← España

PS-00568-2016

1/17 Procedimiento Nº PS/00568/2016 RESOLUCIÓN: R/01670/2017 En el procedimiento sancionador PS/00568/2016, instruido por la Agencia Española de Protección de Datos a la entidad QDQ MEDIA, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/12/2015 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que declara que sus datos personales han sido incluidos en el fichero de solvencia ASNEF sin el previo requerimiento de pago de la entidad informante, QDQ MEDIA, S.A.U., (en lo sucesivo, QDQ o la denunciada) y sin que ASNEF EQUIFAX, S.L., le hubiera notificado la inclusión en el fichero. El denunciante remitió a la AEPD en fecha 10/02/2016, en respuesta a la petición de la Inspección de Datos para que aportara documentación adicional, la copia de dos cartas recibidas de Equifax Ibérica, S.L., de fechas 28/08/2015 y 22/09/2015. En la primera de ellas Equifax Ibérica, S.L., responde al acceso solicitado por el denunciante el 27/08/2015 y en la segunda le informa de que, trasladada a la entidad informante la solicitud de cancelación de sus datos personales del fichero ASNEF, confirma la existencia de la deuda y, por tanto, la permanencia de sus datos en el fichero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por la Inspección de Datos de la AEPD se requiere información a EQUIFAX IBÉRICA, S.L., y a QDQ, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Inspección que se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa QDQ MEDIA, S.A.U. en su escrito de fecha 14/3/2016 (fecha de registro de entrada 23/3/2016, número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación:  Carta de fecha 10/7/2015 referenciada e individualizada a nombre del denunciante a la dirección del denunciante, con detalle de la deuda y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad. Correo electrónico certificado de fecha 13/7/2015 referenciado e individualizado a nombre del denunciante a la dirección electrónica del denunciante (email), con detalle de la deuda y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad. Aportan copia impresa de los datos que figuran en sus sistemas relativos al denunciante donde consta domicilio CALLE (C/...1), Málaga, ESPAÑA. En los sistemas del denunciado consta un registro con la dirección del denunciante que coincide con la que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 aparece en el contrato con dicha entidad (realizado telefónicamente el 8/4/2016 y del cual manifiesta la existencia de grabación cuyo audio adjunta en soporte CD-), con la facilitada por el denunciante a la Agencia y la que figura en su D.N.I. Aportan copia impresa de los datos que figuran en sus sistemas relativos al denunciante donde consta dirección electrónica (email) ***EMAIL.1. En los sistemas del denunciado consta un registro con la dirección electrónica (email) del denunciante que coincide con la que aparece en el contrato con dicha entidad.  Certificado de la empresa LLEIDANETWORKS SERVEIS TELEMÀTICS S.A., encargada del servicio certificado de envío y recepción de correo electrónico certificado para QDQ MEDIA, S.A.U., de la tramitación (acredita dirección de correo electrónico receptora, contenido y entrega) de la carta del denunciante con fecha 13/7/2015, remitida a la dirección electrónica (email) ***EMAIL.1. Se adjunta contrato entre QDQ MEDIA, S.A.U. y LLEIDANETWORKS SERVEIS TELEMÀTICS S.A. de fecha 5/2/2014.(…) La empresa EQUIFAX IBERICA, S.L. en su escrito de fecha 20/9/2016 (fecha de registro de entrada 22/9/2016, número de registro ***REG.2) ha remitido la siguiente información pertinente a los efectos de la investigación:  Con fecha de emisión 21/7/2015 (la fecha de devolución figura vacía) figura carta enviada al denunciante (Ref. de carta ***REF.1) en los sistemas de EQUIFAX IBERICA, S.L que referencia la notificación de inclusión de deuda de fecha de alta 20/7/2015 informada por la entidad QDQ MEDIA, S.A.U. por importe 235,85 euros, como acredita el documento numerado “UNO”, NOTIFICACIONES DE INCLUSIÓN.  Copia de la notificación de inclusión en ASNEF de fecha 21/7/2015 referenciada (***REF.1) e individualizada a nombre del denunciante a la dirección (C/...1), Málaga, con detalle de la deuda de importe 235,85 euros y referencia a una situación de incumplimiento con la entidad QDQ MEDIA, S.A.U., a fecha de alta 20/7/2015.  