PS-00503-2024

1/19  Expediente N.º: EXP202308937 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de junio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CIBERSEO JAÉN, S.L. con NIF B67795872 (en adelante, CIBERSEO JAÉN). Los motivos en que se basó la reclamación eran los siguientes: La reclamante indica que se ha publicado en un portal web de internet de búsqueda de empleo una fotografía suya y de otra compañera, sin su consentimiento, en una oferta de trabajo (…). Afirman que ellas no son trabajadoras de ***EMPRESA.1, sino (…). Junto a la reclamación aportó la siguiente documentación: - Capturas de pantalla de las ofertas de empleo de ***EMPRESA.1 publicadas en el portal de internet “***PLATAFORMA.1”. Según constan en las capturas, realizadas en fecha 14 de junio de 2023, se publicaron varias ofertas de empleo con imágenes de distintos trabajadores, entre ellos, de la reclamante. SEGUNDO: En fecha 27 de junio de 2023, esta Agencia comprobó que la imagen objeto de reclamación continuaba publicada en el portal de internet “***PLATAFORMA.1”, bajo el título “(…)”. Sobre la imagen aparece el texto “por ***PLATAFORMA.1 el ***FECHA.1”. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CIBERSEO JAÉN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Se procedió a la práctica de la notificación del traslado de la reclamación a través de medios electrónicos el 28 de junio de 2023, sin que conste que CIBERSEO JAÉN, accediera al contenido de la notificación en el plazo establecido al efecto. En consecuencia, transcurridos diez días naturales desde su puesta a disposición, de acuerdo con lo establecido en el artículo 43.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se consideró rechazada el 9 de julio de 2023. Practicada la notificación, y teniendo en cuenta que CIBERSEO JAÉN no dio respuesta a la actuación de traslado y solicitud de información, se realizó un intento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/19 adicional de solicitud de información vía postal, conforme a lo dispuesto en los artículos 41 y 42 de la LPACAP, que resultó entregada el 24 de julio de 2023, según prueba de entrega que consta en el expediente. En fecha 6 de septiembre de 2023 se reiteró el traslado de la reclamación a CIBERSEO JAÉN a través de medios electrónicos, resultando entregado ese mismo día, como consta en el acuse obrante en el expediente. No consta en esta Agencia que CIBERSEO JAÉN diera respuesta a los traslados efectuados. CUARTO: Con fecha 14 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1) En fecha 16 de octubre de 2023 se descargaron varias imágenes de la página web de ***PLATAFORMA.1 relativas a los apartados “Aviso Legal”, “Buenas Prácticas”, “Políticas de Privacidad”, “Contacto”. En la “Política de Privacidad” se identifica como responsable del tratamiento a CIBERSEO JAÉN, S.L. y, en el apartado “Aviso Legal” y “Buenas prácticas”, se destaca: “(…) […]”. “(…) […]” 2) En fecha 29 de diciembre de 2023, se recibió en esta Agencia escrito de respuesta de CIBERSEO JAÉN a los requerimientos de información de 19 de octubre, 14 de noviembre y 14 de diciembre de 2023. En dicho escrito señalaba, en síntesis: - En relación con la procedencia de la imagen, CIBERSEO JAÉN manifestó que obtuvo la imagen objeto de reclamación de “fuentes oficiales y autorizadas, como eventos públicos o sesiones fotográficas institucionales”. Aportó 3 enlaces a páginas webs (Facebook, (…) y (…)). - En relación con la supresión de la imagen, CIBERSEO JAÉN manifestó que retiró inmediatamente la fotografía tras recibir la primera notificación de esta Agencia en junio de 2023 y la sustituyó por otra, y que es el procedimiento que siguen cuando “alguna persona nos expresa de manera fehaciente que no desea que esté una fotografía en la que pueda salir dentro de nuestro website. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 Siempre que cumpla los requisitos necesarios que otorguen la identidad del usuario que reclama la modificación.” Aportó un enlace a la página web “***PLATAFORMA.1” (…) y un recorte de la oferta de empleo en cuestión, junto con la nueva imagen. - En relación con la base jurídica legitimadora y documento justificativo del consentimiento de la persona afectada, CIBERSEO JAÉN manifestó que “según el artículo 3 de la Ley orgánica de protección de datos 15-1999, tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” También, señaló que obtuvo la imagen en cuestión de “un medio de comunicación público y notorio como es la web de (…)”. - En relación con el procedimiento habilitado para que los afectados se opongan o soliciten la supresión de sus datos personales, CIBERSEO JAÉN manifestó que “en el caso concreto, el procedimiento para oponerse a la publicación de datos personales o para solicitar la supresión de datos personales sería el siguiente: 1. El afectado debe identificarse y especificar el derecho que desea ejercer, así como los motivos en los que basa su solicitud. 