Procedimiento Nº: PS/00006/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 27/08/2018 tiene entrada en el Registro de la Agencia Española de Protección de Datos (AEPD) una reclamación de D. A.A.A. (en lo sucesivo, el reclamante) en la que expone que la página ***URL.1 incumple la normativa de protección de datos. La entidad responsable de la web banderacatalana.cat es la sociedad GRUP BC, S.L., con NIF B65880916 (en adelante, el reclamado). SEGUNDO: A la vista de la reclamación formulada, la AEPD, en el marco del expediente con referencia E/7148/2018, mediante escrito de fecha 09/10/2018, notificado electrónicamente, dio traslado de la reclamación al reclamado y le solicitó información sobre las medidas que hubiera adoptado para poner fin a la situación irregular denunciada. El certificado emitido por la FNMT que obra en el expediente acredita que el escrito de traslado se puso a disposición del reclamado en la sede electrónica el 09/10/2018 y que el 20/10/2018 se produjo el rechazo automático. La AEPD reiteró la notificación al reclamado el 25/10/2018, esta vez a través de correo postal que consta entregado -así lo acredita el certificado expedido por la Sociedad Estatal Correos y Telégrafos, S.A.- el 29/10/2018 a las 10:37 horas. Se notificó por correo postal al reclamante un escrito en el que se acusaba recibo de su reclamación y se le informaba del traslado al reclamado. En fecha 31/10/2018 este escrito se devuelve a la AEPD al no haber sido retirado de la oficina de Correos en la que se depositó después de dos intentos de entrega con resultado ausente. De conformidad con lo dispuesto en el artículo 65.5 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha 12/12/2018 se firma el acuerdo de admisión a trámite de la presente reclamación. Al amparo del artículo 67.1 de la LOPDGDD, la Inspección de Datos de la AEPD lleva a cabo las siguientes actuaciones a fin de determinar los hechos y las circunstancias que justifican la tramitación del procedimiento. En fecha 31/01/2019 se accede a la Política de Privacidad de la página ***URL.1 y se constatan los siguientes extremos. - La página web ***URL.1 ofrece en el apartado denominado información (“Informaciò”) y dentro de él en el subapartado texto legal (“Text Legal”), el acceso a su Política de Privacidad. - La Política de Privacidad a la que se accede informa de que el responsable del tratamiento de los datos es “Grupo Bandera Catalana”, Grup BC, S.L., (B65880916), con domicilio en calle Venus 86 B, Terrassa 08228. - La Política de Privacidad de la reclamada dedica sendos apartados a estas cuestiones: El responsable (i); las finalidades, legitimación y conservación del tratamiento de los datos enviados a través de formularios de contacto, correos electrónicos y suscripción a su newsletter (ii); los destinatarios de los datos (iii); los derechos en relación con sus datos personales (iv); cookies (v); seguridad de sus datos personales (
- vi)y actualización de sus datos personales (vii). - A su vez, el segundo de los apartados mencionados - finalidades, legitimación y conservación del tratamiento de los datos enviados a través de formularios de contacto, correos electrónicos y suscripción a su newsletter- detalla, dependiendo del medio por el que el titular los haya facilitado, cuál es la finalidad del tratamiento y cuál la legitimación para el tratamiento de los datos personales. Se hace constar para cada uno de los medios de recogida de datos empleados la siguiente legitimación (“Legitimaciò”): El consentimiento del usuario al solicitarnos información a través de nuestro formulario de contacto. El consentimiento del usuario al solicitarnos información a través de la dirección de correo electrónico. El consentimiento del usuario al suscribirse a nuestros envíos comerciales o newsletters. Más adelante, la información legal de la página web ***URL.1, en el mismo apartado destinado a finalidades, legitimación y conservación del tratamiento de los datos enviados a través de formularios de contacto, correos electrónicos y suscripción a la newsletter, indica que el suministro de datos personales requiere una edad mínima de 13 años o si procede, disponer de capacidad jurídica suficiente para contratar (el subrayado es de la AEPD). Dado que la página web ***URL.1, y por tanto también la Política de Privacidad, utiliza exclusivamente una de las lenguas cooficiales de Cataluña, el catalán, se transcribe la información aludida tal y como se ofrece, esto es, redactada en catalán: “El subministrament de dades personals requereix una edat mínima de 13 anys o, si s`escau, disposar de capacitat jurídica suficient per contractar”) (El subrayado es de la AEPD) TERCERO: Con fecha 06/02/2019, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 13.1, en relación con los artículos 6.1.
