1/10 Expediente N.º: EXP202311351 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 27 de julio de 2023 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 27 de julio de 2023 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra SERVICIO CANARIO DE LA SALUD (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de supresión. La parte reclamante expone que, a través de correo certificado de fecha de entrega 16 de junio de 2023, solicitó la supresión de un episodio asistencial de hace de más de 22 años que se conserva en su historia clínica, sin obtener respuesta. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, sin que conste que se haya presentado ninguna respuesta. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 25 de octubre de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, presentando un escrito, con fecha 30 de octubre de 2023, indicando, en síntesis, que la solicitud de supresión de datos de historia clínica que recibieron con fecha 19 de junio de 2023, aún no se ha podido evaluar su petición, y que le remitirán un documento informando de los motivos de esa demora, aportando copia de escrito que le será enviado. Con fecha 13 de noviembre de 2023 la parte reclamada ha remitido un nuevo escrito “Resolución del Director del Servicio Canario de la Salud en procedimiento de ejercicio de derechos para la protección de datos, supresión, presentada por A.A.A.” en la que resuelve “NO ESTIMAR la solicitud de supresión de datos personales presentada por A.A.A., en los términos indicados en el apartado HECHOS Segundo.” Ese Hechos Segundo indica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 “Segundo.- Recibida la solicitud y documentación que la acompaña, se remitió a la Dirección Gerencia del Complejo Hospitalario Universitario Insular Materno-Infantil. El 10 de octubre de 2023 la Gerencia responde: “No procede ninguna cancelación en base al Decreto 178/2005 de 26 de julio, artículo 29, por el que se aprueba el reglamento que regula la HC en los Centros y establecimientos Hospitalarios y establece el contenido, conservación y expurgo de sus documentos.”. El precitado artículo 29 establece los plazos de conservación de la documentación clínica, obligando a la conservación de manera definitiva de los informes clínicos de alta. Estos informes, recogerán según el artículo 13 del Decreto 178/2005, entre otros, el diagnóstico principal relativo al proceso patológico que tras el estudio pertinente se considera el responsable del ingreso del paciente en el hospital.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, señalando, en síntesis, que no ha recibido el escrito que indica la parte reclamada informando de la demora en la tramitación de su solicitud de supresión. Manifiesta que fundamenta su solicitud en la inclusión en el informe de alta de un diagnóstico de una enfermedad crónica de pronóstico grave sin haber llevado a cabo una exploración y valoración adecuada, para lo que se aporta un informe pericial (...). Además, mantener dicho diagnóstico erróneo en el historial, genera malestar moral y estigmatiza al reclamante. “(…) los datos recogidos en el informe de alta que se pretende rectificar/ suprimir no son pertinentes ni veraces por lo que procede hacer efectivo el derecho requerido por el interesado, al considerar que esta información no es correcta ni es imprescindible para la prestación de una adecuada asistencia sanitaria tal como se corrobora en el informe pericial (…) adjunto como Anexo II. (…) La trascendencia médica para el conocimiento veraz y actualizado del estado de salud del paciente es el criterio que se debe aplicar para determinar que los datos deben mantenerse en la historia médica. Por tanto, en la resolución del derecho de supresión se deberían incluir razones de orden sanitario que justifiquen la conservación de los datos personales controvertidos. El Complejo Hospitalario en su respuesta al ejercicio del derecho de supresión de 26 de junio de 2014 no justificó razonadamente el motivo exacto por el que era necesario conservar los datos del reclamante. El reclamante considera que debe estimarse la petición de supresión al no existir razones de orden sanitario que justifiquen la conservación del diagnóstico erróneo por los siguientes motivos: 1.- El ingreso sobre el que se solicita la supresión se produjo hace 22 años y que desde dicha fecha el A.A.A. no ha padecido problema (…). Es más, no se la ha vuelto a citar por este Complejo Hospitalario para revisión alguna desde entonces. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 2.- El informe pericial (...) emitido pone de manifiesto que el paciente no cumplía los criterios clínicos para el diagnóstico que se le dio por el Complejo Hospitalario en 2001, ni actualmente los cumple, siguiendo los criterios clínicos de los manuales diagnósticos actuales. Por tanto, existe un perfecto estado (…) del reclamante, habida cuenta de la ausencia durante los últimos 20 años de asistencias (…). 3.- Existe un daño moral del denunciante ante la negativa de suprimir unos datos erróneos. (…)” QUINTO: Otorgada audiencia al responsable, éste señaló que, en cuanto al escrito de información sobre los motivos de demora que manifestaron que iban a remitir a la parte reclamante, finalmente dicho escrito no fue remitido, respondiendo directamente al ejercicio del derecho. La parte reclamada indica que: “Cuarta.