Certificado fechado el 20/9/2016 de la empresa SERVINFORM, S.A. (antes EMFASIS Billing & Marketing Services, S.L.), de la generación, impresión y puesta en el servicio de envíos postales con fecha 24/7/2015 de la comunicación con el número de referencia ***REF.1 dirigida a A.A.A. con domicilio (C/...1), Málaga. Acredita asimismo que dicha comunicación pertenece a un lote total de 15.084 que se pusieron a disposición del servicio de envíos postales para su distribución en dos albaranes: o El número XXX.1que incluye 12068 comunicaciones. o El número XXX.2 que incluye 3016 comunicaciones.  Documento acreditativo del gestor postal CORREOS con referencia “5397CREDI” en el que figura la remisión de 12.068 cartas con fecha 24/7/2015 en nombre de EQUIFAX IBERICA, S.L. sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal.  Documento acreditativo del gestor postal UNIPOST con número de entrega “XXX.2” en el que figura la remisión de 3016 cartas con fecha 24/7/2015 en nombre de EQUIFAX IBERICA, S.L. sin individualizar una referencia a la carta al denunciante, y sellado por el gestor postal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17  EQUIFAX IBERICA, S.L. manifiesta en el escrito de respuesta a la solicitud de información que no consta devolución de la notificación. o En escrito fechado el 29/9/2016 (número de salida 279289/2016) la Agencia le requiere a EQUIFAX IBERICA, S.L. que adjunte documentación que acredite la no devolución, aportando en su caso los documentos de entidades independientes a la entidad notificante que lo atesoren. o En escrito fechado el 28/10/2016 (número de registro 360251/2016; fecha de registro 2/11/2016), EQUIFAX IBERICA, S.L. responde a la solicitud de información anterior exponiendo que: “En primer lugar, informarles que con fecha 1 de Septiembre de 2014, EQUIFAX IBÉRICA S.L. suscribió un contrato con la entidad FUNDOSA CONTROL DE DATOS Y SERVICIOS, SA (en adelante FUCODA) que sigue vigente en la actualidad. En virtud de dicho contrato, FUCODA (hoy ILUNION) presta el servicio de gestión y custodia de las devoluciones de las Notificaciones de Inclusión a EQUIFAX. De acuerdo al procedimiento pactado entre las partes en el mencionado contrato, a diario, el servicio envíos postales Correos, remite a EQUIFAX, la saca de Notificaciones de Inclusión que en su caso hayan sido devueltas. Una vez recibida en las oficinas de EQUIFAX, dicha documentación es trasladada al centro de ILUNION para su gestión y custodia. ILUNION, clasifica las notificaciones por el motivo de devolución indicado, mediante la lectura del código de barras. A continuación, remite a EQUIFAX los ficheros (por motivos de devolución) a través del sistema FTP. Los datos de los ficheros son volcados por EQUIFAX al HOST y quedan registrados en las correspondientes notificaciones de inclusión (identificadas por la referencia de las mismas), procediéndose a iniciar el proceso de confirmación del domicilio contractualmente pactado con el acreedor correspondiente.” En relación al titular solicitado, […], las notificaciones de inclusión realizadas al titular de referencia donde el campo fecha de devolución permanece en A.A.A., por lo que se puede comprobar que las mismas no han sido devueltas.” >> TERCERO: Con fecha 27/12/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a QDQ por una presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal tipificada como infracción grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros conforme al artículo 45.2 de la Ley Orgánica 15/1999. CUARTO: Notificado el acuerdo de inicio, QDQ, mediante escrito de fecha 10/01/2017, que tuvo entrada en el Registro de la AEPD el 13/01/2017, formuló alegaciones en las que solicitó que se dictara resolución de archivo del expediente. En apoyo de su pretensión adujo lo siguiente: - - Reitera que el denunciante suscribió con ella un contrato de consultoría y marketing digital para dar publicidad a su negocio y que incumplió parcialmente el pago del precio pactado quedando pendientes de abono 235,85 euros. La deuda fue reclamada a través del departamento jurídico y de empresas de recobro. Afirma que sí realizó el preceptivo requerimiento previo de pago “fehacientemente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 - - - - por un medio aceptado y reconocido por la Agencia Española de Protección de Datos….”