1/10 Expediente N.º: EXP202307120 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL con NIF Q2827002C. Los motivos en que basa la reclamación son los siguientes: El Instituto Nacional de la Seguridad Social remitió a la parte reclamante la documentación de su expediente de jubilación. Entre dicha documentación obra un oficio en el que constan los datos de otra ciudadana. Según afirma, se ha producido un trasvase de datos personales entre los expedientes, desconociendo el alcance del mismo. Junto a la reclamación aporta la copia del expediente de la reclamante y el oficio que se encuentra dirigido a otra persona. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Instituto Nacional de la Seguridad Social, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 02/06/2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 10 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito el día 30/11/2023 en el que, en síntesis, manifestaba las siguientes alegaciones: - En el Acuerdo de Inicio de Procedimiento Sancionador se afirma que la AEPD no recibió respuesta al escrito de traslado de la reclamación interpuesta ante dicha agencia por la parte reclamante y afirma que no es cierto, puesto que el INSS realizó la declaración inicial de la brecha de seguridad ante la AEPD, envió oficios informativos sobre la situación acaecida tanto a la reclamante que recibió la documentación de otra ciudadana por error, como a la afectada, titular de los datos objeto de la brecha de seguridad. - El INSS recibió notificación de la AEPD en el que se comunicaba lo siguiente: “Tras el análisis de la información adicional aportada, la brecha ha sido actualizada en el registro de notificaciones de brechas de datos personales y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de notificación de brecha de datos personales”. El Instituto entendió que no era necesario realizar ninguna actuación adicional. - El INSS ha seguido adoptando diversas medidas en materia de Protección de Datos como acciones de concienciación, publicaciones, instrucciones, acciones formativas, elaboración de material de consulta, así como informar y sensibilizar sobre el concepto de brecha de seguridad y la necesidad de comunicarlo a la Subdelegada de Protección de Datos del INSS a todo su personal. - La Entidad ha elaborado y dado difusión a una píldora informativa que actualmente se encuentra publicada en su intranet corporativa. - Ha procedido a la automatización de la mayoría de las comunicaciones emitidas por el Instituto y está realizando de forma centralizada, a través de los aplicativos informáticos de gestión utilizados en la tramitación de sus prestaciones, sin intervención directa de personal adscrito a esta entidad (tren de impresión de SARTIDO-gestor documental del INSS), con la consiguiente disminución de la probabilidad de que se produzcan errores humanos. - Se ha tratado de un error humano puntual sobre los que esta Entidad ya adopta multitud de medidas, tanto preventivas como reparadoras. SEXTO: Con fecha 25 de abril de 2024 se formuló propuesta de resolución en la que se dio respuesta a todas las alegaciones planteadas y se propuso la declaración de infracción por incumplimiento de los artículos 5.1.
- f)y 32 del RGPD. La propuesta fue debidamente notificada en fecha 25/04/2024, como consta en el acuse de recibo que obra en el expediente. Con respecto a la contestación a las alegaciones presentadas al acuerdo de inicio, la Agencia expuso en la propuesta de resolución: Frente a la afirmación de que no es cierto el hecho de que no ha dado respuesta al escrito de traslado de la reclamación cabe explicar que lo que ha hecho el INSS es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 realizar una comunicación inicial de brecha de seguridad, pero no dar contestación al escrito de traslado de reclamación y solicitud de información de fecha 30/05/2023 y en el que se le daba el plazo de un mes para enviar toda la documentación e información que se le solicitaba. En cuanto a que el INSS recibió notificación de la AEPD en el que se comunicaba lo siguiente: “Tras el análisis de la información adicional aportada, la brecha ha sido actualizada en el registro de notificaciones de brechas de datos personales y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de notificación de brecha de datos personales” y entendió que no era necesario realizar ninguna actuación adicional, procede señalar que no puede aceptarse esa interpretación ya que dicho escrito está firmado de forma genérica por la AEPD, proviene de la División de Innovación Tecnológica, la cual se encarga de recibir las brechas de seguridad y registrarlas en el registro al efecto. No aparece firmado por la Directora de la Agencia, no tiene parte dispositiva en la que se acuerde o resuelva algo, ni tiene indicación de recurso alguno contra la misma. Por tanto, el escrito no tiene carácter decisorio tratándose más bien de un “acuse de recibo” de la brecha notificada y que en modo alguno puede entenderse que supone que esta AEPD ha valorado y decidido que no concurría responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos. Tampoco refleja formalmente una decisión ni una resolución de archivo de actuación alguna, pues para que ello sea así, el único órgano competente para ello es la actual Directora de la AEPD. En cuanto al resto de alegaciones en las que expone que se están llevando a cabo diversas medidas en materia de protección de datos y que se ha tratado de un error humano puntual sobre los que el INSS ya adopta multitud de medidas, tanto preventivas como reparadoras cabe decir que, aunque esta Agencia valora positivamente la adopción de nuevas medidas que redunden en una mayor seguridad en lo que al tratamiento de datos personales se refiere y que puedan prevenir, en un futuro, incidentes como el que se sustancia en el presente procedimiento, las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. SÉPTIMO: No se ha recibido en esta Agencia escrito de alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante recibió documentación de la entidad reclamada relacionada con su expediente de jubilación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 SEGUNDO: Entre dicha documentación obra un oficio relativo al expediente de otra ciudadana en el que consta nombre y apellidos, dirección postal y el asunto de dicho expediente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Consideraciones previas En el presente caso, consta la realización de un tratamiento de datos personales por parte de INSS en su actividad, según lo establecido en el artículo 4.2 del RGPD: «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción El INSS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 Obligación incumplida Los hechos conocidos son constitutivos de una infracción, imputable al INSS, regulada en el artículo 5.1.
