1/10 Expediente N.º: EXP202400654 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de noviembre de 2023, A.A.A. con NIF ***NIF.1, (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE ADMINISTRACIÓN AUTONÓMICA, MEDIO AMBIENTE Y CAMBIO CLIMÁTICO DEL PRINCIPADO DE ASTURIAS con NIF S3333001J (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El 15 de marzo de 2023 se publicó en el Boletín Oficial del Principado de Asturias la resolución dictada el ***FECHA.1 por la Directora del Instituto Asturiano de Administración Pública "Adolfo Posada", por la que se remite expediente administrativo y se emplaza a los interesados en el recurso contencioso administrativo procedimiento ordinario XXX/2023, interpuesto ante el Tribunal Superior de Justicia de Asturias. En dicho acto consta que la parte reclamante ha interpuesto el recurso contenciosoadministrativo que origina el procedimiento, identificándola con su nombre y sus apellidos. Según afirma, la inclusión de sus datos identificativos en el acto publicado es innecesaria y desproporcionada, por ello, concluye que la parte reclamada ha vulnerado el artículo 5 de la Ley Orgánica de Protección de Datos. A su vez, destaca que en otras resoluciones publicadas con idéntico propósito se han usado las iniciales en vez de desvelar el nombre y los apellidos completos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 15 de enero de 2024 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/01/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 1 de febrero de 2024 se recibe en esta Agencia escrito de respuesta indicando que la parte reclamada considera adecuada y proporcionada la identificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 de la interesada con nombre y apellidos en la resolución publicada el ***FECHA.1 por el Instituto Asturiano de Administración Pública "Adolfo Posada". TERCERO: Con fecha 6 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el 10 de junio de 2024 la parte reclamada presentó escrito de alegaciones en el que manifestaba que “desde esta Secretaría General Técnica, se formulan las siguientes ALEGACIONES: PRIMERO.- Por el Servicio de Selección del IAAP se emite informe de fecha 5 de junio de 2024 (Anexo I), remitido a esta Secretaría General Técnica el 7 de junio. Según el mismo, cuando se dictó la Resolución por la que se procedió a la publicación del emplazamiento a los posibles interesados en el procedimiento objeto de la reclamación, se entendió que la misma era adecuada a la normativa en materia de protección de datos personales por las razones que en dicho informe se exponen. Sin perjuicio de lo anterior, se indica en dicho informe que, como medida preventiva, y vista la solicitud de información de fecha 15 de enero de 2024 de la Agencia Española de Protección de Datos a la Consejería reclamada, en las posteriores publicaciones del Instituto Asturiano de Administración Pública «Adolfo Posada» se procedió a minimizar los datos personales objeto de publicación. A título de ejemplo: - Resolución de 17 de abril de 2024, de la Consejería de Presidencia, Reto Demográfico, Igualdad y Turismo, por la que se dispone la ejecución de la sentencia estimatoria, dictada en el recurso contencioso-administrativo procedimiento ordinario 130/2022, interpuesto ante el Juzgado de lo Social número 4 de Oviedo por don A. R. C., contra la Consejería de Administración Autonómica, Medio Ambiente y Cambio Climático del Principado de Asturias, el Instituto Asturiano de Administración Pública “Adolfo Posada” y el Organismo Autónomo Orquesta Sinfónica del Principado de Asturias (BOPA 8-V-2024). SEGUNDO.- En cumplimiento de la medida cautelar solicitada y dado que no se pueden cambiar publicaciones ya realizadas en el BOPA, se procede de forma inmediata a desindexar los datos de la reclamante de dicho buscador, esto es, se eliminará la lista de resultados obtenida tras la búsqueda efectuada a partir de su nombre y apellidos, de manera que si se introducen sus datos en el buscador, no se obtendría ninguna publicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 A tales efectos, se remite solicitud al personal competente para dicha desindexación, adjuntándose al presente, reproducción del correo remitido por dicho personal justificativo de las actuaciones llevadas a cabo (Anexo II). TERCERO.- Se acoge el criterio manifestado por la Agencia Española de Protección de Datos, y en consecuencia, las publicaciones efectuadas por esta Consejería y sus respectivos órganos centrales, relativas a anuncios de interposición de recursos contencioso-administrativos se llevarán a cabo con arreglo al principio de minimización de datos personales. Por último, y a título informativo, este mismo criterio es adoptado en las publicaciones de Resoluciones por las que se dispone la ejecución de Sentencias, en cumplimiento de lo previsto en el artículo 26.5 del Decreto 20/1997, de 20 de marzo, por el que se regula la organización y funcionamiento del Servicio Jurídico del Principado de Asturias; siendo así que con fecha 6 de junio de 2024, se publica en el BOPA la Resolución que dispone la ejecución de la Sentencia desestimatoria contra la reclamante del presente procedimiento, cuya parte dispositiva se reproduce en la forma siguiente: “Desestimamos el recurso interpuesto por la representación de A.A.A. frente a la Resolución de ***FECHA.2 de la Directora del Instituto de Administración Pública Adolfo Posada por la que se aprueban las bases específicas del proceso selectivo para la provisión de (…) de la Administración del Principado de Asturias, correspondiente a la Oferta de Empleo Público extraordinaria para la estabilización de empleo temporal en aplicación de la Ley 20/2021, de 28 de diciembre, de medias urgentes para la reducción de la temporalidad en el empleo público, por el procedimiento de concurso-oposición (art. 2.1 de la Ley 20/2021) …”. SEXTO: Con fecha 26 de julio de 2024, se dicta propuesta de resolución