PS-00237-2015

1/9 Procedimiento Nº PS/00237/2015 RESOLUCIÓN: R/02219/2015 En el procedimiento sancionador PS/00237/2015, instruido por la Agencia Española de Protección de Datos a la entidad UNIDAD ARAGONESA DE SALUD S.L., vista la denuncia presentada por Dª. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de enero de 2015 se ha recibido en el registro de esta AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS un escrito de la representante de Dª. B.B.B. (en adelante la denunciante) en el que manifiesta que, en septiembre de 2009, su representada fue intervenida en la CLÍNICA ACTUR, gestionada por la entidad UNIDAD ARAGONESA DE SALUD S.L. por una interrupción legal de embarazo y que en mayo de 2013 recibió una comunicación de su marido, residente en Nicaragua, que le manifestó estar en posesión de su expediente médico y conocer dicha intervención, afirmando que le fue facilitado por D. F.F.F.. Manifiesta que en la Clínica le señalaron que D. F.F.F. se presentó en fecha 16 de mayo de 2013 con una autorización sin firmar, para la recogida del historial, a la que acompañó copia del pasaporte de la denunciante, hechos que han sido puestos en conocimiento de la Autoridad Judicial, estando en desarrollo procedimiento ante el Juzgado de Instrucción nº 1 de Zaragoza. Continúa exponiendo en su escrito que: “Dichos hechos fueron puestos en conocimiento de la Policía Nacional, mediante denuncia presentada el día 5 de junio de 2013, Atestado ****/13, incoándose diligencias Previas de Procedimiento Abreviado n° ****/2013 seguidas ante el Juzgado de Instrucción número 1. A requerimiento judicial, la Clínica aportó copia de la Autorización entregada como autorizado para recoger la historia clínica. Dichos hechos fueron ratificados por la empleada (…), en la que sin ningún género de dudas reconoce a las personas que acudieron al centro a solicitar y recoger la Historia clínica y que en ningún caso era la H.H.H.. Se aportó relleno de su puño y letra una autorización facilitada por el centro que iba sin firmar, y en la que se interesaba la expedición de la copia de la historia clínica de las intervenciones quirúrgicas realizadas en CLÍNICA ACTUR y se autorizaba a recogerla, adjuntando una fotocopia del pasaporte de Ia H.H.H.”. Se aporta con el escrito de denuncia constancia de lo actuado en las Diligencias Previas mencionadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 SEGUNDO: Con fecha 28 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Unidad Aragonesa de Salud S.L., por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, la entidad Unidad Aragonesa de Salud S.L. formuló alegaciones, significando, que: “el dia 19 de Marzo de 2013, se personaron en las instalaciones de mi mandante una pareja, compuesta por un varón y una mujer, a fin de solicitar la entrega de la historia clínica de ésta última (…) Ante tal solicitud, la empleada de mi representada solicitó a la mujer la correspondiente documentación, identificándose aquella como a B.B.B., mediante la exhibición del correspondiente pasaporte a nombre de dicha persona (…) La empleada de mi mandante pidió a la mujer que se identificó como la señora B.B.B. que rellenase un formulario solicitando la copia de su historial clínico, lo que se hizo por aquella rellenando la instancia que a tal efecto dispone mi representada, firmando manuscritamente la misma -“Firma: B.B.B.”—, a la par que solicitaba que cuando la historia estuviera preparada se procediera a su entrega al varón que la acompaña, que se identificó presentando su pasaporte como D.D.D., lo que se hizo constar expresamente por la mujer en la instancia (…) En este punto, advertimos ya que el pasaporte que se exhibió a la empleada de mi representada era auténtico, pues así fue posteriormente confirmado -cuando se descubrió la simulación- por la hoy denunciante a la empleada de mi representada, indicándole que lo había extraviado y lo había denunciado ante la Policía. (…) Una vez se preparó copia de la historia clínica, la empleada de mi mandante, señora G.G.G., comunicó en el número de teléfono que se había facilitado que podían pasar a recogerla por la clínica, personándose en la misma tanto el señor F.F.F. como quien se había identificado como señora B.B.B., haciéndole entrega a esta última de “su” historia clínica. Unas