PS-00147-2014

1/8 Procedimiento Nº PS/00147/2014 RESOLUCIÓN: R/01369/2014 En el procedimiento sancionador PS/00147/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21/11/2012, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que manifiesta lo siguiente: 1. El 01/10/2012 remitió a VODAFONE ESPAÑA, S.A.U. (en lo sucesivo VODAFONE), un escrito por correo certificado en el que solicitaba el acceso a sus datos de carácter personal, así como copia, entre otra documentación, de las facturas emitidas a su nombre durante el año 2012. 2. La semana del 15 de octubre le llegaron 11 correos postales ordinarios procedentes de VODAFONE, en los que se le indica que conforme solicitó le remiten copia del duplicado de la factura indicada. Las facturas que se incluyen en los escritos recibidos no corresponden con las suya sino a un tercero, D. B.B.B. (en lo sucesivo el tercero). Las facturas contienen los datos personales del tercero así como el detalle de las llamadas realizadas por el mismo. 3. El 25 de octubre llamó al teléfono ***TEL.1, que consta asociado al responsable del fichero en el Registro General de Protección de Datos, para informar de lo ocurrido. A pesar de que se le indicó que buscarían una solución al asunto y contactarían con él durante la semana siguiente, no ha tenido ninguna noticia al respecto. Junto con el escrito de denuncia, el denunciante aporta copia de la solicitud de acceso remitida y del justificante de envío certificado con fecha 02/10/2012, así como copia de los 11 escritos junto con las facturas recibidas. SEGUNDO: El escrito del denunciante reseñado en el Antecedente anterior fue tramitado por esta Agencia como una tutela de derecho, con el código TD/02150/2012, que dio lugar a la resolución R/00930/2013. En esta resolución, por un lado, se estima por motivos formales la reclamación del denunciante y, por otro, en el Fundamento de Derecho Décimo, se indica que “Respecto al hecho de haberle enviado facturas de una tercera persona, se ha abierto el expediente de investigación E/02446/2013”. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad VODAFONE, teniendo conocimiento de los siguientes extremos: 1. El escrito remitido por el denunciante a VODAFONE por correo certificado, lo fue a la dirección de notificación de la entidad. En el escrito se solicitaban, entre otros, los siguientes documentos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 2. 3. 4. 5.  "Copias actualizadas de los contratos de suministro del servicio Dichos contratos son grabaciones sonoras por lo que se debe remitir copia de la grabación en formato sonoro compatible con algún programa usual.”  “Copia de las facturas del año 2012.” Los 11 escritos aportados por el denunciante tienen fecha de 09/10/2012 y cada uno de ellos va acompañado de una factura; las emitidas los días 1 de cada mes entre enero y octubre de 2012 y una factura rectificativa de 9 de enero de 2012. Los escritos, a nombre del denunciante, van dirigidos a una dirección que coincide con el domicilio de notificación proporcionado a esta Agencia. Las facturas contienen los siguientes datos del tercero: nombre, apellidos, domicilio (que no coincide con el del denunciante) y la facturación junto con el detalle de las llamadas realizadas y mensajes remitidos. La factura rectificativa contiene además el NIF del tercero. En las facturas se indica la entidad bancaria en la que se encuentra la cuenta de cargo pero no el número de cuenta completo, sino las últimas cuatro cifras de éste. El teléfono ***TEL.1 no es el de atención al cliente VODAFONE, sino el de la centralita general de la entidad. Con fecha 28 de enero de 2014 se realizó una visita de inspección a la sede de VODAFONE en la que se constatan los siguientes hechos: 4.1. El Departamento de Atención al Cliente de la entidad está dividido en las siguientes áreas: residencial, empresas, soporte técnico, fidelización, staff y reclamaciones. Dependiendo de la complejidad de las solicitudes de derechos ARCO, éstas son atendidas por el área de residencial (oposición al envío de publicidad, por ejemplo) o por reclamaciones (derecho de acceso, por ejemplo). El área de reclamaciones es también quien atiende las quejas y reclamaciones que no han podido ser resueltas de manera satisfactoria por las otras áreas 4.2. VODAFONE dispone de un sistema de información que registra las interacciones con los clientes. Únicamente las interacciones de las que se derivan acciones complejas producen la creación de un caso en el que se registran todas las acciones asociadas a la interacción. Ese es el caso de las solicitudes de acceso a datos de carácter personal. 