PS-00220-2023

1/10  Expediente N.º: EXP202305562 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de denuncia presentada ante la Agencia Española de Protección de Datos contra CONSORCIO BARCELONA SUPERCOMPUTING CENTER - CENTRO NACIONAL DE SUPERCOMPUTACIÓN con NIF EA0041150, apreciándose indicios de un posible incumplimiento de lo dispuesto en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), se iniciaron actuaciones con número de expediente EXP

1. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo). En el marco de las actuaciones de investigación, se remitieron a la FUNDACIÓN PÚBLICA ANDALUZA PARA LA GESTIÓN DE LA INVESTIGACIÓN EN SALUD DE SEVILLA con NIF G41918830 (en adelante, la Fundación) dos solicitudes de información, relativas a la denuncia referida en el apartado primero, para que, en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que en ellas se señalaba. La primera de ellas fue registrada de salida en fecha 9 de enero de 2023 mientras que la segunda se registró en fecha 28 de febrero de
2. TERCERO: Las solicitudes de información, que se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidas por la Fundación con fechas 10 de enero de 2023 y 6 de marzo de 2023, como consta en los acuses de recibo que obran en el expediente. CUARTO: Respecto a la información requerida, la Fundación no ha remitido respuesta a esta Agencia Española de Protección de Datos en los plazos otorgados para ello. QUINTO: Con fecha 22 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la Fundación, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 SEXTO: El citado acuerdo de inicio fue recogido por la Fundación con fecha 31 de mayo de 2023, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 28 de junio de 2023 y número de registro de entrada REGAGE23e00042576482, la Fundación presenta escrito de alegaciones en el que responde al requerimiento de información formulado en el marco del expediente EXP
3. No alega ninguna otra cuestión respecto al objeto del actual procedimiento sancionador. OCTAVO: Con fecha 10 de julio de 2023 se formuló propuesta de resolución, en la que se proponía que por la Directora de esta Agencia se declarara que la Fundación ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. Esta propuesta de resolución fue notificada fehacientemente a la parte reclamada. NOVENO: Con fecha 20 de julio de 2023 y número de registro de entrada REGAGE23e00049337470, la Fundación presenta escrito de alegaciones a la Propuesta de resolución. La Fundación reconoce la responsabilidad en el cumplimiento extemporáneo de la solicitud de información formulada por esta Agencia, si bien alega concurrencia de error involuntario y ausencia de culpabilidad. La Fundación explica que el retraso en la atención de la solicitud de información deriva exclusivamente de un error involuntario producido en el procedimiento de tramitación y gestión interna de las notificaciones recibidas, que ha impedido tener un cabal y puntual conocimiento de la solicitud por parte del órgano responsable de su contestación. Afirma que se trata de un error humano involuntario en la atención de la información solicitada, que sólo se advirtió cuando esta Agencia remitió la posterior comunicación notificada con fecha 22 de junio de 2023, determinando así un incidente que debe ser considerado como algo puntual y aislado. Asimismo, argumenta que la atención, aún tardía y extemporánea a los requerimientos, aún posterior a la notificación del acuerdo resolviendo el inicio del procedimiento sancionador, acredita la voluntad de colaboración de la Fundación y es prueba de una actuación diligente, susceptible de desplazar la responsabilidad en sede sancionadora. Del mismo modo, señala que su actuación, como entidad perteneciente al sector público y sin ánimo de lucro, está regida en todo momento por la observancia del interés público, con especial cuidado en el deber de diligencia y de buena fe que es exigible de una entidad de dicha naturaleza. En ese sentido, cuenta con un manual de procedimientos de gestión interna aprobados, detallados y específicos para cada proceso de tramitación y área de actuación, que permiten guiar los flujos de trabajo hacia resultados óptimos, así como mantener estándares de calidad y eficiencia. Dichos procedimientos, continúa, son testados periódicamente en cada ejercicio por la auditoría y revisión por los órganos fiscalizadores de la Intervención General de la Junta de Andalucía y la Cámara de Cuentas de Andalucía, con resultados plenamente satisfactorios, de conformidad con el Informe de Auditoría de fecha 5 de julio de 2023 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 de Renovación de Certificación al Sistema de Gestión de la I+D+i donde se ha comprobado la implantación del Sistema respecto a los requisitos especificados en la norma de referencia 160002:2021, donde se indica que “demuestra la ausencia de no conformidades”. Ello no hace más que poner de manifiesto lo robustos que son sus procedimientos y la gran diligencia de la entidad, acreditada en la gestión de sus actividades. La