. Afirma que el requerimiento se envió “por correo certificado por empresa tercera, operadora de telecomunicaciones, donde se acredita el envío de la carta de fecha 10 de julio de 2015 y que el Sr. A.A.A. recibió dicha comunicación el día 13 de julio de 2015, a las 9 horas y 32 minutos”. Aporta copia de una carta con el anagrama de QDQ Media que tiene fecha de 10/07/2015 y está dirigida al denunciante en el que le requiere el pago de la deuda y le informa de que si no atiende el pago en 10 días desde la fecha de emisión de la carta procederá a incluir sus datos en el fichero ASNEF. Indica que LLEIDANETWORKS Serveis Telematics, S.A., en su condición de operadora de telecomunicaciones, “certifica la entrega de un correo electrónico y genera un certificado, que es el documento aportado…, firmado digitalmente y que acredita la dirección de correo electrónico, el contenido del mensaje, la entrega, la notificación en el buzón receptor y el sello de tiempo.” Aporta copia de ese documento. Afirma que la comunicación realizada a través de “correo electrónico certificado” es un modo de comunicación fehaciente aceptado por la AEPD y apoya tal declaración en la resolución que la AEPD dictó el 17/05/2015 en el E/5178/2015 en la que se consideró cumplido el requisito del artículo 38.1.c del RLOPD al haber enviado al denunciante un “correo electrónico certificado” . QUINTO: Con fecha 26/05/2016 se inició el período de práctica de pruebas en el que se acordó: 1.- Dar por reproducidas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante QDQ, ante EQUIFAX IBÉRICA, S.L., así como la Diligencia del inspector de noviembre de 2016 y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/00380/2016. 2.- Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00568/2016 presentadas por QDQ y la documentación que a ellas acompaña. 3.– Desestimar la prueba propuesta por la entidad QDQ por considerarla innecesaria e improcedente a tenor del artículo 77.3 de la Ley 39/2015. La denunciada solicitó “para el caso de ser necesario” que la AEPD oficiara a la empresa LLEIDANETWORKS SERVEIS TELEMATICS, S.A., (…) “para que acredite que efectivamente se comunicó fehacientemente por mi representada al denunciante la inclusión de la deuda en el fichero Asnef Equifax con carácter previo al alta en dicho fichero”. En el escrito en el que se denegó la práctica de esa prueba se razonó que la denunciada dijo solicitarla “para el caso de ser necesario” y que la prueba propuesta perseguía obtener un documento que ya obraba en el expediente aportado tanto en el curso de las actuaciones previas de inspección como adjunto a las alegaciones al acuerdo de inicio. Además, se señaló que con arreglo a las normas que rigen la carga de la prueba incumbe a quien invoca el cumplimiento de una obligación legal la prueba de su cumplimiento por lo que, habida cuenta de que en el acuerdo de inicio del procedimiento sancionador se atribuyó a la denunciada una presunta infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 artículo 4.3 en relación con el 29.4 LOPD y con el artículo 38.1.
  2. c)del RLOPD, es a esa parte y no a la AEPD a quien corresponde probar que hizo el requerimiento de pago al deudor antes de proceder a incluir sus datos en un fichero de solvencia. SEXTO: Con fecha 01/06/2017 se formuló Propuesta de resolución en los siguientes términos: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a QDQ MEDIA, S.A.U., con multa de 50.000 euros (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación también con el artículo 38.1.
  3. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  4. c)de dicha norma.” La Propuesta se notificó a través del Servicio de Correos el 02/06/2017 y consta recibida por la destinataria el 09/06/2017. SÉPTIMO: El artículo 89.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) dispone que la propuesta de resolución se notificará a los interesados con indicación de la puesta de manifiesto del procedimiento y el plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes. El artículo 29 de la LPACAP señala que los términos y plazos establecidos en ésta u otras leyes obligan a las autoridades y personal al servicio de las Administraciones Públicas competentes para la tramitación de los asuntos así como a los interesados en los mismos. La propuesta de resolución del PS/568/2016 concedió a la entidad denunciada un plazo de diez días hábiles para alegar lo que estimara oportuno y presentar los documentos e informaciones pertinentes. La propuesta de resolución consta notificada a QDQ el 09/06/2017, por lo que en aplicación del artículo 30.2 de la LPACAP el plazo finalizó el día 23/06/2017. En fecha 26/06/2017 no se tenía noticia de la recepción en el Registro de la AEPD de las alegaciones de esa entidad a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con DNI ***DNI.1 y domicilio en calle (C/...1), Málaga, denuncia que sus datos personales han sido incluidos en el fichero ASNEF sin requerirle con carácter previo el pago de la deuda (folio 1) SEGUNDO: Obra en el expediente copia de la carta que el denunciante recibió de Equifax Ibérica, S.L., el 28/08/2015 en