4.3. Consultado el sistema de información que registra interacciones y casos, no consta interacción o caso alguno asociado a la solicitud de acceso remitida por el denunciante, ni tampoco a la llamada que éste manifiesta haber realizado el 25/10/2012. 4.4. Consultado el sistema de información que registra interacciones y casos, se localiza una interacción asociada al tercero con fecha 09/10/2012. La interacción, que no dio lugar a la apertura de una caso, tiene como texto descriptivo “ENTRA CARTA: CLIENTE SOLICITA QUE SE LE FACILITE DE FORMA GRATUITA Y POR CORREO TODOS LOS DATOS PERSONALES QUE CONSTEN EN SOPORTE DOCUMENTAL TALES COMO COPIA DE CONTRATO REALIZADO POR GRABACIÓN SONORA EL FORMATO EN ESTE CASO DEBE SER SONORO.” 4.5. El sistema de información denominado “Docuweb” que almacena copia de los escritos remitidos a, o recibidos de, los clientes de VODAFONE. Consultado el sistema en relación con los escritos asociados al denunciante y a los hechos denunciados, únicamente se localiza una reclamación de fecha 31/08/2012 en la que también se solicita copia de la grabación del contrato. Consultado el sistema en relación con los escritos asociados al tercero y a los hechos denunciados 2012 no se localiza ningún documento. En relación a los hechos denunciados y las comprobaciones realizadas durante la inspección, los representantes de la entidad manifiestan lo siguiente: 5.1. La solicitud del denunciante fue atendida por el área de residencial y no por reclamaciones y el agente que atendió la solicitud probablemente contestó remitiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 únicamente copia de las facturas al ser esa una de las peticiones incluidas y no entender el resto de lo solicitado en el escrito. No todas las interacciones producen la apertura de un caso y el envío de duplicados de facturas es un ejemplo de interacción simple que no suele dar lugar a ello. 5.2. Lo más probable es que la confusión se debiese a un error humano producido al atender el operador de atención al cliente de manera simultánea dos interacciones. 5.3. La centralita general de la entidad deriva las llamadas a cualquier unidad de negocio dependiendo de la consulta que se le plantee, pero quienes la atienden no siempre saben con certeza qué unidad es la que debería atender al cliente que llama. Parece ser que la llamada de 25/10/2012 no fue derivada al Departamento de Atención al Cliente, dado que no consta registro de la interacción. CUARTO: Con fecha 20/03/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE, por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad VODAFONE en el que manifiesta que el hecho de que el denunciante recibiera las facturas de un tercero como respuesta al derecho de acceso ejercitado se debió a un error humano en la gestión, que pudo ser consecuencia de que el agente tuviese abiertas las dos fichas de cliente. Se trata de un incidente puntual y no de un fallo del sistema o procedimientos de la entidad. VODAFONE reconoce la responsabilidad por tales hechos y solicita la aplicación de lo dispuesto en el artículo 45.5 de la LOPD. SEXTO: Con fecha 25/04/2014, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación señaladas con el número E/02466/2013, que incorporan el correspondiente Informe de Investigación; y por presentadas las alegaciones a la apertura del procedimiento remitidas por VODAFONE. SÉPTIMO: Con fecha 13/05/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad VODAFONE con multa de 2.000 euros (dos mil euros), por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.d), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad VODAFONE en el que muestra su conformidad con la propuesta de resolución reseñada. HECHOS PROBADOS 1. Con fecha 01/10/2012, el denunciante remitió a VODAFONE un escrito en el que solicitaba el acceso a sus datos de carácter personal. En este escrito se solicitaban, entre otros, los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 siguientes documentos:  "Copias actualizadas de los contratos de suministro del servicio Dichos contratos son grabaciones sonoras por lo que se debe remitir copia de la grabación en formato sonoro compatible con algún programa usual.”  “Copia de las facturas del año 2012.” 