PS-00050-2015

1/10 Procedimiento Nº PS/00050/2015 RESOLUCIÓN: R/01809/2015 En el procedimiento sancionador PS/00050/2015, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A.U., (TME) vista la denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 27/2/14 tiene entrada en esta Agencia un escrito de Dª A.A.A. en el que declara que Movistar se puso en contacto para ofrecerle un servicio de ahorro en compras, quedando en enviarle información por correo que nunca le llegó. También le solicitaron el DNI que se negó a facilitar. A pesar de lo anterior su hermano le comunica que le han pasado un cargo en la cuenta corriente emitido por Affinion Internacional. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/0141314. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 12/6/14. TERCERO: Con fecha 13/2/15 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad TME, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). CUARTO: Con fecha 18/3/15 se reciben en esta AEPD las alegaciones de la Entidad denunciada TME en dónde pone de manifiesto lo siguiente: De la existencia de relación contractual Que la imputación que se hace acerca de una presunta vulneración del art. 6.1 no procede en este caso, toda vez que el consentimiento para el tratamiento de los datos deriva de la propia relación contractual reconocida por la denunciante Del incumplimiento de la operativa establecida por Affinion Que el reconocimiento por parte de Affinion de que no se cumplía los requisitos que esa mercantil impone a sus call center para que pueda darse una contratación por finalizada, implica necesariamente que la falta de diligencia estuvo en el call center que incumplió las condiciones de Affinion, en ningún caso las establecidas por TME. Que si bien los call center son comunes, el operador que atiende la llamada cumple el encargo establecido por TME hasta el momento en que el cliente acepta la cesión. Una vez que existe consentimiento para la cesión, el operador del call center actúa en nombre y por cuenta de Affinion, de modo que si la contratación es defectuosa no está dentro del ámbito de responsabilidad de TME. Vulneración del principio de tipicidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Que en este caso el tratamiento de los datos de la denunciante se hizo al amparo de la relación contractual existente QUINTO: Con fecha 9/4/15 se inició el período de práctica de pruebas, en el que se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TME, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01413/2014. SEXTO: Con fecha 29/5/15 por el instructor del procedimiento se dictó la siguiente Propuesta de Resolución <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA S.A.U. con multa de 15.000 € (quince mil euros por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma >>>>> SEPTIMO: La propuesta de resolución fue notificada a TME el dia 3/6/15. HECHOS PROBADOS 1º Consta denuncia presentada por Dª A.A.A. en el que declara que Movistar se puso en contacto para ofrecerle un servicio de ahorro en compras, quedando en enviarle información por correo que nunca le llegó. También le solicitaron el DNI que se negó a facilitar. A pesar de lo anterior su hermano le comunica que le han pasado un cargo en la cuenta corriente emitido por Affinion Internacional. 2º Consta documento relativo al procedimiento seguido por Telefónica Móviles España para ofrecer a sus clientes productos y servicios de Affinion Internacional * Con fecha 2 de enero de 2013 de 2013 se suscribió un contrato con Affinion al objeto de ofrecer a sus clientes los productos y servicio de esta entidad, uno de estos servicios era “disfruta y ahorra”. * La campaña comercial la realizó Movistar, realizando previamente una selección sobre sus ficheros de aquellos clientes que cumplieran con los siguientes requisitos: -- No hubieran manifestado su oposición a recibir llamadas de telemarketing. -- No hubieran manifestado su oposición al tratamiento de sus datos de tráfico con la finalidad de recibir promociones comerciales. * Para realizar la campaña comercial que ofertaba productos de Affinion se utilizaron tres Call Center con los que se suscribieron acuerdos de confidencialidad, actuando éstos como encargados del tratamiento de los datos personales de los clientes por cuenta de Movistar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 -- Las entidades seleccionadas fueron Atento, Transcom World Wide y Extell Contact Center. -- Movistar entregó a cada Call Center una base de datos en la que figuraba la siguiente información de cada cliente: -- Nombre y apellidos, -- Teléfono móvil de contacto, -- NIF -- Cuenta Corriente, -- Dirección Postal. -- Además debían utilizar un argumentario acordado con Affinion para ofrecer el producto “disfruta y ahorra” a los potenciales clientes de esta entidad y recabar el consentimiento para la contratación. Si en cliente estaba interesado, solicitaban además el consentimiento para la cesión de sus datos a Affinion con el objeto de completar la contratación. * Una vez que el cliente consiente la cesión de los datos, finaliza la prestación de servicio de telemarketing contratada por Movistar. * Affinion por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por Movistar. -- De este modo, cuando el cliente del Movistar acepta la cesión de datos a Affinion, el Call Center que realiza la llamada verifica deja de actuar como encargado del tratamiento por cuenta de Movistar y pasa a actuar como encargado del tratamiento por cuenta de Affinion, verificando los datos cedidos con el cliente para formalizar la venta. -- El personal del Call Center graba los datos de cada nueva contratación en los ficheros de Affinion. * Sobre el sistema de información se ha verificado que el reclamante no ha ejercitado el derecho de oposición tratamiento de sus datos con la finalidad de evitar la recepción de llamadas de Telemarketing. 