PS-00233-2015

1/10 Procedimiento Nº PS/00233/2015 RESOLUCIÓN: R/02632/2015 En el procedimiento sancionador PS/00233/2015, instruido por la Agencia Española de Protección de Datos a la entidad EL GIRALDILLO COMUNICACION CULTURAL S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/11/2014 tiene entrada en esta Agencia una denuncia interpuesta por D. A.A.A. (en lo sucesivo el denunciante) en la que manifiesta lo siguiente: 1. A pesar de no haberse suscrito, recibía de vez en cuando correos electrónicos no solicitados de la revista “EL GIRALDILLO”. 2. Tras pulsar el botón para dar de baja la suscripción, a los pocos meses volvió a recibir correos electrónicos. 3. Contactó con EL GIRALDILLO COMUNICACION CULTURAL S.L., en adelante EL GIRALDILLO, a través de correo electrónico, Twitter y Facebook, para pedir que le dieran de baja y que borrasen sus datos. Le contestaron a través de Facebook el 21 de noviembre de 2014 indicando que le habían dado de baja. 4. A pesar de lo manifestado por EL GIRALDILLO, el día 27 de noviembre volvió a recibir un nuevo correo electrónico. Junto con el escrito se aportan copia de correos electrónicos recibidos, sus cabeceras completas y captura de pantalla de la conversación mantenida en la red social Facebook en la que solicita y le confirman la baja de la lista de suscriptores al boletín. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EL GIRALDILLO, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/01721/2015 que se transcribe: “HECHOS CONSTATADOS 1. El denunciante recibió en su cuenta de correo .....@gmail.com los correos electrónicos cuyas características se listan a continuación: Cuenta origen C/ Jorge Juan, 6 28001 – Madrid IP origen Fecha Hora www.agpd.es sedeagpd.gob.es 2/10 .....@elergirhoy.com ***IP.1 13/11/2014 13:30 .....@elergirhoy.com ***IP.2 20/11/2014 12:40 .....@elergirhoy.com ***IP.2 27/11/2014 11:30 Los correos electrónicos contienen lo que parece ser una revista digital denominada “EL GIRALDILLO” que se publica en los sitios web www.elegirhoy.com y www.elgiraldillo.es. Los correos recibidos electrónicos disponen de un enlace para solicitar al baja de la lista de destinatarios. El enlace conduce a la URL http://elegirhoy.com/eliminar_publi.php?email=.....@gmail.com, pero al tratar de acceder a dicha dirección se devuelve una página de error con el mensaje “Error 404: página no encontrada.”. 2. El denunciante remitió desde su cuenta a la cuenta .....@elergirhoy.com solicitudes de baja los días 13 y 20 de noviembre de 2014. 3. El dominio elegirhoy.com está registrado a nombre de EL GIRALDILLO. 4. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de EL GIRALDILLO remite un escrito respondiendo a la cuestiones planteadas por el Subinspector actuante. El 15 de abril de 2015 se mantiene una conversación con el administrador de la entidad a fin de aclarar determinados puntos de la respuesta. La entidad manifiesta que: 4.1. EL GIRALDILLO es una empresa que desde el año 1983 se dedica a la recopilación y difusión de las actividades culturales y turísticas que se desarrollan en Andalucía. Inicialmente su producto era un medio impreso que se editaba mensualmente pero a partir de 1996 se comenzó con una edición digital que inicialmente consistía en una reproducción de la impresa pero que a partir de 2010 evoluciona a una edición más compleja y completa. 4.2. Disponen desde el año 2010 de un fichero de suscriptores a la revista digital. Además, disponen de otro fichero en el que se incluyen los datos obtenidos de la gestión comercial (telefónica, presencial o por correo electrónico) que ha dado lugar a la confección de una lista de potenciales informadores y clientes a los que se envía un boletín semanal. Reciben una media de 500 correos de particulares e instituciones en los que se les facilita información sobre eventos. Seleccionan a parte de los remitentes de dichos correos para incluirlos en la lista de destinatarios de los boletines ya que consideran que pueden ser de su interés. Debido a que formatean regularmente los equipos informáticos desconocen el origen exacto de la dirección de correo electrónico y no disponen de ningún otro dato asociado. 