PS-00630-2016

1/9 Procedimiento Nº PS/00630/2016 RESOLUCIÓN: R/01742/2017 En el procedimiento sancionador PS/00630/2016, instruido por la Agencia Española de Protección de Datos a la entidad SISTEMA FINANCIEROS MOVILES, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/03/2016, tiene entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a SISTEMA FINANCIEROS MOVILES, S.L. (en lo sucesivo SFM), manifestando que la citada empresa ha incluido sus datos en ASNEF y BADEXCUG sin requerimiento previo de pago. Además, declara que no ha solicitado ni recibido préstamo alguno a esta financiera. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SFM teniendo conocimiento de lo siguiente: En su escrito de SFM ha remitido la siguiente información relativa a la denunciante: En relación a la contratación: El cliente solicito un préstamo con la empresa con n" de préstamo ***PRESTAMO.1 por un importe de 200 €. Fecha de concesión 18/12/2015 Fecha de vencimiento 08/01/2016 La denunciante se registró el día 18/12/2015 a través de la página web www.creditomas.es facilitando los datos personales siguientes: Nombre: A.A.A. DNI: ***DNI.1 Móvil: ***TEL.1 Email: ***EMAIL.1 Teléfono fijo: ***TEL.2 Dirección: (C/...1) Albacete El cliente una vez se registra en la página web identifica sus datos bancarios y su identidad con la herramienta Instantor. Una vez introducido sus datos tiene dos opciones para tramitar el préstamo bien mediante el envío de la documentación (DNI, cuenta bancaria, justificante de ingresos) y la adjunte por email, o identificándose con la herramienta Instantor https://www.instantor.com que es la opción elegida por la denunciante. Si la certificación de identidad se realiza mediante la herramienta Instantor se comprueba la verificación de identidad, cuenta bancaria y de ingresos. Si todo está correcto se procede a realizar la transferencia del préstamo. No se ha solicitado copia del DNI. El día 18/12/2015 a las 17:18 horas se pidió información sobre sus ingresos vía email para poder terminar de tramitar su préstamo. El mismo día 18/12/2015 se recibió la nómina y captura de pantalla de su cuenta online. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Tras la verificación de dicha documentación se le concedió el préstamo. Todas las comunicaciones se recibieron por correo electrónico y SMS En fecha 21/03/2016 recibieron una denuncia del cliente presentada ante la policía, especificando que ha sufrido una suplantación de identidad, realizando los trámites correspondientes y contestando al cliente en fecha 23/03/2016 que sus datos habían sido cancelados en sus sistemas Al recibir la denuncia se procedió a dar de baja a la afectada de los ficheros de morosidad y a bloquear el perfil en la base de datos. En relación al requerimiento de pago previa inclusión en ficheros de solvencia: Las comunicaciones de impago se realizan a través de una empresa externa "MailCertificado". La forma de contrato entre las entidades viene detallado en las Condiciones Generales de contrato del Servicio Externo Mail Certificado (***EMAIL.2) No existe contrato firmado, sino aceptación del servicio a través de internet. El día 19/01/2016 a los 11 días de impago, según viene especificado en los Términos y condiciones (https://creditomas.es/condiciones) se le notifica fehacientemente la deuda y la inclusión en los ficheros de ASNEF mediante MailCertificado. Se adjunta certificado de la empresa Mailcertificado, indicando que en fecha 19/01/2016 se envió un correo a la dirección ***EMAIL.1 que fue entregado. El contenido certificado de esta comunicación es un requerimiento de pago personalizado en el que se le informa que el impago de las cantidades adeudadas puede provocar su inclusión en ficheros de solvencia patrimonial. Este correo electrónico fue correctamente entregado, pero caducó en fecha 18/02/2016 debido a que el tiempo de acceso a la comunicación caducó. TERCERO: Con fecha 20/12/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SFM por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. b)y 44.3.
2. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SFM mediante escrito de fecha 17/01/2017 formuló en síntesis las siguientes alegaciones: Inexistencia de culpa y por tanto de infracción de los preceptos que se imputan; que existió consentimiento del afectado y que los datos comunicados al fichero de morosidad eran exactos y veraces y acorde con la situación de aquel momento; que se proceda al archivo del expediente. QUINTO: Con fecha 23/02/2017 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01872/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00630/2016 presentadas por SFM y la documentación que a ellas acompaña. Solicitar a la denunciante cualquier documentación que obre en su poder relacionada con procedimiento sancionador PS/00630/2016 que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, si lo estima oportuno, cualquier otra manifestación en relación con los hechos denunciados. Solicitar a ING BANK que informe quienes son los titular/es de la cuenta nº ***CUENTA.1; la documentación solicitada para acreditar la personalidad de los contratantes; si la citada cuenta recibió transferencia procedente de SFM y fecha de apertura y cancelación de la cuenta. Solicitar a ORANGE que informe quienes son los titular/es de la línea asociada al número ***TEL.1 desde el 18/12/2015, especificando los periodos de cada uno de ellos si hubiera existido más de un titular de la línea. En fechas 14/03/2017 y 10/04/2017 ING BANK y el 20/04/2017 ORANGE dieron respuesta a las pruebas practicadas cuyo contenido obra en el expediente. SEXTO: En fecha 04/05/2017, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivara a SFM por la supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), y que se le sancionara con multa de 16.000 € por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
3. c)de dicha norma, de conformidad con el artículo 45.5 de la LOPD. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de la denunciada, en escrito de 07/06/2017 ha formulado, en síntesis, las siguientes alegaciones: la constancia de la entrega del certificado por la empresa de notificaciones MailCertificado que suerte plenos efectos jurídicos y es eficaz la notificación practicada; que los datos de carácter personal eran exactos y respondían con veracidad a la situación actual del afectos a quien se identificó como tal, no existiendo culpa ni antijuridicidad en el hecho denunciado; que se acurde el archivo del procedimiento. HECHOS PROBADOS PRIMERO. 12/03/2016 tuvo entrada en esta Agencia Española de Protección de Datos escrito de la afectada denunciando a SFM por la incorporación de sus datos personales a los ficheros de morosidad ASNEF y BADEXCUG como consecuencia de una deuda derivada de un préstamo que no ha solicitado, entendiendo que se ha suplantado su personalidad. SEGUNDO. La denunciante ha aportado copia de su DNI cuyo número es ***DNI.1, con domicilio en (C/...1), Albacete, coincidente con el que figura en su escrito de denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 TERCERO. El denunciante ha aportado notificaciones de ASNEF-EQUIFAX y EXPERIAN de fechas 01/03/2016, informándole que sus datos habían sido incluidos en los ficheros ASNEF y BADEXCUG respectivamente como consecuencia de una deuda contraída con SFM por importe de 297,90 euros (ASENEF) y 29,79 (BADEXCUG) en calidad de titular con fechas de alta 29/02/2016 (ASNEF) y 28/02/2016 (BADEXCUG). CUARTO. En los ficheros informáticos de SFM figuran los datos de carácter personal relativos a la denunciante: nombre y apellidos, domicilio, DNI, teléfonos móvil y fijo, dirección de correo electrónico), vinculados a la contratación de un préstamo (microcrédito), por importe de 200 euros. La contratación se realizó a través de internet. QUINTO. ORANGE en escrito de 20/04/2017 ha manifestado que “El titular de la línea ***TEL.1 desde el 18 de diciembre de 2015 hasta el 26 de enero de 2017, correspondía a Doña la denunciante con NIF ***DNI.1”. SEXTO. ING BANK ha informado que la cuenta nº ***CUENTA.1 figura como titular la denunciante (si bien el domicilio es (C/...2)-Madrid). Consta la firma de la denunciante y su DNI. El 22/12/2015 la citada cuenta recibió una trasferencia de 200 euros procedente de Creditomas. SEPTIMO. La denunciante formuló denuncia en Albacete, el 17/03/2016, ante la Oficina de Denuncias de la Policía Nacional, manifestado que la financiera Creditomas.es le estaba reclamando una deuda derivada de un crédito ignorando su importe y que tras mantener contacto con la misma no le habían querido aportar dato alguno a consecuencia de la LOPD; que dicha financiera le ha incluido en ficheros de morosos; que en ningún momento ha solicitado préstamo alguno ignorando quien ha podido usar su identidad para ello (folio). En la misma fecha y en nueva comparecencia la denunciante manifestó que la persona que está usurpando su identidad abrió una cuenta con sus datos en ING BANK la cual ha podido cancelar. OCTAVO. Con fecha 12/03/2016 la denunciante ejercitó ante SFM derecho de cancelación de sus datos de carácter personal; con fecha 23/03/2016 SFM le manifestaba que “Indicarle que hemos procedido a dar de Baja sus datos en nuestro sistema según conformidad con lo previsto en el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de Carácter Personal y en los artículos 31 y 32 del Real Decreto 1720/2007, de 21 de diciembre por el que se desarrolla la misma y en consecuencia”. Asimismo, con fecha 05/04/2016 solicito la cancelación de sus datos de carácter personal que figuraban registrados en el fichero ASNEF; EQUIFAX le respondía el 125/04/2016 que “no existen datos inscritos asociados a su identificador, porque la entidad acreedora ha procedido a su cancelación“. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a SFM la comisión de una infracción del artículo 6.1 de la LOPD que determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Y en el apartado 2 del citado artículo se establece: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, la cuestión fundamental radica en determinar si SFM contaba con el consentimiento inequívoco del titular de los datos para el tratamiento realizado o si adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo el consentimiento para el tratamiento era su titular. En relación con la contratación denunciada, la afectada ha manifestado que conoció que sus datos personales se encontraban incluidos en los ficheros de morosidad ASNEF y BADEXCUG como consecuencia de las notificaciones de inclusión remitidas por ASEF-EQUIFAX y EXPERIAN, responsables de los citados ficheros; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 inclusión instada por SFM y derivada de una situación de incumplimiento con la citada empresa y que jamás había solicitado ni recibido cantidad alguna en concepto de préstamo en las cantidades que se le estaban reclamando. En el transcurso de las actuaciones de investigación llevadas a cabo por los servicios de inspección de este centro directivo y de los elementos de prueba aportadas a los largo del procedimiento no se aprecia vulneración de la normativa en materia de protección de datos. La entidad denunciada ha aportado impresión de sus sistemas informáticos donde constan los datos de la denunciante: nombre y apellidos, dirección, DNI, número de teléfono móvil, número de teléfono fijo, dirección de correo electrónico, etc. Asimismo, indica que la denunciante había solicitado la concesión de un microcrédito por un importe de 200 euros, siéndole concedido el 18/12/2015, aportando la copia del contrato y como documentos acreditativos de la personalidad de la contratante: copia del DNI, nómina y captura de cuenta bancaria por e-mail que tras su verificación procedió a conceder. En periodo probatorio se solicitó a la entidad bancaria donde estaba domiciliada la cuenta y a la operadora de telefonía que aportaran la documentación del titular de la cuenta y del móvil coincidiendo con los datos de la denunciante; asimismo, la entidad bancaria ha acreditado que el 18/12/2015 se recibió un ingreso de 200 euros de Creditomas.com (SFM) y que la citada cuenta había sido aperturada el 21/11/2015 y cancelada el 22/02/2016. A mayor abundamiento, recibida por la entidad la denuncia formulada ante la Policía Nacional el 17/03/2016, la entidad procedió a excluir los datos personales de la denunciante de ficheros de solvencia y a bloquear los mismos en su base de datos. La valoración que merece todos los documentos aportados, tanto por SFM como por las entidades a quienes se les ha requerido, es la de que la entidad ha actuado con una razonable diligencia, observando las normas vigentes que regulan el consentimiento en la contratación y por ende en el tratamiento de dato. Por tanto, en lo que se refiere al consentimiento en el tratamiento de los datos de la denunciante la conducta examinada no puede ser es merecedora de reproche o sanción administrativa conforme a la normativa de protección de datos, pues la presencia del elemento subjetivo de la infracción es esencial para exigir responsabilidad en el marco del derecho administrativo sancionador. La razón es que la entidad SFM ha observado en el desarrollo de su actividad empresarial el grado de diligencia que es exigible a fin de garantizar el derecho fundamental a la protección de datos personales. IV En segundo lugar, se imputa a SFM en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley". Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: "Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos". El artículo 38.1 del Reglamento de desarrollo de la LOPD señala que para la inclusión de los datos: "Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". V La infracción del artículo 4.3 de la LOPD que se imputó a SFM en el acuerdo de inicio del procedimiento sancionador tenía su razón de ser en la infracción del artículo 6.1 de la LOPD presuntamente cometida por la entidad denunciada. No obstante, al estimarse que SFM había tratado los datos de la denunciante vinculados a la contratación de un microcrédito sin su consentimiento, todo indicaba que la deuda derivada de dicha contratación no era –en relación con la afectada- una deuda “cierta”, por cuanto era ajena a la misma. Desde esa perspectiva se consideró infringido el artículo 38.1.