Fundación asevera que un error aislado y puntual como el sucedido, imposible de evitar de forma absoluta, no debe negar la adecuada diligencia ante el ejercicio de sus actividades, que se mide y confirma por su comportamiento habitual. Añade la Fundación que, confirmado el error interno, se han adoptado las medidas necesarias destinadas a mejorar los procedimientos internos para la gestión y tramitación de sistemas de comunicación de notificaciones externas, de cara a evitar que se puedan volver a producir situaciones similares, asegurando la respuesta en plazo de cuantos requerimientos de cualquier índole se reciban. Así, están procediendo a la revisión y actualización del Procedimiento PG02-01 de Registro de Documentación, para la unificación de las distintas plataformas y modalidades de presentación, junto con la unificación de notificación interna a los responsables de la Unidades. La Fundación argumenta que, según jurisprudencia consolidada, los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador (por todas, la Sentencia del Tribunal Constitucional nº 18/1981, de 8 de junio). Indica asimismo que el principio de culpabilidad rige también en materia de infracciones administrativas y su régimen sancionador, en tanto que es una manifestación del ius puniendi del Estado. En este sentido, resulta inadmisible en nuestro ordenamiento jurídico un régimen de responsabilidad objetiva o sin culpa (en este sentido concluye la Sentencia del TC nº 76/1990, de 26 de abril). A este respecto, la Fundación cita el art. 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, para concluir que sin dolo o negligencia probada no cabe ser responsable de una infracción. En estos términos, afirma la Fundación que se ha pronunciado la Audiencia Nacional en repetidas sentencias: un error aislado no puede dar lugar por sí solo a responsabilidad cuando no medie dolo o culpa y se haya actuado con la diligencia pertinente. A modo ilustrativo, cita la Sentencia de la Audiencia Nacional de 23 de diciembre de 2013 (Rec. 341/2012). Dado que la tardía atención a la solicitud de información se debió a un error puntual y no a un comportamiento negligente, esta Agencia debe proceder al archivo del presente procedimiento sancionador por no concurrir el elemento de la culpa. Subsidiariamente, en el supuesto de ser considerada responsable por la infracción, se deberían tener en cuenta las circunstancias atenuantes de acuerdo con lo previsto en los arts. 83.2 RGPD y 76.2 de la LOPDGDD. En primer lugar, afirma que se ha producido la satisfacción de la solicitud, aunque extemporánea por un error puntual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 involuntario, subsanándose la infracción producida, que estaría carente de gravedad (art. 83.2.a del RGPD). En segundo lugar, ha actuado con la debida diligencia, implementando medidas para evitar el error puntual padecido, de forma preventiva y proactiva para garantizar la gestión y atención de solicitudes de información recibidas (art. 83.2.b RGPD). Por último, añade que ha colaborado de buena fe con esta Agencia para poner remedio a la infracción (art. 83.2.f RGPD). La Fundación considera que el presente caso no debería llevar aparejado la imposición de una multa, sino en todo caso el apercibimiento, y que nos encontramos ante una infracción leve, consistente en un mero retraso formal en la atención a la solicitud de información recibida, sin que el hecho de que se califique como muy grave a meros efectos de prescripción pueda cambiar tal consideración. Así, la Fundación considera que, en el caso de una eventual sanción, esta debería ser aplicada en su grado mínimo, teniendo en cuenta el grado de culpabilidad (que cree inexistente), con un mero apercibimiento. Adicionalmente a la adopción de las medidas necesarias para evitar que se repitan situaciones como la que nos ocupa, la Fundación muestra plena disposición de cara a aportar cuantos documentos e información sean necesarios para la continuación de la investigación por parte de esta Agencia, así como para cualquier otra que se inicie y sea oportuna su colaboración. Finalmente, la Fundación solicita que se acuerde la terminación y archivo de este procedimiento sancionador por no concurrir el elemento de la culpa, ante la concurrencia de un mero error involuntario y puntual motivador de la eventual infracción y, para el supuesto de que no se estime esto procedente, que se tenga en consideración la aplicación del principio de proporcionalidad en el momento de determinación de la posible sanción aplicable, con la aplicación de atenuantes y ausencia de agravantes, estableciéndose en su límite inferior, con imposición de un apercibimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Las solicitudes de información indicadas en los antecedentes segundo y tercero fueron notificadas electrónicamente, con arreglo a lo dispuesto en el artículo 43 de la LPACAP. SEGUNDO: La Fundación no ha respondido a las solicitudes de información efectuadas por esta Agencia en el marco de las actuaciones de investigación referenciadas con número de expediente EXP202207910 con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador. TERCERO: La notificación del acuerdo de inicio del presente procedimiento sancionador fue recogida por la Fundación con fecha 31 de mayo de
