1/10 Procedimiento Nº PS/00260/2015 RESOLUCIÓN: R/02618/2015 En el procedimiento sancionador PS/00260/2015, instruido por la Agencia Española de Protección de Datos a D. B.B.B., vista la denuncia presentada por la Guardia Urbana del Ayuntamiento de Barcelona, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3 de junio de 2014, tiene entrada en esta Agencia un escrito remitido por la Autoridad Catalana de Protección de Datos, al que acompaña una denuncia y diversa documentación remitida a ese organismo por la Guardia Urbana del Ayuntamiento de Barcelona, con relación al hallazgo por parte de agentes de la citada Guardia Urbana de diferentes documentos pertenecientes a la FARMACIA LEON, situada en la calle (C/........1) de Barcelona. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 23 de marzo de 2015 se realiza visita de inspección en la Farmacia LEON y ante su titular D. B.B.B., se ponen de manifiesto los siguientes hechos en el transcurso de la misma, tras mostrar la documentación hallada en la vía pública. El Sr. B.B.B. manifiesta: Toda la documentación mostrada y que se adjuntó al Acta, pertenece, casi en su totalidad a la Residencia XXX, cuya denominación actual es RESIDENCIA ESPERANZA, situada (C/........2)( ***LOCALIDAD.1), Barcelona, así como los tickets mostrados y que no se adjuntan al Acta, manifestando que dichos tickets son los que se entregan en la Residencia para su cobro, por lo que éstos no se habrían cobrado. La documentación mostrada corresponde a Recetas electrónicas y tratamientos de pacientes, para quienes la Farmacia suministraba la medicación a la Residencia. La Farmacia trabaja con varias Residencias de Tercera Edad, de la provincia de Barcelona, no obstante, desde el mes de octubre de 2014 no trabaja con la Residencia XXX. Desconoce el motivo por el que dicha documentación se encontraba en la vía pública, ya que la Farmacia cuenta con una máquina destructora de papel, donde se destruye cualquier tipo de documento que ya no sea necesario. El procedimiento para la recogida y tratamiento de la documentación es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 La Farmacia tiene un acuerdo verbal con varias residencias de Tercera Edad, para el suministro de medicación a los residentes. Para la comunicación de los datos de los residentes a la farmacia con las medicaciones de cada uno, cuenta con un documento de autorización, que ha de ser suscrito por parte de los afectados o sus familiares, no obstante, no cuenta con ningún documento de autorización de la Residencia XXX, ya que toda la documentación en papel fue destruida cuando dejó de ser cliente de la Farmacia. Una vez que la Farmacia recibe la autorización y documentación correspondiente a cada uno de los residentes, ésta es archivada en carpetas de plástico, una por cada Residencia y custodiada en un armario, al que sólo tiene acceso el Titular de la Farmacia y otra persona que trabaja en turno de 13 a 16 horas. La información que consta en las hojas de prescripción remitidas a la Farmacia, es incluida en un fichero automatizado, cuya inscripción en el Registro General de Protección de Datos ha sido solicitada la semana pasada. Una vez que una Residencia deja de trabajar con la Farmacia, se procede a destruir toda la documentación en papel que existe en la carpeta correspondiente, quedando únicamente la información en el fichero automatizado, el cual es gestionado por una aplicación denominada NIXFARMA. Mediante el acceso a un ordenador ubicado en el local donde se realiza la inspección se verifica que: - Para acceder a la aplicación se requiere un nombre de usuario y una contraseña, con la que accede tanto el titular de la farmacia como la otra persona que trabaja en ella. - Se realizan varias consultas a nombre de tres personas que figuran en la documentación hallada en la vía pública, verificándose la existencia de información asociada a los mismos. El Sr. B.B.B. solicitó por teléfono copia del consentimiento otorgado por las personas cuyas documentación apareció en la vía pública, quedando pendiente su envío a la Agencia. Se examina una de las carpetas donde se archiva la documentación, verificándose que en ella se encuentra lo siguiente: Ficha de Cliente, donde constan los datos de la Residencia y un campo de OBSERVACIONES, donde figuran distintas anotaciones sobre la prestación de este servicio, tanto por parte de la Farmacia como de la Residencia. Varios correos electrónicos remitidos desde la Residencia correspondiente a la Farmacia, donde le informan de un cambio en la medicación de algunos residentes. Varias recetas electrónicas, con tratamientos de Larga duración de los residentes. Varios documentos denominados “EXPEDIENTE ASISTENCIAL”, donde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 consta: Nombre y apellidos del residente, Nombre de la persona (familiar) responsable del mismo, Teléfono de contacto, Prescripción farmacológica, Diagnóstico, Alergias, etc. TERCERO: Con fecha 14 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. B.B.B., por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 92 del Reglamento de la LOPD, infracción tipificada como grave en el artículo 44.3.