5. a)del RLOPD en relación con el artículo 4.3 y el 29.4 de la LOPD. Sin embargo, como ya se ha indicado en el fundamento tercero, tanto SFM como las empresas informantes, se ha aportado elementos suficientes elementos de prueba e indiciarios, lo que significa que la entidad ha acreditado mantener la diligencia que era exigible y que las circunstancias del caso requerían. Constituye un hecho incontrovertido que SFM incluyó los datos personales del denunciante (nombre, apellidos, NIF) en los ficheros ASNEF y BADEXCUG para su registro como consecuencia de una deuda por importe de 297,90 euros (ASNEF) y 29,79 (BADEXCUG) en calidad de titular con fechas de alta 29/02/2016 (ASNEF) y 28/02/2016 (BADEXCUG). Asimismo, es obvio que en cuanto existió una suplantación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 de personalidad de la afectada por un tercero, la deuda incluida en el fichero de solvencia patrimonial no era cierta respecto de la denunciante, de modo que se incumplía el apartado a, del artículo 38.1 del RLOPD. No obstante, al haber quedado plenamente acreditado que SFM actuó con total diligencia falta el elemento subjetivo de la culpabilidad por lo que la conducta analizada, pese a ser antijurídica, no es merecedora de sanción ni encuadrable en el tipo sancionador del artículo 44.3.
6. c)de la LOPD. Por cuanto antecede, se estima procedente archivar las actuaciones seguidas contra TME por vulneración del artículo 4.3, en relación con el 29.4, de la LOPD. VI En resumen, los hechos probados demuestran que SFM incluyó en sus ficheros, asociados a un contrato de préstamo (microcrédito) por un importe de 200 euros, los datos personales de la denunciante (nombre, apellidos, NIF, teléfonos, dirección de correo electrónico, etc.), sin su consentimiento; que el tratamiento de los datos se mantuvo desde la contratación el 18/12/2015 hasta que la entidad denunciada recibió la denuncia formulada ante la Policía por la denunciante el 17/03/2016, procediendo a excluir los datos personales de la denunciante de los ficheros de solvencia y bloquear los mismos en su base de datos; que los datos personales fueron comunicados por la denunciada a los ficheros de morosidad asociados a una deuda que no era cierta, toda vez que no fue la denunciante sino un tercero que suplantó su identidad y contrató con la entidad denunciada, SFM. Asimismo obra en el expediente la documentación que acredita la suplantación de la denunciante. El principio de culpabilidad, que preside el Derecho Administrativo Sancionador y excluye la responsabilidad objetiva en nuestro Ordenamiento Jurídico, obliga a acordar el archivo de un expediente sancionador en aquellos supuestos en los que, como el que aquí acontece, la conducta de la entidad imputada ha sido conforme con la diligencia que el desarrollo de su actividad empresarial exige; por cuanto no concurre en tal caso – en ninguna de sus diversas manifestaciones, dolo o culpa, el elemento subjetivo de la infracción. En consecuencia la conducta de la denunciada no es encuadrable en los tipos sancionadores previstos en la LOPD, debiendo acordarse el archivo las actuaciones seguidas por infracción de los artículos 6.1 y 4.3 de la citada Ley Orgánica. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad SISTEMA FINANCIEROS MOVILES, S.L., por LA supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
7. b)de la LOPD. SEGUNDO: ARCHIVAR a la entidad SISTEMA FINANCIEROS MOVILES, S.L., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
8. c)de la LOPD. TERCERO: NOTIFICAR la presente resolución a SISTEMA FINANCIEROS MOVILES, S.L. y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es