← España

PS-00324-2021

1/10  Expediente Nº: PS/00324/2021 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IZA OBRAS Y PROMOCIONES, S.A. con NIF A48820229 (en adelante, la parte reclamada). El motivo en que se basa la reclamación es que la entidad reclamada ha revelado datos de salud del reclamante a otra empresa, así como su dirección de correo personal, y todo ello sin el consentimiento del reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 16 de marzo de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 13 de abril de 2021, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: 1.- El 14 de noviembre de 2018 la Entidad Pública Empresarial de ViviendaDonostiako Etxegintza, adjudicó a IZA un contrato de obras de construcción en Intxaurrondo. 2.- El reclamante, empleado de IZA, actúa en dicha obra desempeñando temporalmente la función de jefe de obra. 3.- El reclamante, manteniendo su condición de empleado, denunció a IZA ante la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza el 14 de julio y 9 de septiembre de 2020 por falta de adscripción de medios humanos y materiales, entre otros. 4.- En cumplimiento de su poder de control, la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza requirió a IZA, conforme al artículo 55 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas, información relativa a las denuncias interpuestas. 5.- IZA recibiendo dicha comunicación, y en cumplimiento de la obligación de colaboración con la Administración, manifestó los hechos relevantes que explicarían las faltas de adscripción de medios materiales y humanos de la obra, contestando a las denuncias del reclamante. En dicha información se incluía información sobre el reclamante, justificando su remisión en el cumplimiento de la obligación legal (Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 39/2015) así como en las prerrogativas de la Ley 9/2017 de contratos del sector público. 6.- La remisión de dicha información se consideró como confidencial, siguiendo los cauces de Registro Electrónico de Entrada, conforme a la Ley. Encontrándose esa información en poder de Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, y fuera de los canales de protección de IZA, la misma llegó al reclamante, tal y como manifiesta en su denuncia. 7.- A raíz de este, se activó el protocolo de brechas, no se detectó fuga de datos desde IZA, solicitando aclaración al respecto a Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, solicitud que no ha obtenido respuesta. 8.- Respecto a la información que indica el reclamante, IZA exclusivamente la aportó al procedimiento administrativo, en el ejercicio de la competencia y control de la Entidad Pública. 9.- Respecto a la utilización del correo electrónico personal del denunciante, se informa que su uso deriva de la previa remisión por el mismo desde hace 2 años como medio para comunicarse con la empresa. Se adjuntan cabeceras de los mensajes y asuntos para corroborarlo, y que en caso de necesitar los contenidos serían remitidos a la Autoridad de Control. TERCERO: Con fecha 18 de junio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

  1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el 25 de octubre de 2021, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta que no ha revelado información de carácter personal del reclamante a la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza. Además manifiesta su confusión y solicita a esta Agencia que se le indique qué información especialmente sensible ha sido objeto de tratamiento. Y finalmente solicita que se requiera al Ayuntamiento de Donostia/San Sebastián la grabación de la sesión incorporada al diario de sesiones de la Comisión de Desarrollo y Planificación del Territorio de fecha 9 de diciembre de 2020, donde presumiblemente se vertieron y manifestaron los datos del reclamante. SEXTO: Con fecha 27 de octubre de 2021 el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 actuaciones previas de investigación, E/02987/2021, así como los documentos aportados por el reclamado. SEPTIMO: Con fecha 31 de octubre de 2021, se dicta propuesta de resolución proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a IZA OBRAS Y PROMOCIONES, S.A., con NIF A48820229, por una infracción del artículo 5.1.