- En cuanto a las alegaciones donde manifiesta su disconformidad con la resolución desestimatoria de la Dirección del Servicio Canario de la Salud respecto de la solicitud del ejercicio de derecho de supresión de datos de salud en su historia clínica, se entiende que la misma no forma parte del presente procedimiento, dado que el objeto de la reclamación viene motivada por no atender el ejercicio de derecho de supresión en el plazo legalmente establecido, según la propia reclamación de la parte interesada ante la AEPD y puesto que la resolución no había sido elaborada en el momento de presentar la misma. Por tanto, dado que la disconformidad con la resolución no es objeto del presente procedimiento, consideramos que la AEPD deberá emitir resolución congruente con las peticiones formuladas por el interesado, de conformidad con el artículo 88 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 25 de octubre de 2023, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones". La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, (en lo sucesivo, LAP) establece en el artículo 17, La conservación de la documentación clínica, que “1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. No obstante, los datos de la historia clínica relacionados con el nacimiento del paciente, incluidos los resultados de las pruebas biométricas, médicas o analíticas que en su caso resulten necesarias para determinar el vínculo de filiación con la madre, no se destruirán, trasladándose una vez conocido el fallecimiento del paciente, a los archivos definitivos de la Administración correspondiente, donde se conservarán con las debidas medidas de seguridad a los efectos de la legislación de protección de datos. 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Sin perjuicio del derecho al que se refiere el artículo siguiente, los datos de la historia clínica relacionados con las pruebas biométricas, médicas o analíticas que resulten necesarias para determinar el vínculo de filiación con la madre del recién nacido, sólo podrán ser comunicados a petición judicial, dentro del correspondiente proceso penal o en caso de reclamación o impugnación judicial de la filiación materna. 3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes. 4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario. 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. 6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” El Decreto 178/2005, de 26 de julio, por el que se aprueba el Reglamento que regula la historia clínica en los centros y establecimientos hospitalarios y establece el contenido, conservación y expurgo de sus documentos establece que Artículo 29. Conservación y expurgo de los documentos. “1. La conservación de la historia clínica se rige por lo dispuesto en la legislación básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, teniendo los centros sanitarios la obligación de conservar las historias clínicas en condiciones que garanticen su seguridad y correcta conservación, cualquiera que sea el soporte papel, audiovisual, informático o de otro tipo en el que consten, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. 2.A) Podrán ser destruidos a partir de los cinco años desde la fecha de alta de cada episodio asistencial, los siguientes documentos contenidos en su historia clínica:
- a)Hoja clínico-estadística.
- b)Hoja del recién nacido, en la historia clínica de la madre.
- c)Hoja de solicitud de interconsulta y pruebas complementarias, siempre que no contenga el resultado de la prueba complementaria.
- d)Hoja de controles y cuidados específicos de enfermería. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10
- e)Gráficas de constantes.
- f)Hoja de urgencias.
- g)Radiografías y otros documentos iconográficos, conservando los informes. B) Igualmente podrán destruirse a partir de los cinco años, las hojas de anamnesis y de exploración física y las hojas de evolución de los episodios asistenciales de los que exista informe de alta. 3. Transcurridos veinte años desde la última actividad asistencial recogida en la historia clínica, podrán ser destruidos los siguientes documentos:
- a)Hoja de Autorización de ingreso.
- b)Hoja de consentimiento informado.
- c)Hoja quirúrgica.
- d)Hoja de órdenes médicas.
- e)Hoja de control de medicación.
- f)Hoja de parto.
- g)Hoja del recién nacido, de su propia historia clínica.
- h)Hoja de anestesia.
- i)Hoja de transfusión.
- j)Informes de exploraciones complementarias.
- k)Hoja de alta voluntaria.
- l)Informes de Anatomía Patológica.
- m)Informes de necropsias.
- n)Otros documentos que no aparezcan citados en el presente artículo. 4. Se conservarán de manera definitiva:
- a)Los informes clínicos de alta.
- b)Las hojas de anamnesis y exploración física y las hojas de evolución de los episodios asistenciales de los que no exista informe de Alta.” Artículo 30. Comisión de Seguimiento, Valoración y Expurgo de documentación clínica. “La Comisión de Seguimiento, Valoración y Expurgo de documentación clínica es el órgano colegiado encargado, entre otras funciones, de la implantación de la historia clínica unificada y del seguimiento de los documentos que integran la misma, de planificar y programar el conjunto del proceso de conservación de la documentación contenida en las historias clínicas y garantizar que los procesos de expurgo se lleven a cabo con todo tipo de garantías. Las funciones específicas de la Comisión se regulan en el Reglamento Orgánico del departamento competente en materia de sanidad.” V Conclusión El procedimiento de derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso, sólo se analizarán y valorarán los hechos relativos a los mismos, quedando fuera el resto de cuestiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 En el presente supuesto, y teniendo en cuenta lo dispuesto en los dos primeros párrafos de este Fundamento de Derecho V, ha quedado acreditado que la parte reclamante solicitó la supresión de un episodio asistencial de hace de más de 22 años que se conserva en su historia clínica, sin obtener respuesta. Durante la tramitación de presente procedimiento la parte reclamada ha dictado una resolución en la que no estima la solicitud de la parte reclamante, basándose en la normativa sanitaria. Hay que señalar que esta Agencia carece de competencias en materia sanitaria, pudiendo las partes dirigirse a las instancias correspondientes en esa materia para plantear sus discrepancias. Por ello, no puede entrar a valorar si la supresión solicitada procede o no ser atendida. No obstante, la parte reclamada no ha aportado prueba documental alguna que permita considerar que ha contestado expresamente a la parte reclamante remitiéndole la preceptiva respuesta tal como establece el artículo 12.4 del RGPD, atendiendo el derecho solicitado y denegando motivadamente el mismo. Así, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 17 del RGPD e instar a SERVICIO CANARIO DE LA SALUD con NIF Q8555011I, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a SERVICIO CANARIO DE LA SALUD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es