respuesta al acceso solicitado y en la que consta que QDQ incluyó sus datos personales en ASNEF con fecha de alta 20/07/2015, por un saldo impagado de 235,85 euros (folios 5 y 6). En fecha 16/09/2015 la inclusión en ASNEF continuaba vigente (folio 8) sin que tengamos noticia de que posteriormente haya sido cancelada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 TERCERO: Obra en el expediente aportada por QDQ la grabación de la conversación telefónica mantenida el 08/04/2014 en la que el denunciante prestó el consentimiento a la contratación de determinados servicios con la denunciada y le facilitó sus datos personales: nombre, apellidos, NIF y domicilio (folio 53). En los registros informáticos de la entidad –según consta en la impresión de pantalla que aporta- figura asociada a los datos del denunciante la dirección electrónica ***EMAIL.1 (folio 54) CUARTO: Obra en el expediente, aportado por QDQ, el condicionado general del contrato de Prestación de Servicios de Consultoría en internet que ambas partes celebraron en el que no se prevé que la denunciada realice a través de correo electrónico, a la dirección electrónica facilitada por el cliente, en este caso el denunciante, las notificaciones que fueran necesarias para la ejecución del contrato (folio 52) QUINTO: QDQ ha manifestado que requirió al denunciante el pago de la deuda con carácter previo a la inclusión de sus datos en ASNEF a través de un “correo electrónico certificado” a la dirección ***EMAIL.1 enviado a través de la empresa LLEIDA NETWORKS Serveis Telematics, S.A. el 13/07/2015 a las 9 horas 32 minutos. SEXTO: QDQ y LLEIDA NETWORKS Serveis Telematics, S.A., suscribieron el 05/02/2014 un contrato cuyas condiciones generales incluyen entre los servicios objeto del mismo el “servicio de E-mail certificado” que se define como el “servicio por el cual Lleida.net en su calidad de operadora de comunicaciones y tercero de confianza, recibe, reencamina y entrega un correo electrónico de un usuario emisor a uno o varios usuarios receptores, generando un certificado firmado digitalmente que acredita dirección de correo electrónico emisora, direcciones de correo electrónico receptoras, contenido del mensaje y entrega en el buzón de correo electrónico receptor”. (Folios 71 y 77) (El subrayado es de la AEPD) SÉPTIMO: QDQ ha aportado un certificado expedido por Lleida.net (operadora de telecomunicaciones de LLEIDA NETWORKS Serveis Telematics, S.A.) en el que consta lo siguiente: - “(…) Certifica que, …El usuario registrado con nombre/razón social QDQ Media, S.A.U. (CIF/NIE A81745002) ha enviado un correo electrónico certificado al destinatario ***EMAIL.1 a las 09 horas 31 minutos del día 13 de Julio de 2015 (09:31 GMT +2) con remitente “Registered Mail Service < ***1@qdqmedia.com>” con el siguiente contenido (..)” - El contenido del mensaje es un requerimiento de pago dirigido al denunciante de una deuda por importe de 235,85 euros en el que se le concede un plazo de diez días para atenderlo, con la advertencia de que en caso contrario sus datos podrán ser incluidos en ficheros de solvencia patrimonial y crédito. - “El correo electrónico fue entregado correctamente, según consta en nuestros registros a las 09 horas 32 minutos del día 13 de julio de 2015 (…) adjuntándose al final de este certificado los detalles de la entrega” (folios 61 a 67) OCTAVO: Los detalles de la entrega constan en el certificado expedido por Lleida.net, en el Anexo de detalles técnicos que dice facilitar los “Detalles del envío y entrega a los destinatarios o sus agentes electrónicos debidamente acreditados”. Entre ellos, los relativos al “registro de sistema” indican: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 “to=<***EMAIL.1>, ...........” (folios 66 y 67) NOVENO: El certificado expedido por Lleida.net acredita únicamente el envío de un correo electrónico con origen en la cuenta ***EMAIL.2 con destino a la cuenta ***EMAIL.1 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La LOPD se ocupa en su artículo 4 de la "Calidad de los datos" y dedica el apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
  6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  7. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