4. CUARTO: La Fundación ha presentado las alegaciones al acuerdo de inicio de este procedimiento sancionador descritas en el antecedente séptimo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 QUINTO: La notificación de la propuesta de resolución del presente procedimiento sancionador fue recogida por la Fundación el 10 de julio de
5. SEXTO: La Fundación ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador recogidas en el antecedente noveno. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por La Fundación se debe señalar lo siguiente. La respuesta a los requerimientos de información dada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa recibo de la misma, sin que esta declaración suponga ningún pronunciamiento sobre la misma. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por La Fundación se debe señalar lo siguiente. Con relación al error involuntario y a la ausencia de culpabilidad alegados por la Fundación, que reconoce la responsabilidad en el cumplimiento extemporáneo de la solicitud de información formulada por esta Agencia, cabe señalar que tal como se indica en su escrito de alegaciones, prestan servicios a más de 22.000 profesionales médicos y 4.000 investigadores, por lo tanto, es susceptible del tratamiento de gran cantidad de datos personales y debiera disponer de procedimientos robustos para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 cumplimiento de las obligaciones que contempla la normativa de protección de datos, entre ellas, para responder a los requerimientos de la autoridad de control dentro del plazo otorgado para ello. Se hace notar asimismo que se notificó a la Fundación en dos ocasiones, reiterándose la petición y por tanto la omisión de respuesta. Ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. Sucede así, y con ello entramos en el examen del motivo, que en el caso de infracciones cometidas por personas jurídicas, incluyendo a las Administraciones públicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 que acabamos de citar << (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma >>.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad ya que resulta acreditado, tal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 como además ha sido reconocido por la Fundación, que no contestó a los requerimientos efectuados por esta Agencia hasta que no se inició el procedimiento sancionador contra ella, quedando de esta forma en entredicho la diligencia empleada y no procediendo por tanto el archivo solicitado. Por último, con relación a la sustitución de la multa por un apercibimiento, se recuerda que, tal como se reflejó en el acuerdo de inicio y la propuesta de resolución, de acuerdo con el art. 83.7 del RGPD y lo dispuesto por el art. 77.2 de la LOPDGDD, transcritos más adelante, dado que el responsable es una fundación perteneciente al sector público, la sanción se sustituye por la declaración de la infracción cometida. IV Obligación incumplida De conformidad con las evidencias de las que se dispone, se considera que la Fundación no ha procurado a la Agencia Española de Protección de Datos la información que le requirió en los plazos otorgados para ello. Con la señalada conducta de la Fundación, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a la Fundación, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “a) ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones; b) llevar a cabo investigaciones en forma de auditorías de protección de datos; c) llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7; d) notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento; e) obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones; f) obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.” V Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos se estiman constitutivos de una infracción, imputable a la Fundación. Esta infracción se tipifica en el artículo 83.5.e) del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación. o) La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente.” VI Sanción imputada El artículo 83.7 del RGPD dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “
6. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…) h) Las fundaciones del sector público. (…)
7. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
8. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10
9. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.
10. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.
11. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que FUNDACIÓN PÚBLICA ANDALUZA PARA LA GESTIÓN DE LA INVESTIGACIÓN EN SALUD DE SEVILLA (FISEVI), con NIF G41918830, ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓN PÚBLICA ANDALUZA PARA LA GESTIÓN DE LA INVESTIGACIÓN EN SALUD DE SEVILLA (FISEVI). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es