- h)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, D. B.B.B. formuló alegaciones significando, que: “…insisto en el hecho de que nada demuestra que la documentación encontrada por efectivos de la Guardia Urbana de Barcelona haya salido de mi oficina de farmacia, si bien, como dije en mi anterior escrito de alegaciones, en ellos aparece el nombre de Farmacia B.B.B.. Ello no significa que pertenezcan al titular de la oficina de farmacia puesto que son documentos que principalmente están a disposición de la Residencia con la que he trabajado. Son datos de prescripción de medicamentos, fotocopia de recetas electrónicas, facturas que debo haber entregado a la residencia, pautas de administración de medicación que son de la propia residencia geriátrica que no dispongo en mi oficina de farmacia. Es decir se trata de documentación que debería estar en posesión de la residencia. Un ejemplo de que la documentación proviene de la residencia, es que hay tickets de venta que no tiene la oficina de farmacia, si no que se trata de documentación que el farmacéutico libra a la Residencia, o que pertenecen a la propia residencia sin que el farmacéutico tuviera acceso, como por ejemplo la documentación que obra en los folios 35 al 39. Igual ocurre con los blísteres, que han sido elaborados por otra oficina de farmacia, que no es la suya. Ello puede demostrar que la residencia en cuestión trabaja con varias oficinas de farmacia y que en realidad es la residencia la que no ha cumplido con la observancia obligada respecto a la confidencialidad y seguridad en el tratamiento de los datos de sus residentes. (…) Por todo ello, no puedo aceptar mi responsabilidad, en los hechos descritos en el escrito de Acuerdo de inicio de procedimiento sancionador, toda vez que no tengo conciencia de que desde mi oficina de farmacia esa información se haya extraviado de esa forma y además, parte de la documentación que se me ha exhibido nunca ha estado en mi oficina de farmacia.” Concluyen las alegaciones solicitando que se resuelva el “archivo de las actuaciones en cuanto a la imputación que se hace con respecto a mi persona como responsable de los hechos acaecidos objeto del expediente sancionador”. QUINTO: Con fecha 26 de junio de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la Guardia Urbana del Ayuntamiento de Barcelona y su documentación, los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 documentos obtenidos y generados por los Servicios de Inspección ante D. B.B.B., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05032/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00260/2015 presentadas por D. B.B.B., y la documentación que a ellas acompaña. 3. Denegar las pruebas testimoniales propuestas en su escrito de alegaciones por considerarlas innecesarias para el esclarecimiento de los hechos imputados toda vez que no se considera que vayan a incidir en los hechos imputados. Que por el Director de la Agencia Española de Protección de Datos se archiven las actuaciones iniciadas a D. B.B.B. por la infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. SEXTO: Con fecha 11 de septiembre de 2015, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archiven las actuaciones iniciadas a D. B.B.B. por la infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. HECHOS PROBADOS PRIMERO: Con fecha 3 de junio de 2014, tiene entrada en esta Agencia un escrito remitido por la Autoridad Catalana de Protección de Datos, al que acompaña una denuncia y diversa documentación remitida a ese organismo por la Guardia Urbana del Ayuntamiento de Barcelona, con relación al hallazgo, por parte de agentes de la citada Guardia Urbana, de documentación con datos de carácter personal en un contenedor urbano frente al número 85 de la carretera de (C/........1), Barcelona, con fecha 11 de mayo de 2015. La documentación localizada consiste en: prescripciones de medicamentos de varios pacientes de la residencia XXX, de ***LOCALIDAD.1, Barcelona; una hoja de suministro de la farmacia B.B.B. a nombre de un paciente; sobre con tickets de caja de esta farmacia; dos documentos con la medicación de pacientes de la farmacia C.C.C. y hojas con el Plan de medicación de tratamientos de larga duración del Servicio Catalán de Salud de varios pacientes. SEGUNDO: Con fecha 23 de marzo de 2015 la Inspección de esta Agencia realizó una visita a la Farmacia LEON situada en la carretera de (C/........1) 79, de Barcelona y ante su titular se ponen de manifiesto los siguientes hechos: El titular de la farmacia declaró que toda la documentación mostrada pertenece, casi en su totalidad, a la Residencia XXX, cuya denominación actual es RESIDENCIA ESPERANZA, situada en (C/........2), ***LOCALIDAD.1, Barcelona. Manifiesta que los tickets son los que se entregan en la Residencia para su cobro, por lo que éstos no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 habrían cobrado. Que la documentación son recetas electrónicas y tratamientos de pacientes que la farmacia suministraba a la Residencia. Que la farmacia trabaja para varias residencias y que desde octubre de 2014 no trabaja con la Residencia XXX. Que desconoce el motivo por el que dicha documentación se encontraba en la vía pública porque la farmacia cuenta con destructora de papel. El titular de la farmacia expuso durante la inspección el procedimiento para la recogida y tratamiento de la documentación para el suministro de las residencias con las que trabajan. TERCERO: Durante la inspección se comprobaron aspectos relativos a las medidas de seguridad de los datos de carácter personal que se tratan en la oficina de farmacia, tales como la existencia de claves para el acceso a la aplicación con la que se trabaja; se obtiene copia del Documento de Seguridad en el que constan las medidas para la destrucción de la documentación en papel y se adjunta al acta de inspección un Informe denominado “Resumen de actividades en la oficina de farmacia del Sr. A.A.A. para cumplir con la ley Orgánica de Protección de Datos” donde figuran las acciones que han de ser realizadas por el titular de la farmacia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