- a)y 8.1 del RGPD y en relación con el artículo 7 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD). Infracción contemplada en el artículo 83.5 del RGPD. CUARTO: El acuerdo de inicio fue notificado al reclamado electrónicamente, conforme a lo prevenido en el artículo 14 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). El certificado expedido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT, que obra en el expediente, prueba que el acuerdo de inicio se puso a disposición de la entidad el 07/02/2019 siendo rechazado en fecha 18/02/2019. Esta Agencia reiteró la notificación del acuerdo de inicio del expediente a través de correo postal dirigido al domicilio social del reclamado. El certificado expedido por la Sociedad Estatal Correos y Telégrafos acredita que el acuerdo de apertura fue notificado al reclamado figurando como fecha de entrega el 04/03/2019 a las 10:33 horas. Con arreglo al artículo 73.1 de la LPACAP “Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto”, salvo cuando la norma fije un plazo distinto. En el acuerdo de inicio del PS /0006/2019 se otorgó un plazo de diez días hábiles para formular alegaciones y se hizo constar, además, tal y como previene el artículo 64.2.
- f)de la Ley 39/2015 que, en caso de no formular en el plazo previsto alegaciones sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso sobre la responsabilidad imputada. No se tiene noticia en esta Agencia de que el reclamado hubiera formulado alegaciones al acuerdo de apertura del procedimiento sancionador. Mediante diligencia de fecha 31/10/2019 se deja constancia por la instructora del expediente del resultado del acceso efectuado en esa fecha a la Política de Privacidad de la página web banderacatalana.cat. Las capturas de pantalla obtenidas de ese sitio web evidencian que en el apartado “Finalidad, legitimación y conservación de los tratamientos de los datos enviados a través de: Formulario de contacto (…) Envío de correos electrónicos ( …) Suscripción a nuestra newsletter” de la información legal continúa existiendo idéntica información que la que aparecía en fecha 31/01/2019: El suministro de datos personales requerirá una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar. Asimismo, las capturas de pantalla incorporadas a la diligencia de constancia levantada en fecha 31/10/2019 acreditan que la página ***URL.1 informa de que “el nuevo responsable de la web alojado en ***URL.2 y del tratamiento de los datos personales” es el señor B.B.B. con número de identificación fiscal ***NIF.1 y domicilio fiscal en calle ***DIRECCIÓN.1 Habida cuenta de que el reclamado no formuló alegaciones al acuerdo de inicio del expediente sancionador, al amparo del artículo 64.2.