4.3. En el primer envío que se hace se informa al destinatario que se le envía el boletín por haber contactado directa o indirectamente con la entidad y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 suponen que la información es de su interés, proporcionándole la posibilidad de rechazar los envíos. 4.4. El correo electrónico no consta en la lista de destinatarios del boletín y, si bien no disponen de un fichero de exclusión en el que conste la fecha de baja, entienden que esta se produjo conforme a lo tratado con el afectado por la red social Facebook, en el mes de noviembre de 2014. 4.5. El sitio web se comenzó a actualizar el año 2014 y ello llevó a cambiar la estructura del sitio. Esos cambios llevaron a que los enlaces de baja apuntaran a una versión no actualizada del sitio web y por ello no funcionaban. Actualmente dicho error ha sido subsanado y los boletines contienen un enlace a la URL correcta. EL GIRALDILLO reenvió copia de un boletín de 10 de abril de 2015 en el que el subinspector actuante pudo comprobar que el enlace de baja apuntaba a http://elegirhoy.com/v2/eliminar_publi.php?email=xxxxxxx@xxxx.com (en lugar de xxx@xxxx.com figuraba una de las direcciones utilizadas para hacer pruebas por la entidad. Al acceder a la página enlazada se muestra un mensaje que informa de que se va a proceder a la baja de la suscripción y un botón para confirmar la baja que, al ser pulsado, lleva a la página principal del sitio web.” TERCERO: Con fecha 27 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EL GIRALDILLO por la presunta infracción del artículo 6.1 de la Ley 30/1995, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada norma. CUARTO: Notificado el citado Acuerdo de inicio, EL GIRALDILLO reconoció la responsabilidad en los hechos imputados, manifestando la adopción de medidas para que no vuelvan a producirse en el futuro tales como: - - designación de un responsable de seguridad. ayuda de un consultor externo para adaptarse a la LOPD. creación de un formulario de acceso a la base de datos para visualizar de forma clara, ágil y Accesible a los suscriptores, las latas y bajas y el cambio de datos con el fin de mantener actualizados los datos de los suscriptores. Envío a todas las direcciones de la lista de correos de un correo electrónico solicitando el consentimiento para seguir remitiendo comunicaciones electrónicas y posibilidad de darse de baja de forma clara y accesible para poder actualizar la base de datos correspondiente al fichero de suscriptores. Únicamente se seguirán remitiendo correos a aquellas personas que contesten dando su consentimiento de forma expresa, y los que no respondan serán dados de baja y bloqueados del envío impidiendo darlo de alta de nuevo por cualquier motivo distinto al consentimiento expreso del titular de los datos. creación de la cuenta .....1@elegirhoy.com con el objetivo que cualquier interesado pueda ejercitar los derechos ARCO sí como darse de baja de forma accesible, cuenta que estará controlada por el responsable de seguridad. Actualización de los enlaces que contienen los boletines electrónicos para poder C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 - darse de baja. Inclusión en la cuenta de Facebook de una cláusula informativa incluyendo el correo .....1@elegirhoy.com para ofrecer a los usuarios otra posibilidad de darse de baja. Plan de formación a todo el personal que trate datos de carácter personal. Habilitación de un acceso restringido a únicamente dos personas para los ficheros tanto de clientes y suscriptores como al de proveedores que contengan datos de carácter personal. Actualización del documento de seguridad. QUINTO: Reconocidos