2. El afectado debe enviar la solicitud por escrito al periódico digital, a través de un correo electrónico o de una carta certificada. 3. El periódico digital debe responder a la solicitud del afectado en el plazo de un mes desde su recepción. Si desestimamos la solicitud, el afectado puede recurrir la decisión ante la Agencia Española de Protección de Datos (AEPD).” - En relación con la Política de Privacidad de su página web, CIBERSEO JAÉN aportó una versión de la política de privacidad de su página web (***URL.1)) que, según indicó, estaba actualizada a fecha 16 de diciembre de 2021. Junto al escrito, aportó la siguiente documentación: - Copia del “Manual de gestión del compliance. Sistema de gestión del compliance”, de fecha ***FECHA.2. - Copia del documento denominado “Seguridad en la relación con terceros”, de fecha ***FECHA.2. 3) En fecha 3 de enero de 2024 se descargaron varias imágenes de páginas web en las que aparece la imagen de la reclamante y que evidencia su publicación previa, en abril de 2019, en los enlaces de las páginas que se indican:  Página de Facebook del (…), incluida en la diligencia como “Imagen 1”.  Enlace a la página web del (…), del mismo día, incluida como “Imagen 2”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19  Página de (…), incluida como “Imagen 3”.  Página de (…), incluida como “Imagen 4”. 4) En fecha 19 de enero de 2024 se descargaron varias imágenes de la página web.archive.org, en las que aparecen registros de la página web de CIBERSEO JAÉN de fechas ***FECHA.1 que incluye la imagen objeto de reclamación, y 29 de septiembre de 2023 en que dicha imagen ha sido reemplazada. 5) En fecha 24 de enero de 2024, esta Agencia envió requerimiento de información a la reclamante, por vía postal, que fue notificado en fecha 9 de febrero de 2024. No consta en esta Agencia respuesta alguna. 6) En fecha 7 de febrero de 2024, se recibió en esta Agencia escrito de respuesta de CIBERSEO JAÉN al requerimiento de información. En dicho escrito, manifestaba: - En relación con la publicación y supresión de la imagen de la persona afectada, CIBERSEO JAÉN indicó que “el día 11/06/2023 se publicó la noticia con la referida fotografía (…) La imagen se modificó el pasado 21/07/2023”. Aportó recorte con la siguiente información: “DETALLES DEL ADJUNTO (…). Editar la imagen. Borrar permanentemente” - En relación con la base jurídica legitimadora y documento justificativo del consentimiento de la persona afectada, CIBERSEO JAÉN manifestó que “(…) instamos a nuestro departamento jurídico acerca de la posible idoneidad de la actuación de la publicación (…), y se nos indicó que en principio no había indicio alguno de intromisión en la intimidad de la persona en cuestión, y que en cualquier caso sería la misma la que exigiría de existir base legal indemnización o derecho a la retirada de la imagen publicada, exigiendo su derecho ante la autoridad judicial”. - En relación con una posible solicitud de limitación o supresión de la publicación objeto de reclamación y acreditación documental, CIBERSEO JAÉN manifestó que “debido a una migración del servidor de la web, los correos electrónicos han quedado deshabilitados, razón por la que en este momento no podemos proporcionar dichos correos, estamos trabajando en su recuperación. En caso de poder recuperarlos se aportarán de manera inmediata. En cualquier caso se formalizó contestación inmediata indicándole que se tomaría todas las medidas necesarias para la salvaguardia de los derechos que le asisten.” También, señaló que “en la fecha 28 de junio de 2023, una vez tuvimos conocimiento de la acción de la agencia y tras tener ya constancia de la comunicación vía mail de la afectada procedimos a recopilar la información necesaria que se prolongó por los problemas de nuestro servidor tal y como hemos señalado en el motivo precedente.” - En relación con la dilación en sus respuestas, CIBERSEO JAÉN manifestó que “el hecho de no tener la información veraz y completa en el momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 motivó el retraso, de ahí que nuestra actuación se materializó justo al momento de efectuarse el segundo requerimiento donde ya si procedimos en la forma que se nos ordenaba con total transparencia y honestidad en el tratamiento de los datos de los que además somos garantes por el tipo de actividad que desarrollamos.” 7) En fecha 23 de abril de 2024, esta Agencia reiteró el requerimiento de información por vía postal, a la reclamante que resultó “Devuelto a origen por Desconocido” en fecha 14 de mayo de 2024. SEXTO: Con fecha 13 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CIBERSEO JAÉN, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. Este acuerdo de inicio que se notificó a CIBERSEO JAÉN conforme a las normas establecidas en la LPACAP, fue recogido el 13 de marzo de 2025, como consta en el acuse de recibo que obra en el expediente SÉPTIMO: En fecha 27 de marzo de 2025, esta Agencia recibió, en tiempo y forma, escrito de CIBERSEO JAÉN en el que aducía alegaciones al Acuerdo de inicio en el que, en síntesis, manifestaba: - Que la imagen objeto de reclamación fue obtenida de fuentes públicas institucionales (…) y que su uso por parte de CIBERSEO JAÉN se realizó en base a la creencia de que su difusión era lícita. Cita la derogada Ley 15/1999. Retirada inmediata de la imagen en cuanto tuvo conocimiento del conflicto suscitado. Colaboración activa y cumplimiento de los requerimientos de información por CIBERSEO JAÉN. Implementación de un Sistema de Compliance Normativo desde el año 2023. Aporta copia del “Manual de Gestión del Compliance. Sistema de gestión del Compliance”. Aduce la aplicación del principio de proporcionalidad. OCTAVO: Según comprobación realizada el 5 de enero de 2026, en el informe recogido ese mismo día de la herramienta Axesor, la entidad CIBERSEO JAÉN es una empresa constituida en el año 2021, y con un volumen de negocio de 415.266 € euros en el año 2024. NOVENO: Con fecha 14 de enero de 2026, la instructora dictó propuesta de resolución en la que proponía imponer a CIBERSEO JAÉN una multa administrativa de 1.500€ por la infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 de dicha norma. Asimismo, en virtud del artículo 58.2.

1. d)del RGPD, se proponía ordenar a la entidad reclamada que en el plazo de 3 meses acreditara ante esta Agencia la adopción de medidas que garanticen la concurrencia de alguna de las bases legitimadoras enumeradas en el artículo 6.1 del RGPD y que permita a CIBERSEO JAÉN publicar datos personales en su página web (***PLATAFORMA.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 Esta propuesta de resolución, que se notificó a CIBERSEO JAÉN conforme a las normas establecidas en la LPACAP, fue recogida el 16 de enero de 2026 como consta en el acuse de recibo que obra en el expediente administrativo. DÉCIMO: En fecha 28 de enero de 2026, se recibió en esta Agencia, en tiempo y forma, escrito de CIBERSEO JAÉN en el que aducía alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba: - Se reitera en lo alegado al acuerdo de inicio. Ausencia de perjuicio acreditado y aplicación excesivamente restrictiva del RGPD al caso concreto. Falta de motivación suficiente sobre la necesidad de sancionador. Falta de valoración expresa y motivada de la documentación de cumplimiento (manual y procedimientos) y retirada de la imagen. Falta de criterio en la determinación de la sanción y en el alcance de la medida correctiva propuesta. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La titularidad del sitio web ***PLATAFORMA.1 corresponde a CIBERSEO JAÉN, con CIF B67795872. SEGUNDO: El ***FECHA.1, CIBERSEO JAÉN publicó en el sitio web ***PLATAFORMA.1 una oferta de empleo acompañada de una imagen de la reclamante tomada durante su jornada laboral. En la imagen se aprecia su cuerpo y parte de su rostro. No consta que el tratamiento de datos personales de la reclamante, consistente en la publicación de su imagen al objeto de promocionar una oferta laboral, constase con su consentimiento o con alguna otra base de legitimación del tratamiento prevista en el art. 6 RGPD. TERCERO: A fecha 27 de junio de 2023, la imagen objeto de reclamación continuaba publicada. CUARTO: El 21 de julio de 2023, según el recorte incorporado en el escrito de respuesta al requerimiento de información de 7 de febrero de 2024 de CIBERSEO JAÉN, la imagen de la reclamante fue retirada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CIBERSEO JAÉN realiza, entre otros tratamientos, la recogida y publicación de datos personales de personas físicas como es la imagen de la reclamante. El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” CIBERSEO JAÉN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 III Contestación a las alegaciones al Acuerdo de inicio Con relación a las alegaciones aducidas al Acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas. Primera.- Alega CIBERSEO JAÉN que obtuvo la imagen objeto de reclamación de publicaciones de fuentes públicas institucionales (…), libremente disponibles en la red, por lo que entendió que su difusión era lícita, de conformidad con el término “fuentes de acceso público” definido en la derogada Ley 15/1999 de Protección de Datos de Carácter Personal. Al respecto, esta Agencia se reitera en lo ya expuesto en el Acuerdo de inicio sobre la necesidad de que concurra alguna de las bases de licitud enumeradas en el artículo 6.1 del RGPD para entender lícito el tratamiento. Esto es, el hecho de que un dato personal sea público no implica per se que directamente se esté legitimado para su tratamiento, ni que el tratamiento vaya a ser lícito. En el caso concreto, y a la luz de la documentación obrante en el expediente administrativo, resulta evidente que CIBERSEO JAÉN no contaba con ninguna base de licitud que amparase el tratamiento de la imagen de la reclamante. Así, no consta que el tratamiento sea necesario para la ejecución de contrato alguno en el que la afectada fuera parte, ni que pueda aplicarse en este caso los supuestos de que el tratamiento fuera necesario para el cumplimiento de una obligación legal o el ejercicio de una misión de interés público reconocidas en una norma con rango de ley. Por otra parte, no cabe apreciar tampoco interés vital, en la medida en que el considerando 46 del RGPD establece la excepcionalidad de esta base legal y su singularidad, cuando manifiesta que solo deben tratarse datos personales sobre esta base cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente, como podría ser en este caso el consentimiento. De las posibles circunstancias de licitud del tratamiento descritas en el artículo 6.1 del RGPD, la única que podría amparar el tratamiento de los datos efectuado por CIBERSEO JAÉN sería el consentimiento de la reclamante para utilizar su imagen en el sitio web ***PLATAFORMA.1, responsabilidad de CIBERSEO JAÉN. Sin embargo, no consta la concurrencia de dicha causa y, a mayor abundamiento, la afectada muestra su disconformidad desde el momento en que presenta una reclamación ante esta Agencia. Por lo expuesto, se desestima la presente alegación. Segunda a Cuarta.- Alega CIBERSEO JAÉN ausencia de intencionalidad y la retirada inmediata de la imagen cuando tuvo conocimiento del conflicto. También que tuvo una actitud proactiva, diligente y respetuosa; que colaboró activamente, dio cumplimiento a los requerimientos de información e implementó programas efectivos (Sistema de Gestión de Compliance). Elementos que son valorables como circunstancia atenuante del artículo 83.2.
2. f)del RGPD. Al respecto, esta Agencia desea señalar que no considera que CIBERSEO JAÉN hubiera infringido de forma deliberada la normativa de protección de datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 sino que se considera que no ha obrado con la debida diligencia. Negar esto equivaldría a reconocer que su conducta —por acción u omisión— ha sido diligente; reiterándose esta Agencia en que CIBERSEO JAÉN carecía de base legitimadora para utilizar la imagen de la reclamante. Asimismo, ha de recordarse que, a pesar de la retirada de la imagen, la infracción fue cometida y la imagen de la reclamante fue claramente expuesta asociada a una oferta de trabajo en una entidad con la que, además no tenía ninguna vinculación. Por lo expuesto, se desestima la presente alegación. Quinta.- Alega CIBERSEO JAÉN que su conducta no es reprochable ni sancionable a la luz de los principios de tipicidad y culpabilidad, y que la imputación de la infracción del artículo 6.1. del RGPD carece de motivación jurídica. También que la determinación de la cuantía de la sanción carece de motivación y aduce la aplicación del principio de proporcionalidad del artículo 83.1 del RGPD para la sustitución de la multa administrativa por un apercibimiento o, en su defecto, la reducción de la cuantía de la multa. Al respecto, esta Agencia desea señalar que a lo largo del presente procedimiento sancionador se han detallado ampliamente cuáles han sido los hechos constitutivos de la infracción del artículo 6 del RGPD y como se incardinan en el referido tipo, de conformidad con el principio de tipicidad. Respecto al principio de culpabilidad, esta Agencia insiste en que no considera que hubiera existido voluntad de infringir por parte de CIBERSEO JAÉN, sino que considera que ésta ha actuado con una falta de diligencia. En este sentido, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. En este sentido se expresa la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. (…) A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa" (el subrayado es de esta Agencia). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 Por último, se entiende por esta instrucción que la cuantía de la multa administrativa prevista en el Acuerdo de inicio se motivó con suficiente detalle atendiendo a las circunstancias existentes en ese momento. Sin embargo, cabe matizar que (
3. i)el volumen de negocio se redujo considerablemente en el último ejercicio publicado en la herramienta Axesor, pasando de 1.603.930 en el año 2023 a 415.266 euros en el año 2024; y (
4. ii)que del recorte aportado en el escrito de respuesta al requerimiento de información de 7 de febrero de 2024 de CIBERSEO JAÉN se desprende que la imagen de la reclamante se retiró el 21 de julio de 2023. Por estos motivos procede una aminoración de la sanción. Por lo expuesto, se estima parcialmente la presente alegación. IV Contestación a las alegaciones a la Propuesta de resolución Con relación a las alegaciones aducidas a la Propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas. Primera.- CIBERSEO JAÉN reitera que publicó la imagen objeto del presente procedimiento sancionador entendiendo que su reutilización era adecuada por cuanto se publicó previamente por otras fuentes públicas institucionales, y que lo hizo sin ánimo de ocasionar perjuicio alguno. Al respecto, esta Agencia se reitera en que el tratamiento realizado por CIBERSEO JAÉN y objeto del presente procedimiento sancionador requiere la concurrencia de alguna de las bases de licitud enumeradas en el artículo 6.1 del RGPD para entender lícito el tratamiento. Y que el mero hecho de que una imagen esté disponible públicamente no implica, por sí mismo, que pueda ser reutilizada por terceros sin observar las garantías previstas en el RGPD; debiendo verificar la entidad reclamada que dispone de una base legitimadora que permita el uso posterior de la imagen por su parte. En este sentido, y como ya se expuso en la propuesta de resolución del presente procedimiento sancionador por esta Agencia, la única base de licitud que ampararía el tratamiento de los datos efectuado por CIBERSEO JAÉN sería el consentimiento de la reclamante para utilizar su imagen en el sitio web ***PLATAFORMA.1, responsabilidad de CIBERSEO JAÉN; sin que conste la concurrencia de dicha causa. Por lo expuesto, se desestima la presente alegación. Segunda.- Alega CIBERSEO JAÉN que no se ha acreditado que la reclamante haya sufrido daño alguno derivado de la publicación de su imagen, solo ha mostrado su disconformidad. Matiza que se debe a un episodio único y que se corrigió después de conocer el conflicto y del que no ha obtenido beneficio directo asociado a la imagen de la reclamante. Respecto a la no acreditación de daño a la afectada, esta Agencia desea recordar lo señalado por el Tribunal Constitucional en su STC 292/2000 en el sentido de que “el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.(…) El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos así como que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. (…) Así, este poder de control respecto de los propios datos desparece cuando el tratamiento de los datos se realiza sin una base de legitimación que lo ampare, exponiendo por lo tanto al interesado a un claro perjuicio derivado de la propia vulneración de su derecho fundamental a la protección de datos personales. Destacable es también la STJUE de 4 de septiembre de 2023, dictada en el asunto C655/23, que determina que "60 En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en el considerando 85, primera frase, del RGPD se desprende que el legislador de la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida de control» sobre los propios datos personales de esos interesados como consecuencia de una infracción de dicho Reglamento, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión. Tal pérdida de control puede bastar para causar «daños y perjuicios inmateriales», en el sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese interesado demuestre que ha sufrido efectivamente tales daños y perjuicios, por mínimos que sean, sin que ese concepto de «daños y perjuicios inmateriales» requiera la demostración de la existencia de consecuencias negativas tangibles adicionales (véase, en este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C 200/23, EU:C:2024:827, apartados 145, 150 y 156 y jurisprudencia citada)". (el subrayado es nuestro). Por lo tanto, de lo anterior se desprende que el perjuicio a los interesados en su derecho a la protección de datos personales reside en la propia pérdida de control respecto de esos datos; una pérdida de control que, de forma indefectible se da cuando se realiza un tratamiento de sus datos personales que no cuenta con base de legitimación y contraviene lo dispuesto en el RGPD. Por otro lado, el considerando 75 del RGPD señala que el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o no materiales. En el presente caso, el daño sufrido por