PS-00058-2020

1/10  Procedimiento Nº: PS/00058/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 13 de noviembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Caja Rural San José de Nules S. Cooperativa de Crédito de la Comunidad Valenciana con NIF F12013140 (en adelante, Caja Rural). Los motivos en que basa la reclamación son que la Caja Rural es propietaria de un bar situado en la planta baja de las oficinas donde se encuentra su domicilio social, es un establecimiento público que es punto de reunión de costumbre arraigada en Nules. Manifiesta que en el comedor de dicho bar la Caja Rural tiene instalado un tablón de anuncios, en éste se ha publicado un listado de socios a que se refiere dicho anuncio (en total 76) figuran los datos personales de la reclamante claramente identificable, con sus apellidos y nombre (por orden alfabético), (…). Añade que con dicha publicación se han cedido sus datos personales, de manera que cualquier vecino de Nules le ha identificado como uno de los expulsados por haber incumplido obligaciones económicas con la Caja Rural. Así las cosas, Caja Rural además de ceder a cualquier persona sus datos personales han informado públicamente de cuál es su situación económica. Además, manifiesta que dicho anuncio se encuentra publicado al menos desde el pasado día 25 de octubre, si bien el Consejo Rector adoptó dicho Acuerdo el día 21 de octubre de 2019. Junto a la reclamación, la reclamante aporta además de una fotografía del tablón de anuncios de la Caja Rural, copia de los requerimientos dirigidos por una parte al Consejo Rector de fechas 4 y 5 de noviembre de 2019 y por otra el de 6 de noviembre de 2019 dirigido al Delegado de Protección de Datos para que se retirara el anuncio. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Como resultado de este trámite, con fecha 11 de febrero de 2020 Caja Rural manifiesta que el propio Consejo acordó llevar a cabo la notificación de su acuerdo mediante edicto en el tablón de anuncios del domicilio social de la Entidad, en ejecución de lo cual, el día 21de octubre de 2019, con intervención notarial para dar fe de lo actuado, la Entidad publicó su decisión mediante edicto en dicho tablón, que es el de su centro social ubicado en su domicilio social. Además de haber sido el medio de notificación concretamente acordado por el Consejo en este caso para la publicación de su acuerdo, el tablón de anuncios del centro social es el medio del que se han dotado los propios socios de la Entidad para la publicación de cualesquiera noticias e informaciones de su interés y es, por tanto, conocido por todos ellos y empleado desde siempre a tal fin. Una vez transcurrido el plazo de 15 días de audiencia a que obligan los artículos 17.2 de los Estatutos y 22.5 del Decreto, la Entidad procedió a la retirada del anuncio el día 5 de noviembre de 2019. En cuanto al local en el que se ubica el tablón de anuncios, se trata, del centro social de la Entidad, destinado a sus socios, tal como se informa en el cartel situado a su entrada y en sus propias normas de uso y disfrute. La reclamante se dirigió al Consejo Rector de la Entidad, mediante escritos de fecha 4 y 5/11/2019, al DPD, mediante correo electrónico de fecha 6/11/2019. En contestación a dichos escritos y correo electrónico, el día 22/11/2019 la Entidad entregó en mano a la persona autorizada por la reclamante la contestación a su reclamación. Y, aporta la siguiente documentación: Estatutos de la Caja Rural. Acta de la sesión del Consejo Rector y Acta notarial dando fe de lo actuado. Foto del cartel de entrada al centro social. Copia del cartel de las normas de uso y disfrute de dicho local. Copia del contrato regulador del servicio de cafetería. Contestación a la reclamante. El 19 de febrero de 2020 la Directora de la Agencia Española de Protección de Datos, acuerda admitir a trámite la presente reclamación. TERCERO: Con fecha 11 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a Caja Rural, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), por la presunta infracción del artículo 5.1f) del RGPD en relación con el artículo 5 de la LOPDGDD, tipificada en el artículo 83.5

1. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 CUARTO: Notificado el citado acuerdo de inicio, Caja Rural presentó escrito de alegaciones en el que, en síntesis, manifiesta que es una cooperativa de crédito, que, en su propio domicilio social cuenta con un centro social a disposición exclusiva de sus socios. Añade, que el tablón de anuncios utilizado por Caja Rural a efectos de informar y notificar a sus socios se encuentra en su centro social, no es un bar. Asimismo, señala que los acuerdos adoptados por el Consejo Rector de Caja Rural han cumplido, en todo caso, con lo previsto en las disposiciones normativas y estatutarias que como cooperativa de crédito le son de aplicación. Por último, indica que la actuación de Caja Rural en ningún caso ha sido negligente, sino diligente, cumplidora y cuidadosa en el mejor interés de los propios sancionados y sus demás socios. QUINTO: Con fecha 9 de julio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/00091/2020, así como los documentos aportados por Caja Rural. SEXTO: El 8 de septiembre de 2020 se formula propuesta de resolución en los siguientes términos: Que por la Directora de la Agencia Española de Protección de Datos se sancione a Caja Rural San José de Nules S. Coop. de Crédito de la Comunidad Valenciana, con NIF F12013140, por una infracción del Artículo 5.1.
2. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5.000 euros (cinco mil euros). La propuesta de resolución se notificó electrónicamente a la reclamada siendo la fecha de puesta a disposición el 18 de septiembre de 2020 y la fecha de aceptación ese mismo día. SÉPTIMO: El 2 de octubre de 2020 tienen entrada en la sede electrónica de esta Agencia las alegaciones de la reclamada a la propuesta de resolución en las que solicita que se proceda al archivo del procedimiento por haber actuado, dice, conforme a Derecho. En defensa de su pretensión la reclamada reitera las alegaciones hasta ahora formuladas al acuerdo de inicio y, en síntesis, aduce los argumentos siguientes: “Caixa Rural de Nules lleva a cabo su actividad en su domicilio social, establecido en Nules, provincia de Castellón, en la calle Mayor nº 66, tal como se prevé en el artículo 6 de sus Estatutos. La utilización y disfrute del centro social queda destinado única y exclusivamente a socios de la Caja Rural San José de Nules. Permitir la colocación de carteles informativos de la Entidad en el tablón de anuncios del local social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 La única realidad es que se trata de un establecimiento privado, destinado única y exclusivamente a los socios. Las personas que adquieren la condición de socio de Caixa Rural de Nules, como fue el caso de la Reclamante, quedan sujetas a los derechos y obligaciones previstos en los Estatutos de la Entidad. Acerca del inicio del expediente sancionador a los socios de la Entidad, de forma que de acuerdo con el artículo 17 de los Estatutos, los socios dispondrán desde el momento de la comunicación del inicio del expediente sancionador, que se realizará mediante publicación de edicto en el tablón de anuncios del domicilio social de la Entidad, de un plazo de 15 días naturales para que los interesados puedan realizar las correspondientes alegaciones. De acuerdo con ello, la Entidad publicó su decisión mediante edicto en dicho tablón que es el de su centro social ubicado en su domicilio social, sito en la calle Mayor, número 66 del municipio de Nules, provincia de Castellón. Los datos personales que se incluyeron en el acuerdo del Consejo, entre ellos dos de la reclamante, eran datos básicos, constaba el nombre y apellidos y sólo cuatro números del NIF, el resto de los números fueron ocultados con asterisco de forma aleatoria. En nuestro caso, del mismo modo, al publicar los datos, lo hicimos en un ámbito de uso exclusivo para nuestros socios y por la vía por la que también llevamos a cabo las demás publicaciones similares y conocidas por nuestros socios, como es la lista de socios con derecho a voto, y tal y como se contempla en la disposición adicional tercera de los Estatutos. Caixa Rural no ha actuado de forma negligente, lo ha hecho siguiendo los procedimientos legales y estatutarios a los que está sujeta como cooperativa de crédito”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 13 de noviembre de 2019, la reclamante, manifiesta que Caja Rural es propietaria de un centro social con cafería situado en la planta baja de las oficinas donde se encuentra su domicilio social, es un establecimiento público que es punto de reunión de costumbre arraigada en Nules. En el comedor de dicho centro social con cafetería, Caja Rural, tiene instalado un tablón de anuncios, en éste se publicó un listado de socios y figuran los datos personales de la reclamante claramente identificable, con sus apellidos y nombre (por orden alfabético), (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 Con dicha publicación se han cedido sus datos personales, de manera que cualquier vecino de Nules le ha identificado como uno de los expulsados por haber incumplido obligaciones económicas con Caja Rural. SEGUNDO: El anuncio se encuentra publicado al menos desde el pasado día 25 de octubre, si bien el Consejo Rector adoptó dicho Acuerdo el día 21 de octubre de 2019. TERCERO: Se constata en la fotografía del tablón de anuncios de la Caja Rural, los datos personales de la reclamante. CUARTO: Constan los requerimientos efectuados por la reclamante por una parte al Consejo Rector de fechas 4 y 5 de noviembre de 2019 y por otra el de 6 de noviembre de 2019 dirigido al Delegado de Protección de Datos para que se retirara el anuncio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa a Caja Rural la comisión de una infracción por vulneración del Artículo 5.1.