- f)de la LPACAP y toda vez que en el acuerdo de iniciación se contenía un pronunciamiento específico y determinado sobre la responsabilidad del imputado, se omite el trámite de propuesta de resolución y se pasa a dictar la correspondiente resolución Se consideran probados en el presente procedimiento los siguientes, HECHOS 1.- En fecha 31/01/2019 el sitio ***URL.2 informa de que Grup BC, S.L., con NIF B65880916, es el responsable del tratamiento de los datos personales. Facilita su dirección postal (calle Venus 86 B, Terrassa 08228) y una dirección electrónica: ***EMAIL.1 2. En esa fecha, 31/01/2019, la política de privacidad a la que se puede acceder desde el sitio web precitado se refiere, entre otras materias, a las “Finalidades, legitimación y conservación de los tratamientos de los datos enviados a través de: formularios de contacto (…) Envío de correos electrónicos (…) Suscripción a nuestra Newsletter (…)” En este subapartado – “Suscripción a nuestra Newsletter”- se indica lo siguiente: “Finalidad: Envío de nuestro boletín comercial, comunicaciones informativas y publicitarias sobe nuestros productos o servicios que sean de su interés, incluso por medios electrónicos (correo electrónico, SMS, etc). Legitimación: El consentimiento del usuario al suscribirse a nuestros envíos comerciales o newsletters. Conservación: Hasta que el interesado revoque el consentimiento y solicite la baja del servicio. Obligación de facilitar sus datos personales y consecuencia de no hacerlo. “El suministro de datos personales requiere una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar”. (El subrayado es de la AEPD) 3. La notificación al reclamado del acuerdo de inicio del expediente PS/0006/2019 se efectuó electrónicamente en fecha 07/02/2019 (fecha de puesta a disposición) y fue rechazada automáticamente el 18/02/2019. Así lo acredita el certificado de la FNMT que obra en el expediente. 4. En fecha 04/03/2019, a las 10.30 horas, el reclamado recogió el acuerdo de inicio del PS/006/2019 habida cuenta de que la AEPD reiteró la notificación a través de correo postal. Obra en el expediente el certificado expedido por la Sociedad Estatal Correos y Telégrafos que así lo acredita. 5. No consta en el Registro de la AEPD que el reclamado haya formulado alegaciones al acuerdo de inicio del PS/006/2019. 6. En fecha 31/10/2019, la página web banderacatalana.cat ofrece en materia de política de privacidad esta información. En el apartado “Finalidad, legitimación y conservación de los tratamientos de los datos enviados a través de: Formulario de contacto (…) Envío de correos electrónicos ( …) Suscripción a nuestra newsletter” continúa existiendo una información idéntica a la que aparecía en fecha 31/01/2019: El suministro de datos personales requerirá una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar. 7. En fecha 31/10/2019 la página ***URL.1 informa de que “el nuevo responsable de la web alojada en ***URL.2 y del tratamiento de los datos personales” es el señor B.B.B. con número de identificación fiscal ***NIF.1 y domicilio fiscal en calle ***DIRECCIÓN.1 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la vulneración del artículo 13.1 del RGPD, en relación con los artículos 6.1.a, y 8 del citado Reglamento 2016/679. Infracción tipificada en el artículo 83.5 del RGPD y, a los efectos de prescripción, calificada por la LOPDGDD como infracción muy grave (artículo 72.1.h). El artículo 13 del RGP, bajo la rúbrica “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que éstos se obtengan, le facilitará toda la información indicada a continuación: a La identidad y los datos de contacto del responsable y, en su caso, de su representante; a Los datos de contacto del delegado de protección de datos, en su caso;
- a)Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;” (El subrayado es de la AEPD) A tenor del precepto transcrito el responsable del tratamiento está obligado a informar al interesado cuyos datos personales se recaban de cuál es la “base jurídica del tratamiento” que va a realizar; lo que implica informar de la legitimación que tiene la entidad que recoge los datos para el específico tratamiento que pretende llevar a cabo. A ese respecto, el artículo 5.1.