la reclamante no puede calificarse como marginal por cuanto su imagen se publicó en la página web de CIBERSEO JAÉN. La difusión de datos personales a través de internet permite que esos datos personales sean libremente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 accesibles en Internet por el conjunto del público en general y, como resultado, por un número de personas potencialmente ilimitado, tal y como dispone la STJUE (Gran Sala) de 1 de agosto de 2022, en el asunto C-184/20. Asimismo, esta Agencia desea recordar que la normativa de protección de datos de carácter personal impone un deber de diligencia al responsable del tratamiento, por lo que la falta de intencionalidad no excluye la existencia de responsabilidad, bastando una conducta negligente o la inobservancia de las obligaciones legales para apreciar la infracción. Admitir que no procede exigir responsabilidad CIBERSEO JAÉN por los hechos analizados, en base a un supuesto error, sería tanto como admitir que pueda ignorarse la aplicación del RGPD y la LOPDGDD. Asimismo, los hechos probados demuestran que la conducta infractora se ha producido lo que no obsta a que este organismo aprecie de forma positiva las medidas adoptadas para la subsanación de la misma. Por último, ha de indicarse que la ausencia de finalidad lucrativa no exonera de la responsabilidad en la apreciación de la vulneración de la normativa sobre protección de datos y que el hecho de que CIBERSEO JAÉN no haya obtenido un beneficio con el tratamiento objeto del presente procedimiento sancionador carece de relevancia a los efectos de determinar el deber de cumplimiento de la normativa de protección de datos de carácter personal. Así, cabe indicar que el artículo 83.2.
5. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo con lo previsto en el artículo 83.2.
6. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
7. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
8. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. Por lo expuesto, se desestiman las presentes alegaciones. Tercera a quinta.- Por último, CIBERSEO JAÉN alega una falta de motivación que justifique la imposición de una multa y no de otra medida correctiva, una falta de valoración expresa y motivada de la prueba aportada (manual y procedimientos, y retirada de la imagen), y una falta de criterio en la determinación de la cuantía de la multa administrativa y alcance de la medida correctiva. Al respecto, esta Agencia desea señalar que el considerando 148 del RGPD indica sobre la posibilidad de imponer un apercibimiento: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” (el subrayado es de esta Agencia). En este sentido, y atendiendo a las circunstancias concurrentes en el presente caso, esta Agencia ha evaluado la conducta antijurídica de CIBERSEO JAÉN y ha entendido que la infracción en cuestión no es leve a efectos del RGPD por los motivos expuestos con anterioridad respecto a la falta de base de licitud, la difusión inmediata de la imagen de la reclamante al publicarse en internet o la pérdida de control sobre su imagen, entre otras. En base a lo señalado, se considera conforme a derecho imponer una multa en vez de dirigir un apercibimiento. Sobre la falta de valoración expresa y motivada de la prueba aportada por CIBERSEO JAÉN, esta Agencia desea señalar que en la documentación aportada por la entidad reclamada no se refleja en base a qué se ampara el tratamiento objeto del presente procedimiento sancionador de las posibles causas legitimadoras del artículo 6.1 del RGPD. Esto es, no consta base jurídica alguna que justifique la publicación de la imagen de la reclamante por parte de CIBERSEO JAÉN. Por último, esta Agencia desea señalar que en la contestación a las alegaciones al acuerdo de inicio se explicó detalladamente que “del recorte aportado en el escrito de respuesta al requerimiento de información de 7 de febrero de 2024 de CIBERSEO JAÉN se desprende que la imagen de la reclamante se retiró el 21 de julio de 2023”. Motivo que junto con la reducción considerable del volumen de negocio de CIBERSEO JAÉN en el último ejercicio publicado del año 2024 dieron pie a la aminoración de la cuantía de la multa. Por lo expuesto, se desestiman las alegaciones aducidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 V Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " El artículo 6 del RGP determina en su apartado 1 los supuestos en los que la normativa vigente permite realizar el tratamiento de datos personales de un tercero y que denomina “bases de licitud”. Si no concurre algunos de estos supuestos o condiciones, el tratamiento no será legítimo, esto es, no será considera lícito a los efectos del RGPD. En