3º Constan las siguientes comprobaciones sobre el sistema de información de Afinion en relación con la contratación de los servicios de Disfruta y Ahorra, por parte de A.A.A. DNI ***NIF.1: -- Se verifica que en el sistema de información, en la pantalla de Datos de Cliente figura nombre y apellidos, DNI, teléfono, fecha de nacimiento y correo electrónico -- Se consultan las suscripciones de este cliente verificándose que se ha dado de alta en un servicio: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 -- Servicio Disfruta y Ahorra asociado al número de cliente ******, con fechas de alta y baja 16/10/2013 y 09/12/2013. -- La entidad colaboradora que ha contactado con el cliente para ofrecerle los productos de Affinion es Movistar. -- La fecha de envío del wellcome pack es 17/10/2013 y no consta como devuelto. -- Al cliente se le ha generado una única factura que fue abonada, como consecuencia de una reclamación de fecha se devolvió el importe de la factura en fecha 27/01/2014 -- Con fecha 09/04/2013 se recibe una llamada del cliente solicitando la baja en los servicios, esta solicitud se tramita ese mismo día. -- Con fecha 17/01/2014 se recibe reclamación del cliente. Con fecha 24/01/2013, tras escuchar la grabación, verifican que no ha facilitado ni confirmado su DNI por lo que no cumple con los parámetros obligatorios que Affinion impone a sus call center. -- Se envía escrito al cliente comunicándole que proceden a la devolución de la cuota pagada. -- Con fecha 10/02/2014 se recibe reclamación desde OMIC por estos mismos hechos. -- Se adjunta como Doc. 1 impresiones de pantalla con las comprobaciones realizadas. -- Se escucha la grabación de la contratación a nombre del reclamante verificando que: * El interlocutor solicita el consentimiento para ceder sus datos a AFFINION con la finalidad de contratar el producto “disfruta y ahorra” * Le informan de que dispone de un periodo de prueba de 30 días * Verifican que la cuenta corriente en que se va a realizar el pago es la misma en que se cargan las facturas de Movistar * La interesada confirma su nombre completo, su fecha de nacimiento, que es mayor de 18 años y reside en España y la dirección postal. * La operadora le indica el DNI y el cliente dice que lo tiene que verificar. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01413/2014, se determinó que, salvo prueba en contrario, que a la denunciante se pasó un cargo por unos servicios sin acreditar la contratación de los mismos La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Se manifiesta por TME que cuando la Agencia llevó a cabo la inspección a la misma, se aportó copia de la cláusula comercial donde recoge el consentimiento de los clientes para el tratamiento de sus datos para fines comerciales, aportándose, así mismo, pantalla de la aplicación en la que se constató que la denunciante no había solicitado la oposición al tratamiento de sus datos, deduciéndose, se alega, que el consentimiento para el tratamiento de los datos con la finalidad comercial, era ajustado a derecho Sin embargo, para analizar la adecuación a la norma del tratamiento realizado por TME, es preciso acudir a los principios de finalidad y consentimiento, en la medida que si bien de la cláusula analizada se extrae la posibilidad de que el cliente sea receptor de acciones comerciales, éstas han de ser de la “Compañía” (tal como consta en la cláusula de Protección de Datos aportada en las Condiciones Generales. La actividad de AFFINION se basa en la puesta a disposición de otras entidades (colaboradores) de productos de fidelización que éstas pueden ofrecer a sus clientes finales. Para recabar los datos personales de los potenciales clientes se suscriben contratos de colaboración con las diversas empresas colaboradoras, entre las que se encuentra TME. Acordándose con cada una de ellas el argumentario con las cuestiones y los datos necesarios para el ofrecimiento de los productos. Debe subrayarse que Affinion no diseña la campaña comercial, sino que la misma la realizó TME realizando previamente una selección sobre sus ficheros de aquellos clientes que cumplieran con los dos siguientes requisitos: * No hubieran manifestado su oposición a recibir llamadas de telemarketing C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 * No hubieran manifestado su oposición al tratamiento de sus datos de tráfico con la finalidad de recibir promociones comerciales. En consecuencia, al no haber diseñado Affinion los parámetros identificativos de los destinatarios de la campaña, - determinados sólo por TME- no puede considerarse a la primera como responsable del tratamiento de los datos, de acuerdo a lo establecido en el art, 46 del RLOPD. Correspondiendo por tanto a la entidad denunciada velar por que dicho tratamiento esté amparado en alguno de los supuestos contemplados en el art. 6 de la LOPD, que regula el consentimiento del afectado y las excepciones