PS-00195-2013

1/9 Procedimiento Nº PS/00195/2013 RESOLUCIÓN: R/02798/2013 En el procedimiento sancionador PS/00195/2013, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS DE HOSTELERIA LARIN, S.L., vista la denuncia presentada por DIRECCION GENERAL DE LA GUARDIA CIVIL y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 8/7/12 tiene entrada en esta Agencia escrito de la Guardia Civil comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de video vigilancia cuyo titular es SERVICIOS DE HOSTELERIA LARIN, S.L. (en adelante el denunciado) instaladas en el establecimiento con "CLUB XXXXXXX" ubicado en (C/............................1) (A Coruña). SEGUNDO: SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/04144/2012. Por los Servicios de Inspección de esta Agencia se recaba información a la entidad denunciada y concluye la investigación con informe de la Inspección de Datos de fecha TERCERO: Se ha verificado que consta inscrito en el Registro general de Protección de Datos un fichero denominado VIDEOVIGILANCIA con el código ***COD.1 cuyo responsable es la sociedad CUARTO: Con fecha 19/06/13 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SERVICIOS DE HOSTELERIA LARIN, S.L. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. QUINTO: Con fecha 20/06/13 se remitió al denunciado, con acuse de recibo, notificación del Acuerdo de Inicio. Certificando el Servicio de Correos, la no posibilidad de la misma por desconocido. SEXTO: Con fecha 05/07/13, se envió para su notificación el citado acuerdo de inicio de procedimiento sancionador al denunciado, mediante su exposición en el Tablón de edictos del Ayuntamiento de Arteixo y fue publicado en el Boletín Oficial del Estado, en fecha 9/7/13, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo, acabando el mismo sin que por parte de éste se presentara escrito alguno HECHOS PROBADOS 1º Consta denuncia presentada por la Guardia Civil comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de video vigilancia cuyo titular es SERVICIOS DE HOSTELERIA LARIN, S.L. (en adelante el denunciado) instaladas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 establecimiento con "CLUB XXXXXXX" ubicado en (C/............................1) (A Coruña). 2º Consta informe remitido por la Guardia Civil de Betanzos, con el cual se tienen por acreditados los siguientes hechos: - El establecimiento dispone de un sistema de video vigilancia compuesto por 21 cámaras de video, de las cuales 5 están instaladas en el exterior del mismo, aunque sólo 3 de éstas están operativas. - Las cámaras interiores recogen imágenes de zonas comunes del establecimiento, recepción, barra, cocina, comedor, office. - Las cámaras exteriores recogen las entradas y puertas de acceso al local. Una de ellas recoge el trozo de vía pública del ancho de la puerta de entrada. - La instalación se realizó por motivos de seguridad, como medidas preventivas para evitar la intrusión en el local. - Disponen de un cartel informativo de zona video vigilada en la puerta de entrada al primer piso desde el exterior, en el que se identifica en el cartel a la empresa Servicios de Hostelería Larín, S.L como empresa donde ejercitar sus derechos. Sin embargo la entrada inferior, y principal carece de ningún cartel avisando de zona video vigilada. - Las imágenes son visionadas en un monitor al que solo tiene acceso el responsable de la sociedad, aunque parte de las imágenes también son visibles en otro monitor ubicado en la entrada de la planta baja accesible públicamente. - Las imágenes grabadas se guardan en un disc duro de 500Gbm que permite tanto la visión directa, la búsqueda de las grabadas, así como realizar backup de las mismas mediante un usb. - El periodo de conservación según manifiesta el responsable es de aproximadamente entre 7 y 10 días. - No existe conexión con central de alarmas 3º Que se acordó, con fecha 19/06/13, por el Director de la Agencia Española de Protección de Datos, iniciar procedimiento sancionador por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. 4º Que intentada la notificación del acuerdo de inicio a la persona denunciada, no se pudo realizar la misma. 5º Consta notificado mediante su publicación en el Boletín Oficial del Estado el día 9/7/13 6º No han efectuado alegaciones al acuerdo de inicio del procedimiento sancionador PS/00195/2013 por parte del denunciado FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
3. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
4. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, la empresa SERVICIOS DE HOSTELERIA LARIN S.L. con CIF ******** y domicilio en la calle (C/............................1) de Arteixo es responsable del fichero y tratamiento relazado por el sistema de videovigilancia instalado en el “CLUB XXXXXXX” y en conformidad con las definiciones legales está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD. III El citado artículo 3 de la LOPD define en su letra
5. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. De acuerdo con aquella definición de tratamiento de datos personales, la captación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 imágenes de las personas, constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. El artículo 5.1.
6. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En consecuencia, y atendiendo a la definición contenida en las normas citadas, que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, las captaciones de imágenes indicadas se ajustarán a este concepto siempre que permitan la identificación de las personas que aparecen en dichas imágenes. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. El Grupo de protección de las personas, en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la citada Directiva 95/46/CE, en su Dictamen 4/2004, adoptado en fecha 11/02/2004, relativo al tratamiento de datos personales mediante vigilancia por videocámara, formula distintos criterios para evaluar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 la legalidad y conveniencia de instalar sistemas de captación de imágenes en zonas públicas. Para determinar si el supuesto que se analiza implican el tratamiento de datos relacionados con personas identificables, el citado Grupo considera que los datos constituidos por imagen y sonido son personales aunque las imágenes se utilicen en el marco de un sistema de circuito cerrado y no estén asociados a los datos personales del interesado, incluso, si no se refieren a personas cuyos rostros hayan sido filmados, e independientemente del método utilizado para el tratamiento, la técnica, el tipo de equipo, las características de la captación de imágenes y las herramientas de comunicación utilizadas. A efectos de la Directiva, se añade, el carácter identificable también puede resultar de la combinación de los datos con información procedente de terceras partes o, incluso, de la aplicación, en el caso individual, de técnicas o dispositivos específicos. En cuanto a las obligaciones y precauciones que deberán respetarse por los responsables del tratamiento de los datos se mencionan, entre otras, la de evitar las referencias inadecuadas a la intimidad; especificar de forma clara e inequívoca los fines perseguidos con el tratamiento y otras características de la política de privacidad (momento en que se borran las imágenes, peticiones de acceso); obtención del consentimiento del interesado basado en una información clara; mantener la necesaria proporcionalidad entre los datos y el fin perseguido, obligándose al empleo de sistemas idóneos con respecto a dicho fin y a minimizar los datos por parte del responsable del tratamiento; datos que han de ser adecuados, pertinentes y no excesivos y deberán retenerse durante un plazo en consonancia con las características específicas de cada caso. IV El artículo 6 de la LOPD exige el consentimiento de los afectados para el tratamiento de sus datos personales salvo que la Ley determine otra cosa o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6. En el caso que nos ocupa, la habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27 de diciembre, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30 de junio, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la Ley Orgánica de Protección de Datos de Carácter Personal. No obstante, la instalación de un sistema de videovigilancia conectado a una central de alarma, sí seguirá requiriendo la concurrencia de los requisitos exigidos hasta ahora; esto es, que el dispositivo sea contratado, instalado y mantenido por una empresa de seguridad privada autorizada por el Ministerio del Interior y que el contrato sea notificado a dicho Departamento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Debe tenerse en cuenta que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: - El responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Esta última precisión no viene sino a recoger el principio de proporcionalidad en todo tratamiento de datos personales: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. Dicho principio, aplicado al tratamiento de datos personales con fines de video vigilancia se explicita en el artículo 4 de la Instrucción 1/2006, que establece: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explicitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. En el caso que nos ocupa se ha constatado la existencia de 21 cámaras de videovigilancia de las cuales 5 están instaladas en el exterior captando las entradas y puertas de acceso al local, una de de ellas recoge el trozo de vía pública del ancho de la puerta de entrada. En consecuencia la entidad denunciada ha incurrido en la infracción grave descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD , habiendo tratado datos de las personas que pudieran haber sido captadas por la cámara de video vigilancia sin contar con su consentimiento , lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.b). El artículo 44.3.
7. b)de la LOPD, en la redacción dada por la disposición final quincuagésima sexta de la Ley 2/11 de Economía Sostenible, de aplicación retroactiva al presente caso como norma más favorable, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siéndola infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este caso aunque por parte de SERVICIOS DE HOSTELERIA LARIN, S.L. como responsable de la instalación, se ha vulnerado el art 6 de la LOPD, al no estar legitimado para captar la vía pública mediante un sistema de video vigilancia debe entenderse que operan circunstancias que permiten la aplicación de la potestad establecida en el art. 45.5 de la LOPD, en particular la ausencia de intencionalidad, y la no vinculación de la actividad del infractor con la realización de tratamientos de carácter personal, (art 45.5ª en relación con los artículos 45.4c y 45.4f) por lo que procede imponer una multa de 2.500€. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SERVICIOS DE HOSTELERIA LARIN, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 2.500€ (dos mil quinientos euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SERVICIOS DE HOSTELERIA LARIN, S.L. y a DIRECCION GENERAL DE LA GUARDIA CIVIL. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es