  8. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio que de forma constante viene manteniendo la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) En la misma línea la SAN de 28/06/2016 (Rec. 1703/2015) expone en el Fundamento Jurídico segundo: “(…) el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo”. (El subrayado es de la AEPD) IV A. La denuncia que nos ocupa versa sobre el presunto incumplimiento por QDQ de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente con carácter previo a la inclusión de sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) Está acreditado que QDQ informó al fichero ASNEF los datos del denunciante con fecha de alta 20/07/2015, por un saldo deudor de 235,85 euros y que la anotación estaba vigente casi dos meses después, en fecha 16/09/2015 pues es de esa fecha la respuesta que la responsable del fichero ASNEF dirigió al denunciante denegándole la cancelación de sus datos del fichero que había solicitado. La deuda informada al fichero de solvencia asociada al denunciante procede del incumplimiento por su parte de la obligación de pago derivada del contrato que celebró con la denunciada el 08/04/2014 por vía telefónica. A estos efectos la denunciada ha aportado copia de la grabación de la conversación telefónica en la que el denunciante confirma a su interlocutor sus datos personales, entre ellos el NIF, los productos objeto de contratación y la dirección postal. En los registros informáticos de la denunciada consta asociada al denunciante la dirección de correo electrónico ***EMAIL.1. Indicar también sobre el contrato que el denunciante celebró con QDQ que las “Condiciones Generales del Contrato de Prestación de Servicios de Consultoría en Internet” , documento que la denunciada facilitó a la AEPD en respuesta al requerimiento informativo de la Inspección, no se prevé que las notificaciones dirigidas a los clientes (por lo que aquí interesa, al denunciante) que sean necesarias para la ejecución del contrato se efectúen a través de correo electrónico. B. QDQ, con objeto de probar que requirió al denunciante el pago de la deuda antes de informar sus datos al fichero ASNEF, ha aportado copia escrita de una carta dirigida al denunciante que tiene fecha del 10/07/2015 en la que le concede un plazo de diez días para atender el pago y le advierte de que si no pone fin a la situación de impago será incluido en el fichero ASNEF. La denunciada afirma que tal comunicación de requerimiento de pago se envió al denunciante a través de un “correo electrónico certificado” de la empresa LLEIDA NETWORKS TELEMATICS, S.A. QDQ celebró con LLEIDA NETWORKS TELEMATICS, S.A., el 05/02/2014 un contrato de prestación de servicios que incluía, entre otros, el servicio de “E-mail certificado”. El Anexo 1 de las Condiciones Generales del contrato (folio 77) define el contenido de ese servicio señalando que Lleida.net genera un certificado firmado digitalmente que acredita, entre otros extremos que se detallan expresamente, la “entrega en el buzón de correo electrónico receptor”. El certificado que QDQ ha aportado responde a la definición del servicio que hace el Condicionado del contrato. Así, QDQ ha aportado un “certificado digital” de “Lleida.net” en el que consta que “La operadora de telecomunicaciones LLEIDA NETWORKS Servèis Telmàtic, S.A., certifica que el usuario registrado con nombre/razón social QDQ Media, S.A.U., (…) ha enviado un correo electrónico certificado al destinatario ***EMAIL.1 a las 09 horas 31 minutos del día 13 de julio de 2015 (….). Consta como remitente del email ***EMAIL.2, reenviado en nombre de la Sra. ***NOMBRE.1 , ***2@qdqmedia.com con el siguiente contenido (…)”. Contenido que no es otro que el de la carta de requerimiento de pago de fecha 10/07/2015 antes mencionada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 El certificado digital que QDQ aporta termina diciendo: “El correo electrónico fue entregado correctamente, según consta en nuestros registros a las 09 horas 32 minutos del día 13 de Julio de 2015 (09.32 GMT +2), adjuntándose al final de este certificado los detalles de la entrega”. (El subrayado es de la AEPD) Ahora bien, las afirmaciones taxativas que incorpora el certificado de Lleida.net no han quedado acreditadas por la documentación que aporta, esto es, los detalles técnicos que se adjuntan a dicho certificado. El Anexo relativo a los detalles técnicos dice versar sobre los “Detalles del envío y entrega a los destinatarios o a sus agentes electrónicos debidamente autorizados”. En el presente caso esos detalles técnicos son los siguientes:
  9. a)
  10. b)