- a)del RLOPD menciona entre los principios que rigen el tratamiento de datos personales el de “licitud”. La “Licitud del tratamiento” se regula en el artículo 6 del RGPD que señala: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. (…) (El subrayado es de la AEPD) La disposición transcrita se complementa con el artículo 8 del mismo texto legal -RGPD- que versa sobre las “Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información”: “1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal consentimiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y sólo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que ésta no sea inferior a 13 años. 2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible. 3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño”. (El subrayado es de la AEPD) La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales (en adelante, LOPDGDD), que entró en vigor el 7 de diciembre (Disposición Final decimosexta) ha hecho uso de la habilitación que el artículo 8.1., inciso último, del RGPD otorga a los Estados miembros para que determinen la edad en la que es lícito que un menor de 16 años otorgue su consentimiento al tratamiento de sus datos en relación con la oferta directa de servicios de la sociedad de la información. La LOPDGDD, dentro de los límites del Reglamento 2016/697, fija la edad para consentir el tratamiento de datos en los 14 años cumplidos. El artículo 7 de la LOPDGDD bajo la rúbrica “Consentimiento de los menores de edad”, dice: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en los que la ley exija la asistencia de los titulares de la patria potestad para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, sólo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” (El subrayado es de la AEPD) III La página web ***URL.1 oferta la venta telemática de diversos productos y ofrece la posibilidad a quienes lo deseen de suscribirse a su boletín comercial o newsletter con la finalidad de recibir comunicaciones informativas y publicitarias sobre sus productos o servicios; comunicaciones que -dice- se recibirán también a través de medios electrónicos “(Correo electrónico, SMS, etc)”. La página web detalla que la base jurídica del tratamiento de datos personales mediante el envío de los boletines comerciales es el consentimiento que presta el usuario cuando se suscribe a estos envíos. La web dice a continuación: “Obligación de facilitar sus datos personales y consecuencias de no hacerlo. El suministro de datos personales requiere una edad mínima de 13 años o, en su caso, disponer de la capacidad jurídica suficiente para contratar. Los datos personales solicitados son necesarios para gestionar sus solicitudes y/o prestarle los servicios que pueda contratar, de manera que, si no nos los facilita, no podremos atenderle correctamente ni prestarle el servicio que nos ha solicitado…” Parece conveniente recordar -a efectos de aplicar el artículo 8 del RGPD- que los boletines comerciales enviados a través de medios electrónicos constituyen un servicio de la sociedad de la información. Nos remitimos en ese sentido a la definición que la ley 34/2002, de Servicios de la Sociedad de la Información (LSSI) ofrece en su Anexo: “A los efectos de esta Ley, se entenderá por: a. Servicios de la sociedad de la información o servicios: todo servicio prestado normalmente a título oneroso, a distancia o por vía electrónica y a petición individual del destinatario. (…)Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: La contratación de bienes y servicios por vía electrónica (...) 4. El envío de comunicaciones comerciales. (…)” (El subrayado es de la AEPD) La Política de Privacidad de la página web banderacatalana.cat., en cumplimiento de la obligación que impone el artículo 13.1 del RGPD, facilita información sobre la identidad y los datos de contacto del responsable del tratamiento (apartado a, del precepto). Responsable que en la fecha de apertura del acuerdo de inicio del expediente sancionador era Grup BC, S.L., con NIF B65880916. Informa también -como exige el apartado b, del artículo 13.1, del RGPD- de los fines del tratamiento de datos y de la legitimidad para el tratamiento que realiza. Esta información se facilita distinguiendo tres hipótesis que se corresponden con las tres formas a través de las cuales la Política de Privacidad de la página prevé que se recojan datos de terceros: los formularios de contacto, el envío de correos electrónicos o la suscripción a la revista de novedades (newsletter). La Política de Privacidad examinada identifica siempre como origen o causa de la legitimación para el tratamiento de los datos -para los tres supuestos o hipótesis que contempla- el “consentimiento”. Afirma por ello, respectivamente para cada uno de esos supuestos, que la legitimación se basa en el consentimiento “al solicitarnos información a través del formulario de contactos”, o “al solicitarnos información a través de su dirección de correo electrónico” o bien “al suscribirse a sus envíos comerciales”. Resulta así que la licitud del tratamiento de los datos personales de terceros tiene su amparo en el artículo 6.1.
