dirección ***EMAIL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 -Certificado eEvid de confirmación de entrega del correo de fecha 08 de agosto de 2023, al destinatario info@prevenformat.com, con el asunto “DERECHOS ARCO EJERCICIO DEL DERECHO DE ACCESO”, remitido desde la dirección ***EMAIL.1 -Captura de los datos de contacto de la parte reclamada SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada procedió a dar respuesta manifestando lo siguiente:        Respecto a si recibieron la solicitud de ejercicio de derechos de protección de datos, confirmaron que sí, que la solicitud fue recibida el 8 de agosto de 2023 a las 18:45h. En cuanto a si han dado respuesta a la solicitud de ejercicio de derechos, indicaron que efectivamente respondieron tras recibir la notificación oficial relacionada con la reclamación. En relación con el estado de los datos solicitados y si se encuentran bloqueados, señalaron que estos fueron bloqueados a partir de la fecha en que recibieron la notificación correspondiente a la reclamación. Sobre si han adoptado alguna decisión respecto a la reclamación, informaron que se ha decidido modificar el procedimiento de respuesta a las solicitudes de derechos, de manera que, en el futuro, siempre se proporcione una respuesta al solicitante, ya sea que la solicitud proceda o no. En lo que respecta a la respuesta dada a la reclamación tras el traslado por parte de la Agencia, indicaron que se ha proporcionado la respuesta y adjuntaron la acreditación correspondiente. En cuanto a las causas que motivaron la incidencia que originó la reclamación, explicaron que la solicitud de ejercicio de derechos fue recibida durante el periodo vacacional. Al revisar la solicitud, se comprobó que el solicitante no aparecía en los registros como cliente. Debido a la carga de trabajo y la falta de recursos humanos, se asumió que el correo había sido enviado por error a un destinatario incorrecto. Finalmente, en relación con las medidas adoptadas para evitar que se produzcan incidencias similares, indicaron que la reclamación ha motivado la modificación del procedimiento, para incluir la verificación no solo de si el reclamante figura como cliente, sino también en la lista de datos personales tratados por la empresa en calidad de encargada del tratamiento. Además, se ha decidido priorizar la respuesta a este tipo de solicitudes, tanto para interesados directos como para responsables de tratamiento. Prevé que estas medidas se implementen a lo largo del tercer trimestre del año, y que se realicen controles periódicos para verificar su efectividad. La parte reclamada ha aportado un hilo de correos electrónicos donde consta la respuesta emitida en fecha 20 de marzo de 2024 indicando las categorías de datos de que dispone, sin especificar los datos reales de la parte reclamante, señalando, además, que “(…) ejercemos como empresa encargada de tratamiento con contrato de la empresa Responsable de tratamiento ***EMPRESA.1, para el control de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 asistencia a cursos de formación”, que los datos han sido facilitados por el responsable del tratamiento y que éstos no han sido facilitados a terceras empresas. La parte reclamada ha adjuntado, copia del correo electrónico remitido a la parte reclamante, en fecha 20 de marzo de 2024, en el que le informan de las categorías de datos de que dispone, sin especificar los datos reales de la parte reclamante, señalando, además, que “(…) ejercemos como empresa encargada de tratamiento con contrato de la empresa Responsable de tratamiento ***EMPRESA.1, para el control de asistencia a cursos de formación”, que los datos han sido facilitados por el responsable del tratamiento y que éstos no han sido facilitados a terceras empresas TERCERO: Examinada la respuesta a la actuación de traslado y solicitud de información realizada por esta Agencia, se consideró que había determinados aspectos que era necesario aclarar. Por ello, se le concedió un plazo de cinco días hábiles para que acredite, de forma fehaciente, la respuesta facilitada a la parte reclamante tras el traslado, ya que la reclamación se formuló por no haber recibido la respuesta reglamentaria: La parte reclamada ha adjuntado, de nuevo, copia del correo electrónico remitido a la parte reclamante, en fecha 20 de marzo de 2024, en el que le informan de las categorías de datos de que dispone, sin especificar los datos reales de la parte reclamante, señalando, además, que “(…) ejercemos como empresa encargada de tratamiento con contrato de la empresa Responsable de tratamiento ***EMPRESA.1, para el control de asistencia a cursos de formación”, que los datos han sido facilitados por el responsable del tratamiento y que éstos no han sido facilitados a terceras empresas CUARTO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante, dado que el derecho de acceso a los datos personales se ha facilitado de forma incompleta, por cuanto únicamente informa las categorías de datos tratados, pero no ha facilitado los datos que conciernen a la parte reclamante. En consecuencia, con fecha 29 de abril de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada ha aportado hilo de correos en el que consta nuevamente el correo de 20 de marzo de 2024 dirigido a la parte reclamante. Asimismo, constan en el hilo de correos otras dos respuestas dirigidas a la parte reclamante, en fechas 13 y 16 de mayo de 2024, en las que especifican los datos del reclamante relativos a su nombre, apellidos y DNI, así como que el origen de los datos es la empresa responsable del tratamiento y reiteran que ejercen como encargado de tratamiento de la empresa ***EMPRESA.1, para la inscripción del trabajador a la formación, para el control de asistencia a cursos de formación y la creación de los certificados correspondientes a la formación si procede. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 En particular en el correo remitido a la parte reclamante, en fecha 16 de mayo de 2024, se procede a dar contestación a la solicitud del reclamante en los siguientes términos: “Buenos días A.A.A. En ampliación de información a su solicitud al ejercicio del derecho de acceso le comunicamos lo siguiente. Datos tratados: • Nombre: A.A.A. • Apellidos: A.A.A. • Numero DNI: ***NIF.1 Finalidad: Ejercemos como empresa encargada de tratamiento con contrato de la empresa Responsable de tratamiento ***EMPRESA.1, para la inscripción del trabajador a la formación, para el control de asistencia a cursos de formación y la creación de los certificados correspondientes a la formación si procede. En este caso sus datos fueron necesarios para una charla formativa de prevención de riesgos laborales que la empresa ***EMPRESA.1 nos encargó realizar al personal de nueva incorporación. Origen de los datos: Datos facilitados por la empresa Responsable del tratamiento, ***EMPRESA.1 Comunicaciones realizadas: No se han facilitado los datos tratados a terceras empresas.” QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, no constando en esta Agencia que se haya presentado ninguna respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 29 de abril de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión Las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso, del Comité Europeo de Protección de Datos, versión 2.0, adoptadas el 28 de marzo de 2023, indican en el apartado 19 lo siguiente: “El acceso a los datos personales es el segundo componente del derecho de acceso en virtud del artículo 15, apartado 1, y constituye el núcleo de este derecho. Se refiere a la noción de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre y la dirección, una variedad ilimitada de datos puede estar incluida en esta definición, siempre que entren en el ámbito material del RGPD, especialmente en lo que respecta a la forma en que se procesan (artículo 2 del RGPD). El acceso a los datos personales significa el acceso a los datos personales reales, no solo una descripción general de los datos ni una mera referencia a las categorías de datos personales tratados por el responsable del tratamiento. Si no se aplican límites o restricciones, los interesados tienen derecho a tener acceso a todos los datos tratados en relación con ellos, o a partes de los datos, en función del alcance de la solicitud (véase sec. 2.3.1). La obligación de facilitar el acceso a los datos no depende del tipo o la fuente de dichos datos. Se aplica en toda su extensión incluso en los casos en que la persona requirente haya facilitado inicialmente los datos al responsable del tratamiento, ya que su objetivo es informar al interesado sobre el tratamiento efectivo de dichos datos por parte del responsable del tratamiento. (...)” El artículo 28 RGPD, Encargado del tratamiento, establece que: “3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado: a) (..) e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 (…) h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor por dicho responsable. (…)” Las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas el 7 de julio de 2021 señalan que “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte.5 Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).6 Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable. (…) APARTADO II: DIFERENTES CONSECUENCIAS DE LA ATRIBUCIÓN DE FUNCIONES 1 RELACIÓN ENTRE EL RESPONSABLE DEL TRATAMIENTO Y EL ENCARGADO DEL TRATAMIENTO 93. Un nuevo rasgo característico del RGPD son las disposiciones que imponen obligaciones directamente a los encargados del tratamiento. Por ejemplo, el encargado del tratamiento debe garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad (artículo 28, apartado 3), debe llevar un registro de todas las categorías de actividades de tratamiento (artículo 30, apartado 2) y debe aplicar medidas técnicas y organizativas apropiadas (artículo 32). También debe designar un delegado de protección de datos cuando se den determinadas condiciones (artículo 37) y tiene el deber de notificar sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento (artículo 33, apartado 2). Además, las reglas sobre las transferencias de datos a terceros países (capítulo V) no solo se aplican a los responsables del tratamiento, sino también a los encargados. En este sentido, el CEPD considera que el artículo 28, apartado 3, del RGPD, pese a prescribir la inclusión de un contenido concreto en el contrato necesario entre el responsable y el encargado del tratamiento, impone obligaciones directas a los encargados, incluido el deber de ayudar al responsable del tratamiento a garantizar el cumplimiento de las obligaciones. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 1.3.5 El encargado asistirá al responsable para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados [artículo 28, apartado 3, letra e), del RGPD] 130. Aunque corresponde al responsable asegurar que se dé respuesta a las solicitudes de los interesados, el contrato debe incluir la obligación de asistencia del encargado «a través de medidas técnicas y organizativas apropiadas, siempre que sea posible». El tipo de asistencia puede variar en gran medida «teniendo en cuenta la naturaleza del tratamiento» y dependiendo del tipo de actividad encomendada al encargado. Los detalles sobre la asistencia que debe prestar el encargado deben incluirse en el contrato o en un anexo al mismo. 131. Aunque la asistencia puede consistir simplemente en comunicar sin dilación cualquier solicitud que se reciba o en permitir al responsable que extraiga y gestione directamente los datos personales pertinentes, en determinadas circunstancias, se asignarán al encargado unos deberes más específicos y técnicos, especialmente cuando esté en disposición de extraer y gestionar los datos personales. (…).” Al fijar las estipulaciones del contrato sobre la atención de los derechos de los interesados, para definir el tipo de asistencia que el encargado del tratamiento puede prestar al responsable, podrá convenirse que la gestión práctica de las solicitudes individuales se realice por el encargado del tratamiento. En el supuesto aquí analizado, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada acceso a sus datos personales, y que ésta, en un primer momento, le facilitó las categorías de datos de que dispone, sin especificar los mismos, y le indicó que es encargado de tratamiento para la empresa ***EMPRESA.1. Posteriormente, tras la admisión a trámite de la reclamación presentada, la parte reclamada ha informado a la parte reclamante de sus datos personales reales, de la finalidad, del origen de los mismos, así como de las comunicaciones realizadas, sin que ésta haya realizado ninguna manifestación en contra de la atención del derecho de acceso prestada. En consecuencia, procede estimar, por motivos formales, la reclamación presentada al haber sido atendido el derecho extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte de la parte reclamada en orden a emitir una nueva certificación sobre la atención del derecho. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A. contra PREVENFORMACIO, S.L.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a PREVENFORMACIO, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es