semanas después de verificada dicha entrega, se personó en la clínica la hoy denunciante advirtiendo al personal de mi mandante que la historia clínica había sido entregada a alguien que no era ella y sin su autorización; momento en que mi representada tuvo la primera noticia de la suplantación de identidad que se llevó a efecto por el señor F.F.F. y por la mujer que lo acompañaba, apercibiéndose además la denunciante en ese momento, a la vista de los documentos que se le exhibieron, que mi representada cuando entregó la historia clínica lo hizo en la absoluta creencia de que la estaba entregando a su legitima titular, habiendo sido engañada mediante la suplantación de identidad efectuada, pues además era evidente el parecido físico buscado intencionalmente entre la denunciante y la mujer que suplantó su identidad. Efectivamente, la señora B.B.B. denunció estos hechos ante el Cuerpo Nacional de Policía, instruyéndose el atestado número ****/2013., en el que prestó declaración la empleada de mi representada (…) cuyo texto se acompaña como documento número C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 SIETE de este escrito, que dio lugar a las Diligencias Previas número ****/13 del Juzgado de Instrucción número UNO de Zaragoza que se siguió por presuntos delitos de usurpación de estado civil y revelación de secretos, contra A.A.A. y contra E.E.E., quien resultó ser la mujer que suplantó la identidad de la hoy denunciante. Mi representada desconoce el estado de tramitación del citado procedimiento penal, por lo que en fase probatoria se solicitará que se recabe testimonio del mismo, debiendo hacer constar que mi mandante ni ha sido emplazada en el mismo como cooperadora necesaria de los delitos cometidos, ni como responsable civil subsidiaria de los mismos, en clara señal de su total y completa ausencia de voluntariedad e intencionalidad alguna en la entrega de la historia clínica de la señora B.B.B. a personas distintas de ella. SEGUNDO. - A la vista de lo expuesto en la alegación anterior, procede el archivo del Procedimiento Sancionador por inexistencia de culpabilidad, que ni siquiera puede entenderse concurrente a título de falta de diligencia, en la conducta de mi representada. (…) Y es que, insistimos en que la entrega de la historia clínica se efectuó mediando un uso fraudulento de la identidad de la denunciante por parte de unos terceros, que exhibieron y utilizaron documentación auténtica que los identificaban como tal, por lo que nada podía hacer sospechar a mi representada que dicha señora no era quien aparentaba ser, es decir la denunciante.” Concluyen las alegaciones solicitando que se acuerde el sobreseimiento y archivo del procedimiento sancionador incoado por ausencia de culpabilidad o, subsidiariamente, se aplique lo dispuesto en el artículo 45.6 de la Ley de Protección de Datos de Carácter Personal, o el artículo 45.5 de dicho cuerpo legal. CUARTO: Con fecha 8 de junio de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad UNIDAD ARAGONESA DE SALUD S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00286/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00237/2015 presentadas por la entidad UNIDAD ARAGONESA DE SALUD S.L. 3. REQUERIR a la entidad UNIDAD ARAGONESA DE SALUD S.L. la presentación de los 7 documentos que se mencionan como aportados en las alegaciones al acuerdo de inicio, y también la documentación acreditativa de la representación que se dice que se aporta. 4. REQUERIR al Juzgado de Instrucción nº 1 de Zaragoza que informe sobre las actuaciones adoptadas en las Diligencias Previas nº ****/2013. QUINTO: Con fecha 23 de junio de 2015 tiene entrada en el Registro de esta Agencia escrito de la representante de la entidad denunciada en respuesta a lo solicitado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 pruebas, en el que aporta: copia de “la solicitud de entrega de la historia clínica que redactó y suscribió quien se identificó como la señora B.B.B.” y copia de la declaración prestada por la empleada de la clínica ante el Cuerpo Nacional de Policía el día 25 de junio de 2013, ambas compulsadas ante notario. SEXTO: Con fecha 29 de junio de 2015 tiene entrada en el Registro de esta Agencia escrito del Juzgado de lo Penal 6 de Zaragoza en el que informa de que en las