que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de julio de 2024 como consta en el acuse de recibo que obra en el expediente, no habiendo presentado manifestación alguna al respecto. En dicha propuesta de resolución se solicita que por la Directora de la Agencia Española de Protección de Datos se declare que la CONSEJERÍA DE ADMINISTRACIÓN AUTONÓMICA, MEDIO AMBIENTE Y CAMBIO CLIMÁTICO, con NIF S3333001J, ha infringido lo dispuesto en el artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 PRIMERO: El 15 de marzo de 2023 se publicó en el Boletín Oficial del Principado de Asturias la resolución dictada el ***FECHA.1 por la Directora del Instituto Asturiano de Administración Pública "Adolfo Posada", por la que se remite expediente administrativo y se emplaza a los interesados en el recurso contencioso administrativo procedimiento ordinario XXX/2023, interpuesto ante el Tribunal Superior de Justicia de Asturias. En dicho acto consta que la parte reclamante ha interpuesto el recurso contenciosoadministrativo que origina el procedimiento, identificándola con su nombre y sus apellidos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso la parte reclamante manifiesta que el 15 de marzo de 2023 se publicó en el Boletín Oficial del Principado de Asturias la resolución dictada el ***FECHA.1 por la Directora del Instituto Asturiano de Administración Pública "Adolfo Posada", en dicho acto consta que la parte reclamante ha interpuesto el recurso contencioso-administrativo que origina el procedimiento, identificándola con su nombre y sus apellidos. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 En relación con tales hechos ha de tenerse en cuenta además, que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante la LOPDGDD, en su disposición adicional séptima, en su apartado primero, en relación a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, señala lo siguiente “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.” En este caso concreto, debe señalarse que la publicación en la que se identifica nominalmente a la reclamante se corresponde con el anuncio de la interposición de un recurso contencioso-administrativo de tal manera que los interesados pudieran ser conocedores de su existencia y, en su caso, personarse en el mismo. Como puede observarse, no se trata de la situación descrita por la mencionada disposición adicional, en la que se prevé la identificación de interesados de actos administrativos que hayan de ser objeto de publicación, sino de la publicación de un hecho- la interposición de un recurso judicial- contra un acto administrativo al objeto de que los posibles interesados sean conocedores del mismo. Por todo ello, puede considerarse que la publicación en el Boletín Oficial del Principado de Asturias del nombre y apellidos de la reclamante- parte actora del recurso- no es necesaria para el cumplimiento de la finalidad de la publicación, anteriormente descrita. La parte reclamada en respuesta a las actuaciones realizadas por la AEPD el 15 de enero de 2024 dando traslado de la reclamación presentada contra dicha parte, manifestó que la publicación nominal de la parte actora de un recurso contenciosoadministrativo en el anuncio para posibles interesados es correcta, de conformidad con lo dispuesto en disposición adicional séptima de la LOPDGDD. El 10 de junio de 2024, en respuesta al acuerdo de inicio de este procedimiento sancionador, la parte reclamada ha presentado alegaciones reconociendo los hechos objeto de infracción y ha procedido con el cese inmediato de las actuaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 difusión pública de los datos personales de la parte reclamante desde la notificación de este acuerdo de inicio, y ha procedido a minimizar los datos personales objeto de publicación y a desindexar los datos de la reclamante del buscador de manera que se ha acogido al criterio manifestado por la Agencia Española de Protección de Datos. No obstante, aunque se hayan adoptado las medidas requeridas por la AEPD ha de declararse la infracción cometida por la parte reclamada por proceder con la publicación del nombre y apellidos de la parte reclamada ha supuesto la vulneración de la vigente normativa de protección de datos, en concreto el principio de minimización de datos personales, artículo 5.1
- c)del RGPD. III Infracción del artículo 5.1
- c)del RGPD El artículo 5 del RGPD establece que “los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Por lo tanto, de los hechos denunciados se desprende la vulneración del principio de minimización de datos personales que exige que su tratamiento sea adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados, por lo que se considera que la parte reclamada al publicar el 15 de marzo de 2023 en el Boletín Oficial del Principado de Asturias la resolución dictada el ***FECHA.1 por la Directora del Instituto Asturiano de Administración Pública "Adolfo Posada", identificando a la parte reclamante con su nombre y sus apellidos, lo cual ha vulnerado el artículo 5.1
- c)del RGPD, tal y como se ha indicado en el fundamento de derecho II. IV Tipificación de la infracción del artículo 5.1.
- c)del RGPD La citada infracción del artículo 5.1.
- c)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 77 de la LOPDGDD en relación con el Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” VI Responsabilidad Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Considerando los factores expuestos, a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación será de multa administrativa. No obstante, de acuerdo con el artículo 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituye por la declaración de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSEJERÍA DE ADMINISTRACIÓN AUTONÓMICA, MEDIO AMBIENTE Y CAMBIO CLIMÁTICO, con NIF S3333001J, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERÍA ADMINISTRACIÓN AUTONÓMICA, MEDIO AMBIENTE Y CAMBIO CLIMÁTICO. DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es