1/10 Procedimiento Nº: PS/00441/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13/05/2019 se recibe escrito de A.A.A., administrador de RENTCLINIC, S.L., que manifiesta: 1-El 6/05/2018 RENTCLINIC (***DIRECCIÓN.1) solicitó a la AEPD información sobre los ficheros inscritos como responsable del doctor B.B.B. (en lo sucesivo el reclamado). Se obtuvo respuesta de la AEPD de 11/05/2018. Adjunta copia de la petición, y un certificado de la AEPD de 10/05/2018 en el que consta el reclamado como “responsable del fichero” denominado HISTORIAL CLINICO, descrito con la finalidad “Gestión de los datos de los pacientes y de su historia clínica y de las tareas administrativas derivadas de la prestación asistencial”, sede ***DIRECCIÓN.1. 2-El reclamado, “anterior inquilino del local que ocupa actualmente RENTCLINIC dejó sin ningún tipo de protección de seguridad, una serie de documentos que conformaron en su día un archivo registrado en la AEPD con el nombre de fichero HISTORIAL CLÍNICO”. 3. Manifiesta que: “No ha sido posible contactar con dicho profesional.” 4- Manifiesta que el reclamado “no ha suscrito ningún contrato de encargo de tratamiento con RENTCLINIC para tratar, custodiar los citados datos”, “por lo que RENTCLINIC no se va a hacer cargo de dichos datos personales”. 5- RENTCLINIC “está recibiendo peticiones de pacientes de historias clínicas y datos de salud” del reclamado, para lo que “RENTCLINIC no está autorizado ni va a asumir ningún tipo de responsabilidad relacionada con la gestión y seguridad de los datos personales” y además india que sirva para que “RENTCLINIC quede exento ante las posibles reclamaciones de pacientes del citado profesional que pudieran presentarse en la AEPD”. SEGUNDO: Con fecha 10/6/2019, la Subdirección General de Inspección de Datos (SGID) envió al reclamado a través del sistema electrónico “notifica”, una copia de la reclamación, y se le pedía que informara respecto de: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. El envío dio como resultado: expirado el 21/06/2019, al no verificarse el acceso al mismo en el plazo de diez días naturales, según figura en el certificado que consta en el proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 cedimiento. El sistema de notificación electrónica acredita la fecha y hora en que se produce la puesta a disposición del interesado del acto objeto de notificación. Igualmente, el sistema acredita la fecha del acceso del destinatario al contenido del documento notificado o en que la notificación se consideró rechazada por haber transcurrido el plazo legalmente establecido. La Subdirección General de Inspección de Datos accedió a GOOGLE, insertando los datos del reclamado, y dando como resultado entre otros, una dirección en Lisboa, a la que se dirige el 21/06/2019 nuevamente la copia de la reclamación y petición de información. Figura en el procedimiento copia del documento de aviso de recibo firmado por una persona el 24/07/2019, sin embargo, no se recibió respuesta alguna a la información. TERCERO: Con fecha 25/11/2019, se acuerda por la directora de la AEPD la admisión a trámite de la reclamación, enviando escrito a RENTCLINIC. CUARTO: Efectuada la consulta a la base de datos que gestiona los antecedentes de procedimientos previos, al reclamado no le figuran. QUINTO: Con fecha 13/02/2020, la Directora de la Agencia Española de Protección de Datos acordó “iniciar, procedimiento sancionador a B.B.B., por presunta infracción del artículo 9.1 de la LOPD, en relación con el RLOPD: artículos 92,108, 113, y 114, tipificada como grave en el artículo 44.3.
- h)de la LOPD, con aplicación de una sanción de 15.000 euros, de acuerdo con el artículo 45.5.
- a)por concurrir las circunstancias del 45.4.
- c)y 45.4.
- j)de la LOPD, y del artículo 45.1) de la citada LOPD.” Sin perjuicio de la instrucción del expediente, sobre la sanción inicial, se indicaba: “Dentro del abandono de documentación, la entidad que ocupó el espacio de la reclamada la encontró y se hizo cargo de ella intentando hallar al responsable, no produciéndose un resultado demasiado lesivo en cuanto al acceso a dichos documentos, que los conserva otro profesional de la salud (45.4.j de la LOPD). En este sentido, parece que la documentación dejada no es muy numerosa y considerando que es el propio reclamado como persona física el responsable, cuya función principal es la prestación de servicios médicos para lo que eventualmente ha de tratar datos (45.4. c de la LOPD), procedería, por concurrir elementos del artículo 45.5.