- a)del RGPD. Llegados a este punto se ha de subrayar que el artículo 6 del RGPD está en relación con el artículo 8 del citado texto legal que advierte que cuando se aplique el consentimiento del interesado (apartado a, del artículo 6.1 RGPD) en relación con la oferta directa de servicios de la sociedad de la información a niños, el tratamiento es lícito sólo si el menor tiene 16 años cumplidos, pudiendo los Estados miembros fijar una edad inferior siempre que se hubieran cumplido los 13 años. Recordemos que la LOPDGDD ha fijado esa edad en 14 años (artículo 7 de la LOPDGDD). Sin embargo, la Política de Privacidad de la página web afirma que el suministro de datos personales requiere una edad mínima de 13 años o si procede, disponer de capacidad jurídica suficiente para contratar (el subrayado es de la AEPD). A tenor de tal afirmación, aparentemente, el mayor de trece años y menor de 14 años puede consentir que sus datos personales sean objeto de tratamiento. Información que es contraria a la previsión del artículo 8 del RGPD, en relación con su artículo 6.1.a, y el artículo 7.1 de la LOPDGDD. La información que facilita la página web viene a coincidir con el criterio que inicialmente había adoptado el proyecto de Ley Orgánica de protección de datos y que, finalmente, no se plasmó en la Ley. Más al contrario, la LOPDGDD, de 5 de diciembre, que entró en vigor el 7 de diciembre, fija el límite inferior para que el menor de edad consienta el tratamiento de sus datos en 14 años cumplidos. Se ha de añadir a lo expuesto que el reclamado, además de no haber formulado alegaciones al acuerdo de inicio del expediente, pese a que consta acreditada su recepción (ver Hechos Probados) no ha rectificado la información que ofrece en su Política de Privacidad. En definitiva, en tanto el artículo 13.1.
- c)del RGPD exige que el responsable del tratamiento de los datos, cuando éstos se obtengan directamente del interesado, informe acerca de la base jurídica del tratamiento y, habida cuenta de que la información que la Política de Privacidad de la página web banderacatalana.cat facilita en relación a la base jurídica del tratamiento de los datos personales con fines comerciales -datos que se recaban al cumplimentar el formulario de la newslettercontraviene el RGPD -artículos 6.1.a en relación con el artículo 8.1- y la LOPDGDD -artículo 7-, la información que ofrece la página web ***URL.1, cuyo responsable en la fecha en la que se notificó el acuerdo de inicio era GRUP BC, S.L., vulnera el artículo 13.1.
- c)del RGPD. IV El artículo 58.2 del RGPD dice: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) a Sancionar a todo responsable o encargado de tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento. (…) Imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, (…)” Sobre la procedencia de optar, en el presente caso, por la sanción de multa prevista en el artículo 83.5 RGPD o por la sanción de apercibimiento del artículo 58.2.b, ha de traerse a colación el Considerando 148 del Reglamento 2016/679 que ofrece la siguiente reflexión: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante” (El subrayado es de la AEPD) Analizadas las circunstancias que concurren en el supuesto que nos ocupa, toda vez que del examen de la Política de Privacidad de la reclamada se constata que en diciembre de 2018, con carácter general, había sido actualizada a los términos del RGPD y que la información equivocada que facilitó respecto a la edad en la que un menor de edad podía consentir el tratamiento de sus datos personales pudiera estar originada por el hecho de que adoptó el criterio que el proyecto de Ley Orgánica de Protección de Datos fijó inicialmente -a tenor del cual el límite de edad eran 13 añosy no lo llegó a rectificar posteriormente -cuando la LOPDGDD fue aprobada y cambió el criterio del proyecto estableciendo como edad mínima 14 años-, se estima procedente sancionar por la infracción del RGPD de la que es responsable con apercibimiento y no con la multa prevista en el artículo 83.5 RGPD, por ser más acorde esta decisión con el espíritu del RGPD a la luz del Considerando 148. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GRUP BC S.L. (BANDERACATALANA.CAT), con NIF B65880916, por una infracción del artículo 13.1, en relación con los artículos 6.1.a y 8 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y con el artículo 7 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento prevista en el artículo 58.2.b, del RGPD) SEGUNDO: NOTIFICAR la (BANDERACATALANA.CAT). presente resolución a GRUP BC S.L. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos