PS-00523-2014

1/10 Procedimiento Nº PS/00523/2014 RESOLUCIÓN: R/00945/2015 En el procedimiento sancionador PS/00523/2014, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/01/2014 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que en julio de 2008 le reclama a ORANGE ESPAGNE S.A.U. (en lo sucesivo ORANGE) la anulación de una factura. Ante la negativa de la entidad procedió a su devolución e inició una reclamación ante la Junta Arbitral de Consumo de la Comunidad de Madrid. La respuesta de ORANGE fue remitir un escrito de fecha 27/02/2009 informando que la deuda de 42,73 € queda anulada. Posteriormente ha tenido conocimiento de que sus datos han sido cedidos a SALUS y que esta entidad los ha incluido en Asnef por un impago de 42,73 € con fecha de alta 02/01/2012. Según indica el reclamante no ha recibido las notificaciones y requerimientos de pago porque ha cambiado de domicilio. Adjunta carta de fecha 27/02/2009 de ORANGE en la que se le informa que se ha anulado su factura de julio de 2008 por importe de 42,73 € quedando al corriente de pago, así como información de su inclusión en el fichero asnef por la cantidad de 42,73 € por parte de SALUS INVERSIONES Y RECUPERACIONES, S.L. (SALUS). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ORANGE, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección que se transcribe: “ACTUACIONES PREVIAS En 2013 ORANGE adoptó la decisión de vender un porcentaje de su cartera de créditos pendientes de cobro. A tales efectos se puso en contacto con varias entidades dedicadas a la gestión de créditos fallidos, entre ellas SALUS, con la que suscribió un contrato de cesión de créditos que fue elevado a público en fecha 22 de julio de 2013. Según manifiestan los representantes de ORANGE, se cedieron a SALUS un total de 185.952 expedientes. Las características de los créditos cedidos fueron las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10  Clientes de telefonía fija  No catalogados como fraude por la entidad  Sin reclamaciones pendientes de resolución (ya sea ante organismos oficiales o ante la propia entidad)  Deudas vencidas entre los años 2006 y 2010 Con fecha 22 de julio de 20013 se firmó el contrato de cesión de créditos con SALUS y ORANGE entregó a la entidad compradora la siguiente documentación en un soporte informático no regrabable y protegido por contraseña: - La fecha de origen de cada uno de los créditos, su importe y los datos identificativos y de cuenta de los deudores. Copia de las facturas pendientes de pago, de los contratos suscritos por los clientes deudores y, en su caso, de las grabaciones de verificación de la voluntad de contratación. Los representantes de ORANGE manifiestan que no se entregan los datos que se encuentran en sus bases de datos asociados a los contactos (incidencias) con los clientes, sino que sólo se usan a efectos de filtrado para no ceder aquellos créditos que cumplen alguno de los supuestos expuestos anteriormente. En el contrato de cesión de las carteras de crédito se previó un sistema específico de comunicación, basado en el envío de un escrito a las personas afectadas para informarles de que sus créditos con ORANGE habían sido cedidos a SALUS que, por lo tanto, se convertían en los nuevos acreedores de la cantidad adeudada. Las principales características del citado sistema eran:     El responsable de realizar la comunicación de cesión de cartera de créditos era SALUS. Tal comunicación consistía en un escrito conjunto de ORANGE y SALUS. Se informaba de la cesión del crédito, de la cesión de sus datos al comprador . Junto a esta comunicación SALUS incluyó un requerimiento de pago informando al destinatario que en caso de no abonar las cantidades pendientes sus datos podrían ser incluidos en ficheros de solvencia. La comunicación era remitida al deudor efectuada por medio de una empresa distribuidora que pueda acreditar el envío. El contrato de cesión de cartera, en su cláusula 5º establece un proceso de recompra de expedientes cedidos, mediante el cual ORANGE tiene la posibilidad de recuperar aquellos créditos incluidos en la cartera objeto de cesión siempre y cuando resulte que alguno de los créditos no sea líquido, vencido y exigible. Los representantes de la entidad manifiestan que a día de hoy no se ha realizado la recompra de ningún crédito. Los representantes de ORANGE manifiestan que todas las cuentas de cliente que fueron objeto de cesión se encuentran dadas de baja y las deudas a cero en los sistemas de información. Además cuando un operador accede a éstas aparece un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 mensaje en pantalla que informa “cliente con deuda antigua. Para consultas o pagos de su deuda remitir a la empresa Salus Inversiones & Recuperaciones S.L. teléfono ***TEL.1. Nunca transferir al departamento de cobros Orange (0,0)” Los inspectores solicitan a los representantes de ORANGE el acceso a los sistemas de información sobre los que se realizan las siguientes verificaciones relacionadas con la cesión de deuda de DNI “ B.B.B.” a SALUS: 1.2. Al acceder por DNI del cliente se verifica que los datos de la deuda han sido cedidos a SALUS al aparecer el mensaje “cliente con deuda antigua. Para consultas o pagos de su deuda remitir a la empresa Salus Inversiones & Recuperaciones S.L. teléfono ***TEL.1. Nunca transferir al departamento de cobros Orange (0,0)”. 