- a)de la LOPD la aplicación de la escala correspondiente a las leves. En la horquilla de las leves, de 900 a 40.000 euros, dado que los documentos afectarían a datos de salud, y en función de lo que se averigüe sobre las circunstancias acaecidas, acordar una sanción inicial de 15.000 euros, sin perjuicio de lo que resulte de la instrucción de este procedimiento.2 SEXTO: Notificado el acuerdo de inicio, no se efectuaron alegaciones. SÈPTIMO: Con fecha 1/06/2020 se inició el período de práctica de pruebas, acordándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 las siguientes: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, y los documentos obtenidos y generados por los Servicios de Inspección derivados del traslado de la reclamación. 2. Además, se solicita a RENTCLINIC, que en el plazo de diez días informe o aporte: 2.1 Cuál es su objeto social y especialidad. A pesar de recibir el envío el 2/06/2020, no respondió, emitiéndose nuevo requerimiento el 29/07/2020 y respondiendo el 10/08/2020. Aporta copia de hoja de registro mercantil, en la que figura como objeto social la prestación de servicios médicos y de laboratorio, y además, actividades inmobiliarias entre otras. 2.2 Si guardaba o ha guardado algún tipo de relación con el reclamado. Indica que era su arrendador. 2.3. En su reclamación indicaba: -El reclamado, “anterior inquilino del local que ocupa actualmente RENTCLINIC dejó sin ningún tipo de protección de seguridad, una serie de documentos que conformaron en su día un archivo registrado en la AEPD con el nombre de fichero HISTORIAL CLÍNICO”. Sobre ello, se le cuestiona: 2.3.1- Describa como se dejaron o encontraron los documentos, el formato en el que se encontraron, cuántos documentos son o a cuántas personas se refieren. Manifiesta que “se dejaron aabandonados el día que dejó el local donde pasaba consulta”. Manifiesta que “se adjuntan fotos” y que se hallaban sin protección y que se “le envió un email para su correcta legalización” adjunta copia del mismo, diciendo que “negándose el reclamado a ocuparse de sus historias clínicas, que nunca fueron aceptadas por RENTClinic como responsable de las mismas y no han querido tocarlas”. La foto que aporta muestra una puerta, en este caso abierta, que tiene cerradura. En el interior del cuarto, un armario archivador con distintos cajones. Cada cajón aparece etiquetado con letras. En el interior aparecen posiblemente documentos clasificados pues se ven papeles. En el suelo también se ven carpetas. No aporta ningún documento abierto o que se refiera a la eventual recogida de datos por el reclamado, o imágenes de las que se desprenda que se trata de datos médicos de pacientes a cargo del reclamado o que le relacionen con él. Sobre un e mail concreto que se dirija al reclamado pidiendo expresamente que se haga cargo de las historias clínicas, no aporta nada. 2.3.2.- Si han efectuado alguna denuncia ante algún organismo (médico, policial etc.) y situación si les consta en que se halla. Manifiesta que “no”, se espero que retirase y se hiciera cargo de los documentos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 algo que no hizo y al “abandonar RENTCLINIC, el local, se puso en conocimiento de la Agencia”. 2.3.3-- Espacio físico en el que se hallan actualmente los documentos hallados, si efectuaron listado o relación de ellos y fechas en que se hallaron. Manifiesta que “desconocemos donde se hallan actualmente”. 2.3.4. - Aporte copia de muestra de algunos documentos hallados que sean representativos del total. Indica que en “este momento no es posible aportar dichos documentos, por desconocer donde se hallan y no tener accesos a los mismos”. 2.3.5 -Copia de algún escrito de usuario en el que les solicitan acceso a datos de historias clínicas, que indican en la reclamación y motivos por los que creen que reciben esas peticiones. Indica que “el Dr. B.B.B. nos insta a dar una historia clínica a un determinado paciente. Nunca respondimos a ese e mail pues nunca se dio o hizo responsable a RENTCLINIC de esos documentos pertenecientes al doctor reclamado, no aceptamos esa responsabilidad por no tener nada que ver con esos pacientes”. Aporta copia de un e mail de 1/05/2018 del reclamado “B.B.B.” a dominio “XXXXXX” titulado: “derechos arco”, que indica “En la situación que estoy ahora no voy a meter ni un euro en ninguna historia de Protección de Datos. Gracias” Le antecede un correo del 30/04/2018 firmado por el administrador de RENTCLINIC de acuerdo con la hoja del Registro Mercantil, le dice: “buenas tardes al objeto de darnos de alta en la Agencia Española de Protección de Datos, siendo RENTClinic custodio de tus historiales médicos, el consultor al que hemos contratado para que nos haga la inscripción de nuestros datos nos advierte de que, si mantenemos tus historias depositadas en la clínica, debemos poner al día tus datos en la agencia. Como ya te comentó A.A.A. nuestro objetivo respecto a los historiales médicos propios es de papeles cero, trabajando con un programa que te los almacena en la nube y al que te mandaremos el acceso durante esta semana. El consultor nos ha pasado un presupuesto en el que incluye un coste de 550 más IVA para gestionar tus ficheros. Quedo pendiente de si autorizas tal gasto, que descontaríamos si te parece del alquiler mensual.” También se ve el correo previo de 27/04/2018 dirigido al administrador de RENTCLINIC señalando “Aquí te pasó el presupuesto. Incorporó las gestiones del fichero del Dr. B.B.B. para normalizar sus historias médicas y que vosotros podáis gestionar legalmente la custodia de dichos documentos. Nos pondríamos con ello una vez aceptado.” Aporta asimismo, otra copia de un correo distinto, que contiene el reenvío de un correo de B.B.B. que envió este el 10/04/2019, a diferentes direcciones, entre otras, con dominio RENTCLINIC y ADCURE y al administrador de RENTCLINIC, asunto: historias clínicas con el literal: “confirmen por favor a los pacientes que están en copia que puede pasar mañana a las 16:00 el señor C.C.C. a recoger las historias clínicas suya y de su mujer “. En el pie de firma figura la dirección de Portugal del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 OCTAVO: Como pruebas adicionales: -1) Se accede el 26/08/2020 en la web a ADCURE, figurando: ***URL.1, en la sección ¿QUIENES SOMOS? Figura: “ADCURE no es una clínica más; sino un lugar donde cada paciente recibe atención especial de nuestro dedicado equipo de médicos. Promovemos su bienestar y corregimos las imperfecciones, estableciendo un equilibrio entre su salud y su apariencia. “Nuestro objetivo se basa en una total dedicación a nuestros pacientes y en el deseo constante de innovar y mejorar nuestros servicios”. Figura como sede una de ellas ***DIRECCIÓN.1. En el apartado de política de privacidad se contiene que se recogen datos personales que RENTClinic es el responsable del fichero. Se ofrecen servicios de cirugía estética facial y corporal, así como nutrición y obesidad entre otros. -2) Se decide ampliar petición de pruebas, solicitando a reclamante el 26/08/2020: 2.1 Relación de los datos que se recogen en su web ***URL.1, y de los datos los clientes de los profesionales médicos que prestan servicios en RENTCLINIC. ¿Cuántos profesionales forman parte de la clínica?. 2.2 Informen del régimen de gestión de los datos que recogen de clientes y de pacientes de los médicos y relación en que se sustenta esta (aporten copia de documento que lo pueda acreditar) qué tipo de gestiones realiza la reclamada sobre los datos que los profesionales tienen de los pacientes (historias clínicas) y rol que juega en la custodia de dichas historias clínicas. 2.3 Cómo es el régimen de prestación de servicios que mantiene con los profesionales a nivel de asistencia sanitaria en cuanto a ficheros y bases de datos de cada uno de ellos, en cuanto a si se tratan automatizadamente, o en papel, o el modo en que RENTCLINIC accede a los datos de los pacientes de los profesionales que prestan los servicios médicos que RENTCLINIC gestiona. Si eran o son los mismos cuando mantenía la relación con el reclamado. 2.4 Copia del documento contractual o cualquier otro, sea de arrendamiento de local, o que implique gestión de servicios, incluidos datos entre RENTCLINIC y el reclamado. 2.5 En las fotos aportadas, se ven unos documentos, tras una puerta con cierre de llave. Sobre ello, se le cuestiona que medidas de seguridad existían para entrar en ese cuarto, custodia de llaves, la fecha en que se obtuvo la foto y ¿cómo saber que son los de la foto que son los documentos que ustedes atribuyen al reclamante, cuando no hay ninguno abierto que revele que son historiales clínicos de pacientes del reclamado.? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 2.6 Sobre su afirmación de que no tienen ahora los documentos, se les pregunta que siendo el titular físico del espacio y los que promueven esta denuncia, ¿qué han hecho con dichos documentos que se hallaban en su sede física? Y ¿porque desconocen donde se hallan? si en su denuncia indican que estaban en el espacio alquilado por el reclamado a esa entidad, y aportaron una foto con los supuestos datos. 2.7 Sobre el correo electrónico que enviaron en pruebas, de 30/04/2018 firmado por el administrador de RENTCLINIC le dice al reclamado: “buenas tardes al objeto de darnos de alta en la Agencia Española de Protección de Datos, siendo RENTCLINIC custodio de tus historiales médicos, el consultor al que hemos contratado para que nos haga la inscripción de nuestros datos nos advierte de que si mantenemos tus historias depositadas en la clínica, debemos poner al día tus datos en la agencia. Como ya te comentó A.A.A. nuestro objetivo respecto a los historiales médicos propios es de papeles cero, o trabajando con un programa que te los almacena en la nube y al que te mandaremos el acceso durante esta semana. El consultor nos ha pasado un presupuesto en el que incluye un coste de 550 más IVA para gestionar tus ficheros. Quedo pendiente de si autorizas tal gasto, que descontaríamos si te parece del alquiler mensual.” Se le solicita que conforme con dicho correo, se deduce que RENTCLINIC accedía a dichos datos, aunque fuera en forma de custodia de los mismos. También se le pregunta que tipos de accesos a los datos tenia, a través de que aplicaciones o bases de datos, que finalidades, y copia del contrato que regulara estos accesos y a que se refería con la inscripción de los datos, pues el nuevo RGPD no establece inscripción de fichero, y cuál era la situación de los datos del reclamado. (automatizados o en papel) en cuanto a la custodia. 2.8 Conteste, sí en el periodo en que mantuvieron la relación con el reclamado, se encargaban en algunas ocasiones o siempre, de entregar copias de historias clínicas, como se realizaba el acceso a los datos y su entrega, aporten copia de alguna entrega. Figura la recepción del envío el 27/08/2020, y transcurrido el periodo otorgado no se recibe respuesta. NOVENO: En virtud del artículo 89,1 de la ley 39 Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), no se tramitó propuesta de resolución al no considerar que existan hechos que puedan constituir infracción y así se pone de manifiesto en los hechos probados. HECHOS PROBADOS 1) La reclamante, RENTCLINIC SL, ***DIRECCIÓN.1, según el registro mercantil tiene como objeto social la prestación de servicios médicos y de laboratorio, y, además, actividades inmobiliarias entre otras. Figura como responsable de los ficheros de la clínica ADCURE que se publicita en su web como “una clínica multidisciplinaria de medicina C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 regenerativa que ofrece tratamientos individuales y personalizados para cada paciente. En concreto, en la web a ADCURE, figura: ***URL.1. “ADCURE no es una clínica más; sino un lugar donde cada paciente recibe atención especial de nuestro dedicado equipo de médicos. Promovemos su bienestar y corregimos las imperfecciones, estableciendo un equilibrio entre su salud y su apariencia. “Nuestro objetivo se basa en una total dedicación a nuestros pacientes y en el deseo constante de innovar y mejorar nuestros servicios”. Figura como sede una de ellas ***DIRECCIÓN.1. En el apartado de política de privacidad se contiene que se recogen datos personales que RENTClinic es el responsable del fichero. Se ofrecen servicios de cirugía estética facial y corporal, así como nutrición y obesidad entre otros. 2- La reclamante manifestó en su denuncia de 13/05/2019, que, tenía arrendado un espacio en el que el reclamado prestaba sus servicios médicos. No indica las fechas. Denunció que el reclamado se fue de ese local (sin concretar la fecha) y que “el reclamado, dejó sin ningún tipo de protección de seguridad, una serie de documentos que conformaron en su día un archivo registrado en la AEPD con el nombre de fichero HISTORIAL CLÍNICO”. En la denuncia el reclamante no aportó prueba alguna de este supuesto abandono, ni que entiende por dicho termino. 3- En los correos electrónicos que aporta el reclamante en pruebas, se acredita que el reclamado, el 10/04/2019, envió un correo electrónico a RENTCLINIC, con copia a varias direcciones de ADCURE para si podía entregar copia de la historia clínica a dos pacientes. Se ignora si antes de esa fecha, otras peticiones y entregas de la historia se efectuaban por dicho medio. 4-Sobre lo expresado por RENTCLINIC: “está recibiendo peticiones de pacientes de historias clínicas” ”y “datos de salud” del reclamado, , se significa que en pruebas se solicita a la reclamante que aportara todas esas peticiones de usuarios, aportando solo un correo electrónico que no es de ningún usuario, sino del reclamado de 10/04/2019 en el que ffiguran como destinatarios varias direcciones RENTCLINIC, y copia a varias direcciones de ADCURE, asunto: historias clínicas, figurando en la parte de abajo la dirección del reclamado en ***PAÍS.1, y, les solicita:“Confirme a los dos pacientes que están en copia (se refiere a la copia del correo electrónico sus direcciones) qué pueden pasar mañana a las 16:00 del señor C.C.C. a recoger las historias clínicas suya y de su mujer “ 5-A raíz de la primera respuesta dada a las pruebas pedidas al reclamante (la segunda petición de pruebas de 26/08/2020, no fue contestada), se deduce: a)-No aporta ni en fotos ni documento alguno sobre