por EL GIRALDILLO los hechos que se le imputan en el procedimiento, conforme a lo dispuesto a en artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora procede elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución. HECHOS PROBADOS PRIMERO: Con fecha 27/11/2014 tiene entrada en esta Agencia una denuncia interpuesta por el denunciante en la que manifiesta lo siguiente: - A pesar de no haberse suscrito, recibía de vez en cuando correos electrónicos no solicitados de la revista “EL GIRALDILLO”. - Tras pulsar el botón para dar de baja la suscripción, a los pocos meses volvió a recibir correos electrónicos. - Contactó con EL GIRALDILLO a través de correo electrónico, Twitter y Facebook, para pedir que le dieran de baja y que borrasen sus datos. - Le contestaron a través de Facebook el 21 de noviembre de 2014 indicando que le habían dado de baja. - A pesar de lo manifestado por EL GIRALDILLO, el día 27 de noviembre volvió a recibir un nuevo correo electrónico. Junto con el escrito se aportan copia de correos electrónicos recibidos, sus cabeceras completas y captura de pantalla de la conversación mantenida en la red social Facebook en la que solicita y le confirman la baja de la lista de suscriptores al boletín (folios 1-25) SEGUNDO: El denunciante es titular de la dirección de correo electrónico .....@gmail.com (folios 1-25) TERCERO: EL GIRALDILLO es una empresa dedicada desde 1983 a la recopilación y difusión de actividades culturales y turísticas que se desarrollan en Andalucía. En su fichero (lista de correo) figuraba, hasta noviembre de 2014, la dirección de correo electrónico del denunciante .....@gmail.com sin que la entidad acredite el consentimiento del denunciante para tratar dicho dato personal (folios 1-25, 42-45, 49) CUARTO: En fechas 13/11/2014, 20/11/2014 y 27/11/2014, EL GIRALDILLO remitió al denunciante correos electrónicos conteniendo información sobre actividades de ocio, turismo y cultura de la revista digital “EL GIRALDILLO.ES” que se publica en los sitios web www.elegirhoy.com y www.elgiraldillo.es (registrados a nombre de EL GIRALDILLO). El denunciante remitió desde su cuenta a la cuenta .....@elergirhoy.com C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 solicitudes de baja los días 13/11/2014 y 20/11/2014 (folios 1-25, 46-48, 50-56) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 6, apartados 1 y 2, bajo la rúbrica “ consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la Ley Orgánica 15/1999 consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos, que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y, entre esas excepciones contempla a quienes son parte de una relación negocial, siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. No consta que el denunciante estuviera suscrito a EL GIRALDILLO estuviera afiliado al Sindicato CCOO, aunque sí que figuraba un afiliado que al tener un nombre similar, proporcionó una dirección de correo electrónico en la que también se incluía referencia a su nombre, y que al pasarse de manual a ficha automatizada, se omitió hacer constar un número, lo que dio lugar a que se pusiera la dirección de correo del denunciante y este recibiera los envíos. Ccorresponde a la EL GIRALDILLO la carga de probar que recabó y obtuvo el consentimiento del denunciante para el tratar el dato personal de su dirección de correo electrónico, hecho éste que no se ha producido por cuanto el denunciante no era suscritor de la publicación y la entidad no ha acreditado el origen del dato de su dirección de correo electrónico que obraba en su fichero de direcciones de correo y que utilizó para enviarle 3 correos electrónicos. Por ello, el tratamiento de datos llevado a cabo por EL GIRALDILLO y sobre el que versa este expediente sancionador, no encuentra amparo en la LOPD, por lo que se estima vulnerado por la denunciada el artículo 6.1 de la LOPD. Infracción tipificada en el artículo 44.3.