Diligencias Previas ****/13 seguidas en el Juzgado de Instrucción núm. 1 de Zaragoza, que dieron origen a las actuaciones de referencia, no se llegó a celebrar juicio en las mismas al haber sido archivadas por extinción de la responsabilidad criminal por perdón de la perjudicada, se adjunta copia. Se adjunta Auto de 17 de julio de 2014 de dicho Juzgado de lo Penal por el que se decreta la extinción de la responsabilidad criminal de las dos personas denunciadas, porque la denunciante perdona a los denunciados y renuncia a cualquier acción penal que pudiera corresponderle y solicita el archivo de las diligencias. HECHOS PROBADOS PRIMERO: Con fecha 7 de enero de 2015 se ha recibido en esta Agencia Española de Protección de Datos un escrito en el que se manifiesta que la CLÍNICA ACTUR, gestionada por la entidad UNIDAD ARAGONESA DE SALUD S.L., ha entregado la historia clínica de la denunciante a un tercero sin su consentimiento. La denunciante manifiesta en su escrito que en la Clínica le señalaron que la persona a quien entregaron su historia clínica se presentó el 16 de mayo de 2013 con una autorización sin firmar, a la que acompañó copia del pasaporte de la denunciante. SEGUNDO: Expone la denunciante que estos hechos se denunciaron ante la Policía Nacional el 5 de junio de 2013 y se incoaron diligencias Previas de Procedimiento Abreviado ante el Juzgado de Instrucción número 1 de Zaragoza. A requerimiento judicial, la Clínica aportó copia de la solicitud en la que se autorizaba a un tercero a recoger la historia clínica. Los hechos fueron ratificados por una empleada de la clínica que reconoce a las personas que acudieron al centro a solicitar y recoger la Historia clínica. TERCERO: Se aporta con la denuncia la documentación que forma parte del expediente de la denuncia ante el Juzgado en la que constan: Escrito de la entidad Unidad Aragonesa de Salud dirigida al Juzgado de Instrucción 1 de Zaragoza en el que se comunica que se aporta la autorización para la entrega de la historia clínica de la denunciante a un tercero, que consta a su vez de tres documentos: solicitud de la denunciante con autorización a un tercero para la recogida de su historial médico, fechada el 19 de abril de 2013 y copia de los pasaportes de la denunciante y del tercero. Se aporta también la declaración prestada por la empleada de la clínica ante la policía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 nacional el 2 de julio de 2013 en las que se le solicita que identifique a las dos personas “que se personaron en la clínica con el fin de recabar y apoderarse del historial clínico” de la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 18 .1 y .2, en relación a los “derechos de acceso a la historia clínica”, lo siguiente: “1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. En el artículo 17 de la Ley 41/2002, en su apartado 6, referido a la conservación de la historia clínica se determina lo siguiente: “Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Por último, el artículo 19 de la citada Ley 41/200 indica: “Derechos relacionados con la custodia de la historia clínica. El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley”. III El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11(comunicación de datos). En este caso, ese deber de secreto comporta que la entidad UNIDAD ARAGONESA DE SALUD S.L., responsable de las historias clínicas de los pacientes tratados en la clínica ACTUR, no puede revelar ni dar a conocer su contenido a terceros, salvo con consentimiento expreso de los afectados, al contener datos de salud especialmente protegidos artículo 7.3 LOPD o en los casos autorizados por la ley, recordando que el artículo 7.3 señala: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una Ley o el afectado consienta expresamente.” IV Es necesario examinar a continuación si concurre el elemento subjetivo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador, responsabilidad por el ilícito cometido. La entidad UNIDAD ARAGONESA DE SALUD S.L. ha alegado la ausencia de culpabilidad en su actuación porque “la entrega de la historia clínica se efectuó mediando un uso fraudulento de la identidad de la denunciante por parte de unos terceros, que exhibieron y utilizaron documentación auténtica que los identificaban como tal, por lo que nada podía hacer sospechar a mi representada que dicha señora no era quien aparentaba ser, es decir la denunciante”.. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). Hay que tener en cuenta que las exigencias derivadas del principio de culpabilidad se traducen en materia de protección de datos de carácter personal en la necesidad de exigir una especial diligencia a las personas físicas o jurídicas responsables del tratamiento de los mismos, diligencia que debe valorarse en el presente supuesto en el que se comunicaron a terceros, datos de carácter personal de una paciente sin su consentimiento. La denunciante ha manifestado que la clínica ACTUR entregó su historia clínica a una persona con una autorización sin firmar. La entidad denunciada ha declarado que se entregó la historia clínica solicitada a una persona que dijo ser la paciente, que se personó exhibiendo el original de su pasaporte del que se realizó copia y que solicitó por escrito su entrega suscribiendo el documento de solicitud. En el mismo documento pidió que se entregase su historia clínica a otra persona que la acompañaba en ese momento y de la que también se conservó copia del pasaporte en la clínica. Ha aportado copia de estos documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Estos hechos están documentados en las declaraciones realizadas por la empleada de la clínica ACTUR, que atendió a la persona que dijo ser la denunciante en abril y mayo de 2013, ante el Cuerpo Nacional de Policía, realizadas el 25 de junio de 2013 y el 2 de julio de 2013. Estas declaraciones se produjeron con motivo de la denuncia presentada ante la Policía Nacional por la denunciante del presente procedimiento y que dieron lugar a las actuaciones previas ****/2013 seguidas ante el Juzgado de Instrucción nº 1 de Zaragoza. Solicitada información de dichas diligencias previas, el Juzgado de lo Penal 6 de Zaragoza informa de que en las Diligencias Previas ****/13 seguidas en el Juzgado de Instrucción núm. 1 de Zaragoza, que dieron origen a las actuaciones de referencia, no se llegó a celebrar juicio en las mismas al haber sido archivadas por extinción de la responsabilidad criminal por perdón de la perjudicada. Se adjunta Auto de 17 de julio de 2014 de dicho Juzgado de lo Penal por el que se decreta la extinción de la responsabilidad criminal de las dos personas denunciadas, porque la denunciante perdona a los denunciados y renuncia a cualquier acción penal que pudiera corresponderle y solicita el archivo de las diligencias. La entidad denunciada en el presente procedimiento entregó la historia clínica a quien dijo ser la titular de la misma y se identificó con su documentación original. El centro médico conserva constancia de la solicitud realizada y de la documentación identificativa aportada de manera que en este caso nos encontramos ante una conducta inadecuada de la que no es posible hacer responsable a la entidad denunciada que dispone de acreditación del consentimiento otorgado por quien se identificó como la denunciante para la entrega de su historial médico. Concurre pues la falta de culpabilidad en la conducta de la entidad denunciada. En el caso presente esta Agencia considera que a la clínica ACTUR no le era exigible otra conducta diferente de la que observó puesto que no había ninguna circunstancia que le pudiera hacer pensar que la persona que solicitó la documentación objeto de denuncia no era quien dijo ser. Debe concluirse que la actuación de la entidad denunciada, procediendo a la entrega de la historia clínica de la denunciante a quien se acreditó como ella misma por medio de su documentación original, no cumple los requisitos mínimos derivados del principio de culpabilidad porque se ha producido un error invencible que excluye el dolo y la culpa y por tanto la responsabilidad, por lo que debe estimarse la alegación realizada, procediendo al archivo de las presentes actuaciones realizadas ante la entidad UNIDAD ARAGONESA DE SALUD S.L. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones practicadas ante la entidad UNIDAD ARAGONESA DE SALUD S.L., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
3. d)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a la entidad UNIDAD ARAGONESA DE SALUD S.L. y a Dª. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es