  2. c)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (cincuenta mil euros). OCTAVO: Con fecha 15 de noviembre de 2021, se presentan alegaciones a dicha propuesta de resolución, reiterando las alegaciones anteriormente señaladas a lo largo del procedimiento y en concreto manifiesta lo siguiente: “No ha cedido el dato del correo electrónico personal del reclamante, que además se encontraba legitimada para la cesión de datos -incluso si hubiera categorías de datos especialmente protegidos-, y que todo este procedimiento se desata por la fuga de información producida desde la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, su Consejo de Administración así como desde la Comisión de Desarrollo y Planificación del Territorio del Ayuntamiento de Donostia/San Sebastián.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante manifiesta que la entidad reclamada ha revelado datos de salud del reclamante (en concreto fechas de bajas médicas, motivos, y permisos) a otra empresa, así como su dirección de correo personal, y todo ello sin su consentimiento. La entidad reclamada facilitó no solo las ausencias, sino también las fechas de las bajas y permisos con sus respectivas causas, entre ellas COVID. Ello se constata en la carta remitida por la entidad reclamada a la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, el 18 de noviembre de 2020, obrante en este expediente junto a la documentación aportada por el reclamante en su escrito de reclamación. SEGUNDO: La entidad reclamada fue requerida por la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, para que les facilitase información relativa a las denuncias interpuestas por el reclamante el 14 de julio y 9 de septiembre de 2020 por falta de adscripción de medios humanos y materiales. La entidad reclamada dio respuesta a tal requerimiento aportando información personal (correo electrónico personal del reclamante, así como fechas de bajas médicas, las causas de estas, y permisos) lo cual llegó a conocimiento de este último y causó la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El RGPD en su artículo 5, “Principios relativos al tratamiento” dice que “Los datos personales serán:
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” La infracción de la que se responsabiliza al reclamado está prevista en el artículo 83.5 del RGPD que establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A su vez, la LOPDGDD en su artículo 72.1.
  10. a)califica de infracción muy grave, a efectos de prescripción, “
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” III En el presente caso, se han revelado datos personales del reclamante, como la dirección de correo electrónico personal y datos de salud a la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, sin contar con el consentimiento del reclamante. Aunque a la parte reclamada se le reconoce legitimación para remitir los datos necesarios para defenderse de un procedimiento sancionador o de las penalidades que se le pudieran imponer derivadas del incumplimiento de un contrato administrativo, no debe olvidarse que el RGPD recoge la salud como una categoría de los datos personales especialmente protegidos, de conformidad con el artículo 9.1 del RGPD, donde se indica lo siguiente: “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”. En este sentido, la entidad reclamada presenta escrito de alegaciones a la propuesta de resolución indicando que de conformidad con el artículo 9.2
  12. f)del RGPD los datos personales del reclamante fueron cedidos para su defensa ante una reclamación. Ha de indicarse que el tenor literal de dicho precepto es el siguiente: “El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  13. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;” En este sentido ha de señalarse que aunque ciertamente el considerando 52 del RGPD in fine establece respecto de esa excepción que “debe autorizarse asimismo a título excepcional el tratamiento de dichos datos personales cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones, ya sea por un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 procedimiento judicial o un procedimiento administrativo o extrajudicial”; sin embargo, ha de tenerse en cuenta que el uso de datos de salud, aún cuando se cuente con esta excepción, no queda amparado si violenta el artículo 5.1.