al mismo. Se manifiesta por TME que si bien los call center son comunes entre Movistar y Affinion el operador que atiende la llamada cumple el encargo establecido por TME hasta el momento en que el cliente acepta la cesión; y una vez que existe el consentimiento para la misma, el operador del call center actúa en nombre y por cuenta de Affinion. De lo que se deduce, según TME, que si la contratación es defectuosa no está en el ámbito de responsabilidad de la misma. Sin embargo en el caso que nos ocupa, y a pesar de existir una grabación, no ha quedado acreditado que el denunciante diera su consentimiento para el tratamiento de sus datos personales – realizada en el call center – a la que corresponde grabar los datos de cada nueva contratación en los ficheros se Affinion. Ahora bien lo anterior no puede exonerar la responsabilidad de TME, aunque si la modula, por el hecho de que la presunta contratación de la línea se realizó a través de un distribuidor autorizado, independientemente que tuviera que haber verificado la identidad del contratante mediante el cotejo de su DNI. En este supuesto a pesar de existir grabación se verificó que la denunciante no facilitó ni confirmó su DNI, por lo que la misma se ha considerado como no válida como medio de acreditar la voluntad de la denunciante de contratar los productos ofertados por lo que se deduce que existió un tratamiento de sus datos personales sin acreditar su consentimiento. En este sentido se ha expresado la Audiencia Nacional en diversas ocasiones en relación a asuntos sustancialmente idénticos, así en las sentencias correspondientes al recurso 691/2009 y 657/2008, en los que se ha sancionado por infracción del principio de consentimiento en relación a contrataciones de suministro realizado por medio de empresas comercializadoras. Se razona en esas Sentencias que: “la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a XX XX datos de los denunciantes, sin su consentimiento, no le eximen del cumplimiento de la normativa de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquel a quien solita los datos para contratar (aunque la recogida de datos se haga a través de terceros)” IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Se deduce pues que TME promociona los productos de un tercero, y es precisamente por eso, por el origen de los datos del denunciante como cliente de TME para finalidades no amparadas en el consentimiento inicialmente prestado, por lo que se estima vulnerado el art. 6 de la LOPD. En atención a lo expuesto, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos). En el caso analizado, TME no acredita ni justifica el acaecimiento de circunstancia alguna que pudiera legitimar el tratamiento de datos personales del denunciante para acciones comerciales de empresas ajenas a TME. Todo ello supone el incumplimiento de lo dispuesto en el art 6 de la LOPD. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. V El artículo 44.3.
4. b)de la LOPD considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento que viene dada en la norma aplicable sin ser aplicables las excepciones previstas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 En consecuencia no se ha acreditado, por un medio fehaciente, que dicha contratación se hiciere a nombre de la denunciante y en consecuencia que contase con su consentimiento para el tratamiento de sus datos- ni se hubiese actuado con la diligencia debida. Debe recordarse, por todas la Sentencia de la Audiencia Nacional de 29/4/10 que señala que la cuestión no es dilucidar si la recurrente trató los datos de carácter personal del denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato. Cabe decir por tanto que, ante la falta de diligencia en la acreditación del consentimiento de la titular para el tratamiento de sus datos personales, con la consecuencia que se cargaran una factura y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. VI El artículo 45 de la LOPD, apartados 2,4 Y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
5. a)El carácter continuado de la infracción.
6. b)El volumen de los tratamientos efectuados.
7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
8. d)El volumen de negocio o actividad del infractor.
9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
10. f)El grado de intencionalidad.
11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso se han acreditado circunstancias que permiten la aplicación del citado precepto, como son la existencia de una grabación de la contratación aunque debido a un error no se pueden relacionar la misma con los servicios objeto de controversia. Esto es una circunstancia atenuante no derivada de la inaplicación del procedimiento para la grabación de la contratación por el sistema de televenta, sino de una incidencia que no exime pero si atenúa la culpabilidad de la denunciada. Por todo ello, procede proponer, por la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. Para determinar la cuantía de la sanción en relación con los criterios de graduación recogidos en el apartado 4 del tan citado artículo 45, se considera procedente imponer una sanción en la cuantía de 15.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A.U., (TME) por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 15.000 € (quince mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA S.A.U. y a Dª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es