1/9 Procedimiento Nº PS/00236/2015 RESOLUCIÓN: R/01733/2015 En el procedimiento sancionador PS/00236/2015, instruido por la Agencia Española de Protección de Datos a la entidad SANTA LUCIA, S.A.., visto el escrito presentado por la propia entidad y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 21/05/2014 ha tenido entrada en esta Agencia escrito de SANTA LUCIA, S.A.. (en lo sucesivo SANTA LUCIA), en el que manifiesta: que en fechas recientes habían detectado una incidencia involuntaria en sus sistemas de información que afectaban a un muy numeroso grupo de afectados, cuyos elementos descriptivos son los siguientes: “Se realiza un envío postal a los tomadores de seguro de las modalidades “Maxiplan Joven” y “Mi primer ahorro” que incluye información sobre el seguro. En el apartado “Resumen informativo de movimientos” de cada envío, en la parte relativa a Asegurados se contenían datos personales (sólo Nombre y Apellidos) de quienes ostentan tal condición en otra póliza del mismo producto”. II. La incidencia producida fue detectada y registrada de forma inmediata tras su producción, como consecuencia de la aplicación de nuestros procesos de control. III. Igualmente de modo inmediato tras la detección, se ha procedido a: a. Analizar las causas que han dado lugar a la incidencia involuntaria que se reporta mediante este escrito. b. Establecer el plan de acción para evitar su repetición en el futuro. c. Remitir a todos los afectados una nueva comunicación, en la que: i. se les comunicaba la incidencia ocurrida y se les pedía disculpas con relación a la misma; u. se les remitían los datos correctos en relación a los Asegurados incorporados a la póliza de seguro del Tomador destinatario de la comunicación”. SEGUNDO: Con fecha 28/04/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SANTA LUCIA por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 4.3.d) de dicha norma, pudiendo ser sancionada, con multa de 40.001 a 300.0000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, SANTA LUCIA mediante escrito de 28/05/2015 solicitó ampliación del plazo para formular alegaciones, ampliación que le fue concedida mediante escrito del instructor. El 30/05/2015 SANTA LUCIA formuló las siguientes alegaciones: que se reitera en el escrito que ha dado lugar al presente procedimiento en el que reconoce la culpabilidad en los hechos ocurridos; que se aplique el artículo 45.5 de la LOPD y se aplique una sanción en la cuantía mínima para las infracciones leves, al concurrir una cualificada disminución de la culpabilidad debido a que no sea obtenido beneficio alguno, ausencia de intencionalidad, no existe reincidencia en la comisión de infracciones de la misma naturaleza, los afectados no han sufrido perjuicio alguno, la existencia de controles en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 tratamiento de datos; además, la entidad ha regularizado la situación irregular de manera inmediata habiendo adoptado nuevas medidas para evitar la repetición de dicha incidencia. CUARTO: Con fecha 30/06/2015 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios el escrito enviado a esta Agencia por SANTA LUCIA el 21/05/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00236/2015 presentadas por SANTA LUCIA y la documentación que a ellas acompaña. Solicitar a SANTA LUCIA que informara de la fecha en que fue detectada la incidencia. En fecha 24/07/2015 SANTA LUCIA dio respuesta a la prueba practicada cuyo contenido obra en el expediente. QUINTO: Al haber reconocido la entidad interesada la responsabilidad en los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO. El 21/05/2014 tuvo entrada en esta Agencia escrito de SANTA LUCIA en el que manifestaba que en fechas recientes habían detectado una incidencia involuntaria en sus sistemas de información, que afectaban a un gran número de clientes
(49000), cuyos elementos descriptivos son los siguientes: “i. Se realiza un envío postal a los tomadores de seguro de las modalidades “Maxiplan Joven” y “Mi primer ahorro” que incluye información sobre el seguro. ii. En el apartado “Resumen informativo de movimientos” de cada envío, en la parte relativa a Asegurados se contenían datos personales (sólo Nombre y Apellidos) de quienes ostentan tal condición en otra póliza del mismo producto”. II. La incidencia producida fue detectada y registrada de forma inmediata tras su producción, como consecuencia de la aplicación de nuestros procesos de control” (folios 1 y 2). SEGUNDO. SANTA LUCIA en alegaciones al Acuerdo de Inicio reconoce voluntariamente su responsabilidad ante los hechos acaecidos (folio 11 y 16). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 proceda.” En aplicación del anterior precepto y teniendo en cuenta que SANTA LUCIA ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Se imputa a SANTA LUCIA en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. IV Por otra parte, el artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por parte de SANTA LUCIA en su condición de responsable del fichero una vulneración del deber de secreto al enviar por vía postal y comunicar a tomadores de seguros, clientes de la entidad, en el apartado relativo a asegurados los datos personales de quienes ostentan dicha condición pero en otras pólizas del mismo producto. Por tanto, SANTA LUCIA en su condición de responsable del fichero no ha actuado con la diligencia debida al comunicar datos erróneos y no comprobar correctamente los documentos remitidos, por lo que debe considerarse que ha vulnerado la LOPD por vulneración del artículo 10 de la LOPD y que encuentra su tipificación en el tipo del citado artículo 44.3.d). VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SANTA LUCIA han solicitado la aplicación del artículo 45.5 de la LOPD, teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, reduciendo la cuantía y aplicando la escala relativa a la clase de infracciones leves y la graduación de la sanción en aplicación de supuesto contenidos en el artículo 45.4 de la LOPD. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso presente, ha quedado acreditado que SANTA LUCIA, en su condición de responsable del fichero, es responsable de la infracción cometida, el incumplimiento del deber de guardar secreto consagrado en el artículo 10 de la LOPD, al enviar comunicaciones postales a tomadores de seguros de las modalidades “Maxiplan Joven” y “Mi primer Ahorro” en la que se incluía información sobre su seguro, si bien en la parte relativa a asegurados se contenían los datos de carácter personal de quienes ostentaban tal condición pero en otras pólizas del mismo producto asociando dichos datos de forma errónea, conculcándose de esta forma el deber de secreto, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de los supuestos previstos en el 45.5,
- d)“Cuando el infractor haya reconocido espontáneamente su culpabilidad” ya que los hechos ocurridos fueron puestos en conocimiento de la Agencia no a través de terceros o de actuación de oficio, sino por la propia entidad aseguradora en escrito de 21/05/2014 y, también el supuesto
- b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que la compañía aseguradora tan pronto como detectó y tuvo conocimiento de la incidencia producida actuó de manera inmediata para corregir la situación adoptando las medidas adecuadas, analizando las causas que la provocaron, estableciendo un plan de acción para evitar su repetición en el futuro y remitiendo a los afectados nueva comunicación en la que se pedían disculpas con relación a lo ocurrido remitiéndoles los datos correctos, por lo que se establece una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que hacer mención a otras circunstancias que se producen en el presente caso que atenúan la culpabilidad de SANTA LUCIA; ante los hechos ocurridos fue emitido un informe detallado analizando las causas que dieron lugar a la incidencia, estableciéndose aspectos a mejorar en el tratamiento de los datos aplicando para ello esfuerzos y recursos a fin de evitar que se volvieran a repetir en el futuro incidencias como la ocurrida, adoptando medidas adecuadas de depuración de procesos y de mejora de los mismos. Además, para su comprobación se han realizado envíos posteriores de igual naturaleza y contenido sin que en ningún caso se haya detectado incidencia alguna tanto en el contenido como en los datos personales incluidos en las comunicaciones. Por otra parte, SANTA LUCIA ha invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la atenuación de la sanción a imponer. En cuanto a la circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la empresa hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la ausencia de perjuicios, circunstancia prevista en el apartado h), tal alegato no puede aceptarse a la vista de los hechos considerados probados en el procedimiento, derivados de la lesión del derecho fundamental a la protección de datos inherente a la infracción sancionada, en el presente caso, vulneración del deber de secreto. En cuanto a que la incidencia ocurrida no fue consecuencia de falta de controles o procedimientos aplicados al tratamiento de datos personales, circunstancia prevista en el apartado
- i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar con las medidas que la empresa ha adoptado para no repetir hechos como los imputados y que no pudieron ser evitados, lo que demostraría la ausencia de diligencia mostrada por la compañía aseguradora. En cuanto a la ausencia de beneficio, la LOPD prevée en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad y, es por ello, que al margen de que en la conducta de la compañía aseguradora se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
- e)la ausencia de beneficios como consecuencia de la comisión de la infracción, la concurrencia de las circunstancias agravantes que se expresan en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. No obstante, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
- b)“volumen de los tratamientos efectuados”, porque como consta acreditado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 procedimiento el error provocado afecto a un numeroso grupo de tomadores de seguro, clientes de SANTA LUCIA,
- c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidades denunciadas se ven obligadas a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
- d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las grandes compañías aseguradoras del país por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 6.000 €, por la infracción del artículo 10 de la LOPD, de la que SANTA LUCIA debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SANTA LUCIA, S.A.., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SANTA LUCIA, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es