3. b)de la citada norma que dispone: “Son infracciones graves (…)
4. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III Una dirección de correo electrónico es un conjunto de palabras que identifican a una persona que puede enviar y recibir correo. Cada dirección es única y pertenece siempre a la misma persona, y está compuesta por el nombre de usuario (a la izquierda de la arroba) con que el usuario desee registrarse, y que no figure ya registrado, es un identificador cualquiera, que puede tener letras, números, y algunos signos, siendo la palabra a la derecha de la arroba el nombre del servidor o proveedor a través del cual el usuario envía y recibe correos. Los correos gratuitos son los más usados, aunque incluyen algo de publicidad. Una desventaja de estos correos es que en cada dirección, la parte que hay a la derecha de la @ puede verse el nombre del proveedor; en otros casos es común comprar un dominio propio, para dar un aspecto más corporativo. Un cliente de correo electrónico, o también llamado en inglés mailer o Mail User Agent (MUA) es un programa de ordenador usado para leer y enviar e-mails. La gran mayoría de clientes de correo electrónico emplean el Protocolo de Transferencia Simple de Correo (Simple Mail Transfer Protocol, SMTP) para enviar los e-mails. Los correos electrónicos quedan almacenados en el ordenador de destino, teniendo entrada a través del servidor que proporciona el acceso a la red. Al conectarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 a dicho correo, en correos recibidos figuran los nuevos correos en el buzón de entrada, pudiendo llevar un título. A partir de ese momento, los correos pueden guardarse en otra carpeta, permanecer en la misma de entrada, guardar en discos para su almacenamiento, o eliminar, pudiéndose en el mismo efectuar búsquedas avanzadas por multitud de criterios que hacen perfectamente asumible su consideración como fichero. En todo caso, no resulta difícil buscar la información, pues estos correos entrantes tienen diversos elementos para su búsqueda: por asunto, fecha, o buscar en modo avanzado incluso por palabras en los textos de todos los mensajes recibidos, también permite búsquedas de recibos entre dos fechas, ordenación que se incluye como referente a un fichero. El apartado 15 de la Directiva 95/46 nos dice que los tratamientos que afectan a los datos de carácter personal sólo quedan amparados por la Directiva cuando están automatizados o cuando los datos a que se refieren se encuentran contenidos en un archivo estructurado según criterios específicos relativos a las personas, a fin de que se pueda acceder fácilmente a los datos de carácter personal de que se trata. Por su parte, el apartado 27 del Preámbulo señala que la protección de las personas debe aplicarse tanto al tratamiento automático de datos como al tratamiento manual; que el alcance de esta protección no debe depender de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión; que no obstante, por lo que respecta al tratamiento manual, la Directiva sólo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en particular, el contenido de un fichero debe estructurarse conforme a criterios específicos relativos a las personas, que permitan acceder fácilmente a los datos personales; que, de conformidad con la definición que recoge la letra
5. c)del art. 2 , los distintos criterios que permiten determinar los elementos de un conjunto estructurado de datos pueden ser definidos por cada Estado miembro; que, las carpetas y conjuntos de carpetas, así como sus portadas, que no estén estructuradas conforme a criterios específicos no están comprendidas en ningún caso en el ámbito de aplicación de la presente Directiva. En el presente supuesto el denunciante almacenó los correos recibidos, y enviados desde EL GIRALDILLO, tres en total, correos que serían susceptibles de ser ordenados, buscados y hallados en base a distintos métodos, estimándose que los correos buscados y hallados forman parte de un fichero. La dirección de correo electrónico del denunciante a la cual EL GIRALDILLO remitió los correos electrónicos, se encontraba incluida en un fichero (listado de correos) de dicha entidad sin que conste su consentimiento como reconoce la propia entidad. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La aplicación del artículo 45.5 de la LOPD <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC)”, SAN 21/01/2014, incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto y en el resto de supuestos examinados en el citado artículo. EL GIRALDILLO reconoce su responsabilidad en los hechos imputados por lo que cabe la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, y en consecuencia procede imponer una multa cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular que no consta tratamiento del dato personal de la dirección de correo electrónico del denunciante por EL GIRALDILLO tras darlo de baja en su fichero en noviembre de 2014, así como las medidas adoptadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 en atención a acreditar de manera fehaciente el consentimiento de los destinatarios de sus comunicaciones electrónicas para el tratamiento de su dirección de correo electrónico, unido a la ausencia de benéficos obtenidos y perjuicios causados a la denunciante, procede imponer a dicha entidad una multa de 1.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EL GIRALDILLO COMUNICACION CULTURAL S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
21. b)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a EL GIRALDILLO COMUNICACION CULTURAL S.L., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es