3. f)del RGPD, que señala que: “1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
5. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Por otra parte, el artículo 83.5
6. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La regulación de las infracciones en la LOPDGDD es más precisa en cuanto a las situaciones que dan lugar a una infracción y su consideración, de manera que es mucho más sencillo conocer el plazo de prescripción de esa infracción (es decir, si es considerada leve, grave o muy grave) y de cara a la sanción administrativa a imponer por su incumplimiento. La LOPDGDD en su artículo 72, a efectos de prescripción, señala que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” III La documentación obrante en el expediente ofrece indicios evidentes de que Caja Rural vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al considerar probada la exposición pública de un documento en el tablón de anuncios de la cafetería del local de la Caja Rural un listado de socios (entre ellos figura la reclamante), mostrando sus datos personales, y por ello se entiende que la entidad reclamada vulneró el artículo 5.1
8. f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. Es importante resaltar que Caja Rural reconoce que el tablón de anuncios es empleado siempre para tal fin, y que una vez transcurrido el plazo de quince días de audiencia, la entidad procedió a la retirada del anuncio; y en este sentido hay que señalar que el trámite de audiencia es solo para los interesados, no para todo el que pase por la cafetería y no se vea afectado. Es por lo que se considera vulnerado el artículo 5.1
9. f)del RGPD. La reclamante aportó la fotografía del tablón de anuncios de Caja Rural, dónde se constatan los datos de la reclamante, la cual es perfectamente identificable, donde figuran sus apellidos y nombre (por orden alfabético) (…). El deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. Respecto a lo alegado por Caja Rural, está claro, que en este caso concreto, actuó de forma contraría al principio de confidencialidad consagrado en el artículo 5.1.
10. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, toda vez que Caja Rural reveló a través de la exposición pública de un documento en el tablón de anuncios de los datos personales de la reclamante. IV El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
11. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
12. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
13. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. En el presente caso, se tiene en cuenta que la exposición en el tablón de anuncios de Caja Rural, de un documento con datos de carácter personal puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen la seguridad de dichos datos, evitando su sustracción pérdida o acceso indebido; hecho que motivó el inicio del presente procedimiento sancionador. En este caso concreto, Caja Rural deberá acreditar que ha adoptado una serie de medidas adecuadas para garantizar la seguridad y confidencialidad de los datos. V En la determinación de la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
14. a)a
15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
17. b)la intencionalidad o negligencia en la infracción;
18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
22. g)las categorías de los datos de carácter personal afectados por la infracción;
23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
27. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
29. a)El carácter continuado de la infracción.
30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
34. f)La afectación a los derechos de los menores.
35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 VI Al decidir la imposición de una multa administrativa y su cuantía, en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se señalan en el art. 83.2 del RGPD, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. En consecuencia, se han tenido en cuenta, como agravantes:   En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2 b). Se encuentran afectados identificadores personales básicos, según el artículo 83.2g). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CAJA RURAL SAN JOSE DE NULES S COOP. DE CREDITO DE LA COMUNIDAD VALENCIANA, con NIF F12013140, por una infracción del Artículo 5.1.
37. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000 euros (cinco mil euros). SEGUNDO: ORDENAR a CAJA RURAL SAN JOSE DE NULES S COOP. DE CREDITO DE LA COMUNIDAD VALENCIANA, que el documento con datos de carácter personal objeto de este procedimiento; debe adoptar y observar las medidas técnicas y organizativas que garanticen la seguridad de los datos, evitando su sustracción pérdida o acceso indebido; hecho que motivó el inicio del presente procedimiento sancionador; debiendo informar de ello a esta Agencia en el plazo de un mes. TERCERO: NOTIFICAR la presente resolución a CAJA RURAL SAN JOSE DE NULES S COOP. DE CREDITO DE LA COMUNIDAD VALENCIANA, con NIF F12013140. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es