  14. c)del RGPD y los datos cedidos son excesivos en relación con la finalidad, pues no se ha justificado la necesidad de explicitar todas las vacaciones, permisos y, especialmente por ser datos de salud, las bajas con sus causas para procurar su defensa. Por otro lado, la entidad reclamada alega además en su escrito de alegaciones a la propuesta de resolución que se han rechazado pruebas por parte de este Organismo. En este sentido ha de señalarse que esta Agencia no ha rechazado ninguna prueba presentada por la parte reclamada, únicamente se ha considerado que con las pruebas obrantes en este procedimiento, no es necesario requerir al Ayuntamiento de Donostia/San Sebastián la grabación de la sesión incorporada al diario de sesiones de la Comisión de Desarrollo y Planificación del Territorio de fecha 9 de diciembre de 2020. Esto es así porque ha quedado probado que se han cedido por parte de la entidad reclamada, datos de salud del reclamante, en concreto fechas de bajas médicas, motivos de las mismas y permisos, y por lo tanto, la entidad reclamada se ha extralimitando en el tratamiento de los datos personales del reclamado, aunque tenga legitimidad para su uso interno en sus relaciones con el trabajador o reclamante, pero no tiene legitimidad para utilizarlos más allá de su relación laboral con el reclamante, sin su consentimiento expreso. En otro orden de cosas, ha quedado constatado, además, que en respuesta al requerimiento de la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza, como consecuencia de las denuncias interpuestas por el reclamante el 14 de julio y 9 de septiembre de 2020 por falta de adscripción de medios humanos y materiales, la entidad reclamada facilitó el correo electrónico del reclamante sin contar con su consentimiento. En este sentido la entidad reclamada alega conocer el correo electrónico del reclamante, porque era la forma de comunicación empresa-trabajador, por lo que al facilitar el correo electrónico personal del reclamante, a una tercera entidad, ha excedido la finalidad para la cual se facilitó dicho dato personal, vulnerando con ello el principio de limitación de la finalidad, regulado en el artículo 5.1
  15. b)del RGPD, señalado en el fundamento de derecho II. Por lo tanto, al cederse datos de salud del reclamante, (fechas de bajas médicas, motivos de las mismas y permisos con sus respectivas causas, entre ellas COVID) y el correo electrónico personal del reclamante, esta Agencia considera por un lado que se están tratando datos especialmente protegidos, de conformidad con el artículo 9 del RGPD (datos de salud), y por otro que se están tratando datos de carácter personal (correo electrónico personal) para una finalidad distinta a la mera comunicación entre el trabajador y la empresa, de conformidad con el artículo 5.1
  16. b)del RGPD. Todo ello redunda en una utilización excesiva de datos personales por parte de la entidad reclamada, ya que pese a que la normativa de protección de datos exige que el tratamiento de los datos personales sea adecuado, pertinente y limitado a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 estrictamente necesario en relación con los fines para los que son tratados, como consecuencia de la denuncia presentada por el reclamante contra la entidad reclamada ante la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza por falta de adscripción de medios humanos y materiales, la entidad reclamada ha vulnerado el principio de minimización de datos, al facilitar a dicha entidad pública empresarial para su defensa, datos de salud y el correo electrónico personal del reclamante, lo que hace que nos encontremos ante una presunta vulneración del artículo 5.1
  17. c)del RGPD, indicado en el fundamento de derecho II. Por ello, se considera conveniente reiterar que no se considera necesario requerir al Ayuntamiento de Donostia/San Sebastián la aportación de la grabación de la sesión incorporada al diario de sesiones de la Comisión de Desarrollo y Planificación del Territorio de fecha 9 de diciembre de 2020, tal y como sugiere la entidad reclamada, ya que con la documentación obrante en este expediente quedan acreditados los hechos denunciados, que son en definitiva, un exceso de datos personales aportados por parte de la entidad reclamada para justificar su actuación, en perjuicio del reclamante, al tratar datos especialmente sensibles, y por ello especialmente protegidos, como son los datos de salud, de conformidad con lo establecido en el artículo 9 del RGPD. IV El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  18. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  19. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  20. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; V A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción;
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  34. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  41. f)La afectación a los derechos de los menores.
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a IZA OBRAS Y PROMOCIONES, S.A. con NIF A48820229 como responsable de una infracción tipificada en el artículo 83.5.
  44. a)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso, en calidad de agravantes, los siguientes factores: - Se ha producido el tratamiento de una categoría especial de datos personales, como son los datos de salud, de conformidad con el artículo 9 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IZA OBRAS Y PROMOCIONES, S.A., con NIF A48820229, por una infracción del artículo 5.1.
  45. c)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000 € (cincuenta mil euros). SEGUNDO: NOTIFICAR la presente resolución a IZA OBRAS Y PROMOCIONES, S.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  46. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  47. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.