historia clínica que revele o presuponga que el reclamado hubiera abandonado, perdido o puesto en riesgo esos documentos. b)- la reclamante desconoce actualmente donde se hallan esos documentos, y además ahora “no tiene acceso a los mismos. c)-Los hechos no se han puesto en conocimiento de la Inspección médica o alguC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 na otra. 6-No consta que el reclamante se dirigiera al reclamado instándole a recuperar los supuestos documentos de historias clínicas presuntamente dejados en el local que tenía arrendado, ya que el reclamante aporta para ello un correo electrónico que le envía al reclamado (30-04-2018) instándole a actualizar y poner al día sus datos e historias clínicas, proporcionándole un presupuesto que la reclamante le ofrece de una tercera entidad al que contesta el reclamado rechazando la oferta (1-05-2018) En concreto el contenido de los correos era: - de 27/04/2018 dirigido al administrador de RENTCLINIC por un ofertante del servicio, señalando “Aquí te pasó el presupuesto. Incorporó las gestiones del fichero del Dr. B.B.B. para normalizar sus historias médicas y que vosotros podáis gestionar legalmente la custodia de dichos documentos. Nos pondríamos con ello una vez aceptado.” - del 30/04/2018, firmado por el administrador de, le dice a l reclamante y en su dirección de e mail: “buenas tardes al objeto de darnos de alta en la Agencia Española de Protección de Datos, siendo RENTClinic custodio de tus historiales médicos, el consultor al que hemos contratado para que nos haga la inscripción de nuestros datos nos advierte de que si mantenemos tus historias depositadas en la clínica, debemos poner al día tus datos en la agencia. Como ya te comentó A.A.A. nuestro objetivo respecto a los historiales médicos propios es de papeles cero, trabajando con un programa que te los almacena en la nube y al que te mandaremos el acceso durante esta semana. El consultor nos ha pasado un presupuesto en el que incluye un coste de 550 más IVA para gestionar tus ficheros. Quedo pendiente de si autorizas tal gasto, que descontaríamos si te parece del alquiler mensual.” - de 1/05/2018 del reclamado “B.B.B.” a dominio “XXXXXX” titulado: “derechos arco”, que indica “En la situación que estoy ahora no voy a meter ni un euro en ninguna historia de Protección de Datos. Gracias” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La infracción de las medidas de seguridad en los tratamientos de datos, en este caso no automatizados, en papel, de acuerdo con la jurisprudencia de la Audiencia nacional, es una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos de modo efectivo y constatado se pierdan, extravíen o acaben en conocimiento de terceros, también es un mecanismo de garantía la seguridad. Como muestra, la SAN 6-05-2009 Rec. 469/2008) entre otras, sobre supuestos similares ha establecido: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados del banco la observancia de aquellas instrucciones. En el caso que nos ocupa ha quedado acreditado que la entidad ahora demandante no prestó la diligencia necesaria en orden a la efectiva observancia de aquellas medidas de seguridad, pues de otro modo no se explica que los documentos en los que figuran datos de carácter personal apareciesen publicados en una revista de amplia difusión en la que se afirmaba que habían sido encontrados en la basura.” Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, la responsable del fichero es, por disposición legal, una deudora de seguridad en materia de datos, por lo que debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios, laborales o cualesquiera otros datos de carácter personal, puedan llegar a manos de terceras personas.” Si bien se inició el procedimiento considerando exclusivamente las manifestaciones del reclamante de que se habían abandonado documentos con historias clínicas considerándose inicialmente una eventual falta en la custodia de los datos que se contienen en los mismos, ha resultado no acreditada la prueba de la comisión de la infracción. Por otro lado, sobre la manifestación de que “RENTCLINIC quede exento ante las posibles reclamaciones de pacientes del citado profesional que pudieran presentarse en la AEPD” no cabe pronunciarse ni presumir resultado alguno al no contar con elementos para ello ni obedecer este procedimiento a tales hechos Por lo tanto, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento por infracción imputada a B.B.B. del artículo 9.1 de la LOPD, en relación con el RLOPD: artículos 92,108, 113, y 114, tipificada como grave en el artículo 44.3.
- h)de la LOPD, SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso adminisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 trativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es