1.3. Se accede al sistema que gestiona los contactos mantenidos con el cliente y se verifica lo siguiente:   Consta una reclamación ante Consumo recibida el 25/2/2009 solicitando la anulación de una factura por importe 42,73 euros correspondiente al mes de julio de 2008. Consta la emisión de una carta de fecha 27/2/2009 donde se informa que se procede a la anulación de la factura por importe de 42,73 euros citada.” TERCERO: Con fecha 24/10/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción del artículo 11.1 en relación con el 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. k)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio ORANGE formuló las siguientes alegaciones: 1. Prescripción de la infracción pues la cesión se produjo el 02/01/2012 y la denuncia no fue formulada hasta el 20/01/2014. 2. La cesión de datos del denunciante se efectuó con ocasión del contrato de cesión de crédito suscrito el 22/07/2013 con SALUS, al amparo de lo dispuesto en los artículos 347 y 348 del Código de Comercio, tratándose de una deuda cierta, vencida y exigible cuya comunicación se efectuó al denunciante sin perjuicio de que, como este reconoce cambiara de domicilio y por tanto no le llegara. QUINTO: En fecha 09/03/2015 se emitió propuesta de resolución en el sentido de imponer a ORANGE una multa de 50.000 € por la infracción del artículo 11.1 en relación con el 4.3 de la LOPD. SEXTO: Notificada la propuesta ORANGE reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador a las que añade: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 1. Nulidad de la propuesta de resolución ya que en la misma no se aclaran los hechos que se le imputan, lo cual genera indefensión e infringe el principio de presunción de inocencia. 2. Subsidiariamente aplicación de lo dispuesto en el artículo 45.4 de la LOPD en orden a la imposición en la cuantía mínima (40.001 €) de las calificadas como graves. HECHOS PROBADOS PRIMERO: Con fecha 20/01/2014 tiene entrada en esta Agencia un escrito de denunciante en el que declara que en julio de 2008 le reclama a ORANGE la anulación de una factura. Ante la negativa de la entidad procedió a su devolución e inició una reclamación ante la Junta Arbitral de Consumo de la Comunidad de Madrid. La respuesta de ORANGE fue remitir un escrito de fecha 27/02/2009 informando que la deuda de 42,73 € queda anulada. Posteriormente ha tenido conocimiento de que sus datos han sido cedidos a SALUS y que esta entidad los ha incluido en Asnef por un impago de 42,73 € con fecha de alta 02/01/2012. Indica que no ha recibido las notificaciones y requerimientos de pago porque ha cambiado de domicilio (folios 1-5) SEGUNDO: El denunciante fue titular de un servicio de Tarifa Plana + llamadas nacionales del número C.C.C. de ORANGE (folios 1, 3) TERCERO: Consta en el expediente carta de fecha 27/02/2009 dirigida por ORANGE al denunciante en respuesta a su reclamación formulada ante la Junta Arbitral de Consumo de Madrid, en la cual la operadora le informa que han comprobado que ha tenido incidencias técnicas en el servicio de la línea C.C.C. motivo por el cual proceden a tramitar la anulación de la factura pendiente de pago por importe de 42,73 € correspondiente al mes de julio de 2008, quedando al corriente de pago. Esta información consta asimismo en los sistemas de ORANGE (folios 3, 9-17) CUARTO: En fecha 22/07/2013 ORANGE suscribió con SALUS un contrato de cesión de cartera de créditos entre los cuales se encontraba uno por importe de 42,73 € asociado al denunciante, sin que conste que la deuda haya sido recomprada por ORANGE (folios 7-9, 56-71) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Como cuestión previa y respecto a la prescripción de la infracción, alegada por ORANGE, el artículo 47. 1 y 2 de la LOPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” En el presente caso se imputa a ORANGE infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.k), la cual se produjo en fecha 22/07/2013 al cederse indebidamente sus datos personales a SALUS en relación con una deuda que no era cierta, vencida y exigible. Tomando en consideración que el acuerdo de inicio del `procedimiento sancionador se notificó a ORANGE en fecha 30/10/2014, y que el hecho infractor se materializó en fecha 22/07/2013, no cabe apreciar la prescripción alegada por la operadora. III En relación con la nulidad del acuerdo de inicio y de la propuesta de resolución al entender ORANGE que no se concretan los hechos imputados, cabe señalar que de la lectura de los hechos probados y fundamentos de derecho (en concreto el fundamento IV) se concluye, sin lugar a ningún género de duda, que se le imputa la cesión en fecha 22/07/2013 a SALUS de los datos personales del denunciante en relación con una deuda que no era cierta, vencida y exigible pues había sido anulada por la propia operadora en febrero de 2009 con lo cual dicha cesión no se encuentra amparada por lo dispuesto en los artículos 347 y 348 de Código de Comercio. En el mismo sentido señalar que las alegaciones formuladas por ORANGE acreditan que la operadora es plenamente conocedora de los hechos e infracción que se le imputan. Se imputa a ORANGE la infracción del artículo 11 de la LOPD que establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a)Cuando la cesión está autorizada en una Ley. b)Cuando se trate de datos recogidos de fuentes accesibles al público. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3.Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4.El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5.Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6.Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
3. a)de la LOPD) para la cesión de datos de carácter personal. En este sentido señalar que el artículo 347 del código de comercio establece que: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste.” Por su parte el artículo 348 señala que “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare.” IV En este punto señalar que de acuerdo con el principio de calidad de datos, recogido en el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” En el presente supuesto constan los datos personales del denunciante fueron incorporados a los sistemas de información de ORANGE asociados a la titularidad de un servicio de telefonía tratándose los mismos por el responsable de tales ficheros para la emisión a nombre del denunciante de la facturación asociada a dicho servicio de telefonía, y la cesión de los mismos a SALUS al vender a dicha empresa una deuda de 42,73 € por el impago de servicios. En estas circunstancias, consta acreditado lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 - el denunciante fue titular de un servicio de Tarifa Plana + llamadas nacionales del número C.C.C. de ORANGE. - no abonó una factura de fecha 42,73 € con la que el denunciante estaba disconforme. - efectuada solicitud de arbitraje por la denunciante, en fecha 27/02/2009 ORANGE dirigió carta al denunciante informándole que se anulaba la factura pendiente de pago por importe de 42,73 € quedando al corriente de pago. - en fecha 22/07/2013 ORANGE cedió a SALUS una deuda de 42,73 € asociada al denunciante. Así pues se constata que el 22/07/2013 ORANGE cedió a SALUS una deuda (42,73 €) que no era cierta, vencida y exigible, por cuanto tras reclamación arbitral del denunciante, en fecha 27/02/2009 ORANGE le informó que la factura pendiente de pago por importe de 42,73 € quedaba anulada y su cuenta al corriente de pago. V La infracción de lo dispuesto en el artículo 11.1 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
4. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso ORANGE es responsable de la comisión de una infracción del artículo 11.1 en relación con el 4.3 de la LOPD, calificada como grave en el artículo 44.3.
5. k)de dicha norma, al haber cedido, en fecha 22/07/2013, los datos personales del denunciante con motivo de una deuda que no respondía al principio de calidad de datos por cuanto había sido anulada por la operadora en febrero de 2009 en respuesta a la reclamación arbitral formulada por el denunciante. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 1. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
16. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. La Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). Respecto a la falta de intencionalidad, a la antijuridicidad no obsta la falta de intención de infringir las normas jurídicas- Sentencia del Tribunal Supremo de 4/06/1999-, “y ya hemos razonado que en contra de lo que se dice en el recurso si existe lesión de un derecho protegido por la Ley”. En cuanto a la aplicación del artículo 45.4 de la LOPD en atención a la graduación de la sanción debe considerarse que la factura no fue abonada lo cual implica la ausencia de perjuicios al denunciante y beneficios para ORANGE. No obstante, junto al mantenimiento durante más de 4 años de los datos incorrectos, y que la situación no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 ha regularizado pues no consta la recompra de la deuda por parte de ORANGE lo que supone el carácter continuado de la infracción, debe citarse el volumen de negocio, la vinculación de la entidad con el tratamiento de datos de carácter personal y la reincidencia en la comisión de infracción al principio de calidad de datos por las cuales esta Agencia ha sancionado a ORANGE, motivos por los cuales se impone una multa de 50.000 € por la infracción del artículo 11.1 en relación con el 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 11.1 en relación con el 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
17. k)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U., y a A.A.A. . D. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es