2. Con fecha 09/10/2012, el denunciante recibió 11 escritos remitidos mediante otros tantos envíos postales procedentes de VODAFONE, en los que, en los que se le indica que conforme a lo solicitado por el mismo, le remiten duplicado de la factura indicada. Cada uno de estos escritos va acompañado de una factura, las emitidas los días 1 de cada mes entre enero y octubre de 2012 y una factura rectificativa de 09/01/2012, todas ellas correspondientes a un tercero, con detalle de los datos personales de éste relativos a nombre, apellidos, domicilio (que no coincide con el del denunciante), facturación, llamadas realizadas y mensajes remitidos; la factura rectificativa contiene además el NIF del tercero. 3. VODAFONE ha reconocido la responsabilidad por los hechos reseñados en el Hecho Probado Segundo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por VODAFONE, que resulta del envío al denunciante de documentación (once facturas) correspondientes a un tercero, en las que constan los datos personales de éste relativos a nombre, apellidos, NIF, domicilio, facturación, llamadas realizadas y mensajes remitidos, sin que conste el consentimiento previo y expreso del afectado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
3. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que VODAFONE remitió al denunciante copia de once facturas en las que figuran datos de carácter personal relativos a un tercero, concretamente, nombre, apellidos, NIF, domicilio, importe facturado, llamadas realizadas y mensajes remitidos. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación. No consta que la entidad VODAFONE hubiese obtenido el consentimiento del tercero afectado para ello. Al contrario, dicha entidad ha reconocido que esta revelación de datos tuvo lugar y que la misma se produjo ocasionalmente. Obviamente, corresponde a VODAFONE atender el correcto funcionamiento de su sistema de información, de modo que el supuesto error alegado no justifica la revelación de datos constatada ni exime de responsabilidad a VODAFONE por la infracción que deriva de la misma. Por tanto, queda acreditado que dicha entidad, responsable de la custodia de los datos de sus clientes, no actuó con la diligencia debida, vulnerando el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que un tercero, el denunciante, tuviese acceso a datos personales correspondientes al titular de las facturas que fueron remitidas a aquél. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 44.3.
4. d)de la LOPD. En este precepto se establece lo siguiente: “
5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales del tercero afectado fueron divulgados al denunciante por la entidad VODAFONE, no habiéndose acreditado que aquél prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
6. d)de la LOPD. IV El artículo 45.1, 2, 4 y 5 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente». En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad VODAFONE, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando que la entidad VODAFONE ha reconocido voluntariamente su responsabilidad, por la ausencia de intencionalidad que se aprecia en su conducta, la ausencia de beneficios, que no constan perjuicios a los afectados distintos al acceso a sus datos personales que conlleva la vulneración del deber de secreto, es decir, a los que resultan de la propia infracción sancionada. La consideración del reconocimiento voluntario de la responsabilidad para el establecimiento de la cuantía de la sanción ya se advertía en el acuerdo de apertura del presente procedimiento sancionador, en el que expresamente se advierte lo siguiente: “… así como la posibilidad de reconocer voluntariamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5
22. d)de la ley 15/1999 de 13 de diciembre de protección de datos de carácter personal”. Por ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en concreto, por un lado, el volumen de datos personales afectados por la infracción (un único afectado) y la naturaleza de tales datos personales, así como la obtención lícita de los mismos, y por otro lado, la alta vinculación de la actividad que desarrolla dicha entidad con la realización de tratamientos de datos personales y la diligencia debida que es exigible en tales casos, procede la imposición de una multa por importe de 2.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
23. d)de dicha norma, una multa de 2.000 euros (dos mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es