- h)de la LOPD tipifica como infracción grave el “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Entre las medidas de seguridad de nivel básico, el Reglamento expone en su artículo 92, respecto de la gestión de soportes y documentos, que: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” De acuerdo con lo anterior, deben adoptarse las medidas necesarias para impedir cualquier recuperación posterior de la información con datos de carácter personal que contienen los documentos. En el presente caso la documentación con datos de carácter personal fue encontrada por la Guardia Urbana de Barcelona con fecha 11 de mayo de 2014 en un contenedor urbano frente al número 85 de la carretera de (C/........1) de Barcelona. La documentación localizada consiste en: prescripciones de medicamentos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 varios pacientes de la residencia XXX, de ***LOCALIDAD.1, Barcelona; una hoja de suministro de la farmacia B.B.B. a nombre de un paciente; sobre con tickets de caja de esta farmacia; dos documentos con la medicación de pacientes de la farmacia C.C.C. y hojas con el Plan de medicación de tratamientos de larga duración del Servicio Catalán de Salud de varios pacientes. Con fecha 23 de marzo de 2015 la Inspección de esta Agencia realizó una visita a la Farmacia LEON situada en la carretera de (C/........1) 79, de Barcelona. Durante la inspección el titular de la farmacia declaró que toda la documentación mostrada pertenece, casi en su totalidad, a la Residencia XXX, cuya denominación actual es RESIDENCIA ESPERANZA, situada en (C/........2), ***LOCALIDAD.1, Barcelona. Manifiesta que los tickets son los que se entregan en la Residencia para su cobro, por lo que éstos no se habrían cobrado. Que la documentación son recetas electrónicas y tratamientos de pacientes que la farmacia suministraba a la Residencia. Que la farmacia trabaja para varias residencias y que desde octubre de 2014 no trabaja con la Residencia XXX. Que desconoce el motivo por el que dicha documentación se encontraba en la vía pública porque la farmacia cuenta con destructora de papel. El titular de la farmacia expuso durante la inspección el procedimiento para la recogida y tratamiento de la documentación para el suministro de las residencias con las que trabajan. Durante la inspección se comprobaron aspectos relativos a las medidas de seguridad de los datos de carácter personal que se tratan en la oficina de farmacia, tales como la existencia de claves para el acceso a la aplicación con la que se trabaja; se obtiene copia del Documento de Seguridad en el que constan las medidas para la destrucción de la documentación en papel y se adjunta al acta de inspección un Informe denominado “Resumen de actividades en la oficina de farmacia del Sr. A.A.A. para cumplir con la ley Orgánica de Protección de Datos” donde figuran las acciones que han de ser realizadas por el titular de la farmacia. El titular de la farmacia inspeccionada ha alegado al acuerdo de inicio del procedimiento sancionador que, aunque en los documentos encontrados en la vía pública aparece el nombre de su farmacia, se trata de documentación que es propia de la residencia geriátrica y de la que no dispone en su oficina de forma que debería estar en posesión de la residencia. Que nada demuestra que la documentación encontrada por efectivos de la Guardia Urbana de Barcelona haya salido de su oficina de farmacia. III Al Derecho Administrativo Sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En el presente caso, se denunció el abandono de documentación con datos personales en la vía pública por parte de la Guardia Urbana de Barcelona. El denunciado ha alegado que nada demuestra que la documentación encontrada por efectivos de la Guardia Urbana de Barcelona haya salido de su oficina de farmacia y que se trata de documentación que es propia de la residencia geriátrica que aparece en la documentación encontrada. Del examen de la documentación aportada en la denuncia del presente procedimiento se observa que en la mayor parte de los documentos con datos personales figura el membrete de la residencia XXX ya citada, en otros figura el Servicio Catalán de Salud en las prescripciones de medicamentos de los tratamientos de larga duración de los pacientes y en dos documentos figura el nombre de otra farmacia distinta de la imputada. Entre todos los documentos hallados hay una hoja de suministro de la farmacia B.B.B. a nombre de un paciente y un sobre con tickets de caja de esta farmacia. De manera que en el presente supuesto no ha podido acreditarse fehacientemente que la documentación localizada en la vía pública pertenezca a la farmacia imputada en el presente procedimiento sancionador y que fue objeto de inspección. Por tanto, existe una duda razonable de que se haya vulnerado el artículo 9.1 de la LOPD. En el presente supuesto, no ha sido posible acreditar los términos de la denuncia presentada en la instrucción del presente expediente sancionador ya que, como señala la sentencia citada, “la carga de la prueba corresponde a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De manera que atendiendo al principio de presunción de inocencia, procede proponer el archivo del presente expediente sancionador. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones iniciadas a D. B.B.B. por la infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B., y a la Guardia Urbana del Ayuntamiento de Barcelona. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es