- f)del RGPD y otra infracción del artículo 32 del RGPD. IV Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Este principio atribuye al responsable de cualquier tratamiento de datos personales la obligación, la garantía, de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Dicho de otro modo, un responsable del tratamiento no debe tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. En este caso, la parte reclamante recibe entre la documentación de su expediente un oficio que va dirigido a otra ciudadana, es decir, se ha realizado un trasvase de documentación entre distintos administrados y sin conocer el alcance del mismo. De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador se considera que el Instituto Nacional de la Seguridad Social ha vulnerado el principio de confidencialidad al no adoptar las medidas técnicas y organizativas, de todo tipo, exigidas por la normativa en materia de protección de datos de carácter personal que garantizasen que terceros no autorizados no tengan acceso a datos personales y por tanto este hecho a se considera constitutivo de una infracción por vulneración del artículo 5.1.
- f)del RGPD. VI Tipificación de la infracción del artículo 5.1.
- f)del RGPD El artículo 83.5.
- a)del RGPD tipifica como infracción administrativa cualquier vulneración de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencias permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Este artículo del RGPD obliga al responsable a aplicar las medidas técnicas y organizativas de seguridad que resulten apropiadas para garantizar un nivel de seguridad ajustado al riesgo que conlleva el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Esto implica, necesariamente, un examen de cada uno de los tratamientos por parte del responsable y la obligación de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. En el presente caso el Instituto Nacional de la Seguridad Social envió documentación en la que figuraba datos personales de otra ciudadana a la parte reclamante con lo cual se considera que no dispuso de medidas técnicas y organizativas de seguridad apropiadas en relación con el uso de datos personales en función de los posibles riesgos estimados. De conformidad con las evidencias de las que se dispone en esta resolución del procedimiento sancionador, se considera que los hechos son constitutivos de una infracción, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD El artículo 83.4.
- a)del RGPD tipifica como infracción administrativa cualquier vulneración de “las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 IX Sanción por las infracciones de los artículos 5.1.
- f)y 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. Este precepto excluye la imposición de multas administrativas cuando las infracciones a las que se refieren los artículos 72 a 74 de la LOPDGDD se cometan por las categorías de responsables o encargados del tratamiento enumerados en el apartado 1 del citado artículo 77, estableciéndose que los procedimientos que tengan causa en vulneraciones de la normativa de protección de datos personales cometidas por aquellas entidades se resuelvan declarando las infracciones. X Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. La parte reclamada en su respuesta de fecha 30/11/2023 ha señalado que ha adoptado medidas concretas para intentar evitar sucesos como los que han originado este expediente a través de publicaciones, instrucciones, acciones formativas, elaboración de material de consulta y concienciación a sus tramitadores sobre la importancia de revisar los destinatarios de las comunicaciones, así como su correspondencia con la documentación o información que contiene datos personales y que es enviada al exterior. Por otra parte, ha procedido a la automatización de la mayoría de las comunicaciones emitidas a través de los aplicativos informáticos de gestión utilizados en la tramitación de sus prestaciones sin intervención directa de personal adscrito a la entidad con la consiguiente disminución de la probabilidad de que se produzcan errores humanos. Por todo ello, esta Agencia considera adecuadas las medidas adoptadas por la entidad en cuanto al análisis de los procesos en los que sea posible la evitar la intervención del factor humano para que sean desarrollados de forma automatizada y reducir, en la medida de lo posible, las probabilidades de estos fallos humanos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, con NIF Q2827002C, ha infringido lo dispuesto en los artículos 5.1.
- f)y 32 del RGPD tipificadas en el artículo 83.5 y 83.4, respectivamente. SEGUNDO: NOTIFICAR la presente resolución a INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es