el presente caso, el ***FECHA.1 se publicó en el sitio web ***PLATAFORMA.1 una oferta de empleo junto a una imagen que la reclamante identifica como suya. En la imagen se apreciaba el cuerpo y rostro de la afectada, prácticamente, en su totalidad, como se observa en las capturas de pantalla aportadas por la reclamante de 14 de junio de 2023 y, posteriormente, en la comprobación realizada por esta Agencia el 27 de junio de 2023. El 3 de enero de 2024 se comprueba que en diversas noticias referidas al (…) — figura una fotografía en la que se ve claramente únicamente a una mujer, la reclamante. Esta fotografía coincide con la primera de las fotografías publicadas junto con la oferta de empleo. Por su parte, CIBERSEO JAÉN manifestó haber recibido un correo electrónico de la reclamante mostrando su disconformidad con la publicación, hecho que reconocía y al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 cual respondió de manera inmediata. No obstante, la entidad no ha aportado hasta el momento ninguna documentación que pruebe dichas manifestaciones, ya que afirma que los correos han quedado deshabilitados debido a una migración del servidor de la web. En el marco de las actuaciones previas de investigación, CIBERSEO JAÉN reconoció haber publicado la imagen, que sustituyó el 21 de julio de 2023 por otra en la que según indican, no aparecía la reclamante. Como prueba de sus manifestaciones, aportó un recorte en el que se observa una nueva imagen y la siguiente información: “DETALLES DEL ADJUNTO. (…). 21 de julio de 2023”. Por tanto, la imagen estuvo disponible desde (…). En cualquier caso, la documentación obrante en el expediente administrativo prueba que CIBERSEO JAÉN publicó una imagen que se corresponde con la reclamante en su página web (***PLATAFORMA.1) sin que concurriera una causa legitimadora que amparase esa operación de tratamiento. En este sentido, preguntado CIBERSEO JAÉN por esta cuestión, la entidad consideró justificada su actuación al haber obtenido la imagen de una fuente pública, como (…), no suponiendo ello, a su juicio, una intromisión en la intimidad de la persona en cuestión. No obstante, y como ya se ha expuesto en las contestaciones a las alegaciones aducidas por CIBERSEO JAÉN al Acuerdo de inicio y, posteriormente, a la Propuesta de resolución; el tratamiento de datos personales obtenidas de un medio de comunicación no puede eludir el cumplimiento de la normativa de protección de datos, y más en concreto, de contar con una base de legitimación de las previstas en el art. 6.1 RGPD. Así, CIBERSEO JAÉN como responsable del tratamiento también lo es de lo que se publica en su página web (***PLATAFORMA.1), con independencia de la fuente de origen. Por tanto, de conformidad con los hechos probados de los que se dispone en este momento de resolución, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CIBERSEO JAÉN, por vulneración del artículo 6 del RGPD. VI Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
16. a)“los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
17. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” VII Sanción por la infracción del artículo 6 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite imponer una sanción de multa administrativa de 1.500€ (mil quinientos euros). VIII Medidas correctivas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
18. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 de la legislación de protección de datos personales, en este caso del Artículo 6 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
19. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se propone que en la resolución que se adopte se podrá requerir a CIBERSEO JAÉN para que, en el plazo de 3 MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de medidas que garanticen la concurrencia de alguna de las bases legitimadoras enumeradas en el artículo 6.1 del RGPD y que permita a CIBERSEO JAÉN publicar datos personales en su página web (***PLATAFORMA.1). Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CIBERSEO JAÉN, S.L, con CIF B67795872, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1.500€ (mil quinientos euros) SEGUNDO: ORDENAR a CIBERSEO JAÉN, S.L, con CIF B67795872, que en virtud del artículo 58.2.
20. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado medidas que garanticen la concurrencia de alguna de las bases legitimadoras enumeradas en el artículo 6.1 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 RGPD y que permita a CIBERSEO JAÉN publicar datos personales en su página web (***PLATAFORMA.1). TERCERO: NOTIFICAR la presente resolución a CIBERSEO JAÉN, S.L, con CIF B67795872. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es