  11. c)Detalles de las cabeceras del correo electrónico: “from ***EMAIL.2 to ***EMAIL.1,” siendo el asunto “Incidencia financiera con QDQMedia”, “resent – from” “***2@qdqmedia.com. Detalles del dominio destino: Se hace constar que en el momento del envío el correo electrónico enviado a cuentas del dominio “***DOMINIO.1”, era gestionado por el servidor “5***DOMINIO.1”. Detalles del registro de sistema: En el que se indica “to=<***EMAIL.1>, ...........” (folios 66 y 67) Tras el análisis de los detalles técnicos se concluye que únicamente consta acreditado el envío de un correo electrónico –cuyo texto incluía un requerimiento de pago a nombre del denunciante de una deuda por importe de 235,85 euros- con origen en la cuenta ***EMAIL.2 y que iba destinado a la cuenta ***EMAIL.1 . Ahora bien, tal documentación en ningún caso acredita la “recepción” del referido correo por el destinatario. Llegados a este punto parece conveniente recordar que en el envío y recepción de un mensaje a través de correo electrónico participan los siguientes actores
  12. a)Terminal remitente
  13. b)Servidor de correo del dominio remitente (MTA1)
  14. c)Servidores de correo intermedios (MTA2….MTAn)
  15. d)Servidor de correo del dominio destinatario (MDA)
  16. e)Terminal destinatario Así, el esquema simplificado del envío de un correo electrónico, entre un remitente y un destinatario cuyas cuentas de correo son gestionadas por servidores de correo ubicados en distintos dominios, vendría a ser el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 1) Cuando el remitente quiere enviar un correo electrónico (en el presente caso desde la cuenta ***EMAIL.2) al denunciante (***EMAIL.1), su sistema de correo electrónico se comunica con el servidor de correo electrónico del dominio del remitente (MTA1). Para que este haga llegar el mensaje a su destinatario. 2) El mensaje de correo sale del servidor MTA1 y es transmitido a través de una sucesión de servidores de correo intermedios (MTA2….MTAn) ubicados en Internet hasta que finalmente llega al servidor del dominio destinatario (MDA). 3) El mensaje que se encuentra almacenado en el servidor MDA, no será descargado en el terminal del destinatario y mostrado a éste hasta que se haya conectado al servidor de correo. Lo descrito en este último punto es relevante desde el punto de vista temporal, ya que las comunicaciones entre el remitente y el servidor de destino se producen de manera sucesiva y en un breve espacio de tiempo (en un escenario de funcionamiento normal, en cuestión de minutos), mientras que la descarga del correo electrónico en el terminal del destinatario no se producirá hasta que éste se conecte al servidor, lo que podría ocurrir mucho tiempo después. El mensaje de correo transita por una sucesión de servidores de correo MTA 1, MTA2,…. , MTAn para llegar al servidor de correo del dominio de la cuenta destinataria MDA. A continuación se relacionan una serie de casos en los que la comunicación pudo no ser recibida y al mismo tiempo no se registró un error en el servidor origen:
  17. a)Ausencia de respuesta: El protocolo SMTP no exige a los servidores que lo implementan la obligación de responder a las solicitudes con mensajes de error en el caso de que estos ocurran. El protocolo determina como deben de ser codificados determinados tipos de error de forma que cumplan con éste, pero es la configuración de los servidores de correo la que establece si ante un determinado error se responde con el mensaje correspondiente o no. Un ejemplo de este tipo de configuración sería un servidor de correo electrónico que al recibir un correo destinado a una cuenta inexistente no comunica el error al servidor origen. Este tipo de configuración suele hacerse con el fin de evitar los ataques que se dedican a probar las cuentas de correo de un dominio con el fin de averiguar cuáles existen y cuáles no.
  18. b)Descartado como spam: Los servidores y algunos clientes de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 acostumbran a incorporar programas anti spam, anti virus y sistemas de verificación del origen de los correos en base a reputación que pueden hacer que un correo electrónico, aunque no sea malicioso ni spam, sea clasificado como tal. Si se da esa circunstancia, no se produce ninguna comunicación de error en el envío al remitente caso y, en función de la configuración del servidor receptor, el mensaje podría ser borrado (en torno al 85% del correo electrónico que recibe un servidor de correo es spam) o bien almacenado temporalmente en una carpeta de correo no deseado que no es accesible al destinatario.
  19. c)Error interno: En la comunicación 3 se produce un error. En este caso el error, que ocurre dentro de la red de la organización que gestiona el correo del destinatario puede no remitir al servidor remitente un mensaje de error (informar sobre errores internos a entidades externas no es habitual) y el destinatario nunca ha llegado a recibir el correo electrónico.
  20. d)Error en la entrega: En ocasiones pueden producirse errores en la comunicación 4 que impiden que aunque un mensaje de correo se encuentre en el servidor, pueda ser descargado o visualizado. Este tipo de errores tampoco tienen por qué ser notificados al servidor remitente.
  21. e)Doble error: Cabe la posibilidad de que ocurriese un error pero que la comunicación de dicho error al servidor remitente fallase o que se produjera un nuevo error, esta vez en el propio registro del mensaje de error recibido. En el presente caso los documentos que la denunciada ha aportado a la AEPD no permiten ni siquiera acreditar que el correo electrónico enviado por Lleida.net se hubiera recibido en el servidor del correo de destino. En definitiva, la denunciada ha facilitado a la AEPD en prueba de que efectuó el preceptivo requerimiento de pago al deudor, anterior a la comunicación de sus datos a ASNEF, tanto en el curso de las actuaciones de investigación previa como con sus alegaciones al acuerdo de inicio del expediente, el certificado de Lleida.net. anteriormente analizado. Documento que contiene evidencias del envío de un mensaje remitido desde la dirección de correo ***EMAIL.2 a la cuenta de destino ***EMAIL.1, pero no incluye evidencias de la entrega de dicho correo electrónico al destinatario. C. Es determinante la acreditación de que se recibió por el destinatario (en este caso el denunciante) el correo electrónico a través del cual QDQ le requería el pago de la deuda. Únicamente si ese extremo resulta probado podemos entender cumplida la obligación impuesta por el artículo 38.1.
  22. c)del RLOPD al acreedor que informa al fichero datos de terceros. El cumplimiento de esta obligación legal es condición indispensable para que la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial sea respetuosa con la normativa de protección de datos de carácter personal. La SAN de 14/11/2016 (Rec. 1432/2015) se ha pronunciado sobre la relevancia de probar la “recepción por el destinatario” del correo electrónico a través del cual se le requiere el pago de la deuda previo a la inclusión de sus datos en un fichero de solvencia y se le informa de que en caso de no atender el pago en plazo sus datos podrían ser incluidos en un fichero de morosidad. La Sentencia precitada desestimó el recurso contencioso administrativo interpuesto por la entidad sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 relación con el artículo 38.1.c, del RLOPD, por cuanto el requerimiento de pago se había efectuado por correo electrónico al email del denunciante sin que se tuviera constancia de la recepción del email por el destinatario. En su Fundamento de Derecho cuarto dice: “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” Añade que “A este respecto, resulta interesante lo declarado por esta Sala en relación con cartas enviadas conteniendo el requerimiento en cuestión. Este Tribunal en su Sentencia de 15 de septiembre de 2011 –recurso nº. 341/2010-, siguiendo una línea jurisprudencial consolidada, declara que ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) Trasladando las consideraciones realizadas a los hechos que se someten a la valoración de esta Agencia se concluye que QDQ, en tanto no ha demostrado la recepción por el denunciante del correo electrónico de requerimiento de pago que envió a través de Lleida.net, no cumplió la obligación que le impone el artículo 38.1.c del RLOPD en relación con los artículos 4.3 y 29.4 de la LOPD de conformidad con el criterio jurisprudencial de la Sala de lo Contencioso administrativo de la Audiencia Nacional antes citado. D. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas (…) que resulten responsables de los mismos a título de dolo o culpa”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia. Paralelamente, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) ha venido entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia que debe observarse se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. Se suma a lo expuesto que la normativa de protección de datos además de supeditar la legalidad de la inclusión de los datos del tercero deudor en un fichero de solvencia al cumplimiento de los requisitos descritos en el artículo 38.1 del RLOPD “refuerza” la diligencia que ha de desplegar el acreedor informante para su cumplimiento. Esta disposición señala que el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la AEP documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo –por tanto, también el descrito en el apartado 1.c, del precepto- y del requerimiento previo al que se refiere el artículo 39 del RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 Así las cosas, a tenor de la exposición precedente hemos de concluir que en el presente caso, QDQ, omitiendo la diligencia que estaba obligada a desplegar en el cumplimiento de las obligaciones que le imponen la LOPD y el RLOPD, vulneró el artículo 4.3 de la citada Ley Orgánica en relación con el artículo 29.4 y en relación también con el artículo 38.1 de su Reglamento de desarrollo, conducta que es subsumible en el tipo infractor del artículo 44.3.
  23. c)LOPD. V QDQ adujo en sus alegaciones al acuerdo de inicio del presente expediente sancionador que el medio empleado para efectuar el preceptivo requerimiento de pago al deudor, previo a la inclusión de sus datos en los ficheros de solvencia, es –según sus palabras- “un medio aceptado y reconocido por la Agencia Española de Protección de Datos”, afirmación que justifica en la resolución de archivo que esta Agencia dictó en el E/5178/2015, de fecha 17/05/2015, en la que se consideró cumplido el requisito del artículo 38.1.c del RLOPD al haber “enviado” al denunciante “un correo electrónico certificado”. Si bien es cierto que la AEPD dictó la resolución de archivo mencionada también lo es que son numerosas las Sentencias dictadas por la Audiencia Nacional antes y después de la aludida resolución en las que el Tribunal ha exigido, para el caso de que el requerimiento se efectúe por medio de email, que quede acreditada la “recepción” del requerimiento por el destinatario, pues sólo en tal caso puede entenderse probado el cumplimiento de la obligación que el artículo 38.1.c del RLOPD impone en desarrollo de los artículos 4.3 y 29.4 de la LOPD. Y la “recepción” del requerimiento por el destinatario a la que alude la Audiencia Nacional no es equiparable al “envío” de un correo electrónico, sea o no certificado, que es el hecho que se dio por cumplido en la resolución de esta Agencia que la entidad denunciada invoca en apoyo de su pretensión. Por otra parte subrayar que en la propuesta de resolución del expediente que nos ocupa se hizo constar erróneamente que QDQ había sido parte recurrente en los procedimientos contenciosos en los que se dictaron las SSAN de 04/11/2016 (Rec. 1432/2015) y de 28/03/2017 (Rec. 1714/2015) cuando lo cierto es que no fue esa entidad sino otra, “NBQ”, la sancionada por la Agencia y recurrente en vía contenciosa. VI El artículo 45 de la LOPD establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  24. a)El carácter continuado de la infracción.
  25. b)El volumen de los tratamientos efectuados.
  26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 de carácter personal.
  27. d)El volumen de negocio o actividad del infractor.
  28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. f)El grado de intencionalidad.
  30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso no se aprecia ninguna de las circunstancias descritas en el artículo 45.5 LOPD, por lo que procede sancionar la infracción cometida con una multa cuyo importe oscile entre 40.001 euros y 300.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 al tener la infracción cometida la consideración de infracción grave. Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD consideramos que concurren en el supuesto examinado diversas circunstancias que operan como agravantes de la conducta enjuiciada: -El carácter continuado de la infracción, apartado a): Circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. En el presente caso los datos personales del afectado se mantuvieron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 durante casi dos meses en el fichero ASNEF incumpliendo las garantías que impone la Ley Orgánica 15/1999 y su Reglamento de desarrollo. -El grado de intencionalidad, apartado f): Esta expresión debe entenderse como equivalente a grado de culpabilidad y no cabe duda de que QDQ omitió la diligencia que era procedente, atendidas las circunstancias del caso en el cumplimiento de la obligación que le impone el artículo 4.3 LOPD en relación con el artículo 38.1.
  39. c)RLOPD a lo que se añade que el RLOPD, artículo 38.3, refuerza la diligencia que ha de desplegar en el cumplimiento de esa obligación exigiendo expresamente a la entidad informante que conserve la documentación acreditativa de su cumplimiento. -La naturaleza de los perjuicios causados, apartado h): La Audiencia Nacional ha declarado a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Así las cosas, habida cuenta de que no existen motivos para la aplicación de la atenuante privilegiada del artículo 45.5 de la LOPD y, dado que concurren varias de las agravantes descritas en el apartado 4 del artículo 45 de la Ley Orgánica 15/1999, se acuerda sancionar a QDQ MEDIA, S.A.U., con una multa de 50.000 € (cincuenta mil euros), cuantía próxima al mínimo fijado legalmente para la sanción de las infracciones graves (ex artículo 45.2 LOPD), por la infracción del artículo 4.3, en relación con el artículo 29.4, de la LOPD en relación también con el artículo 38.1.
  40. c)del RLOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad QDQ MEDIA, S.A.U., por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD y en relación asimismo con el artículo 38.1.
  41. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  42. c)de la LOPD, una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica 15/1999. SEGUNDO: NOTIFICAR la presente resolución a QDQ MEDIA, S.A.U. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  43. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.