PS-00675-2016

1/10 Procedimiento Nº PS/00675/2016 RESOLUCIÓN: R/01474/2017 En el procedimiento sancionador PS/00675/2016, instruido por la Agencia Española de Protección de Datos a la entidad DR XXXX HEALTH CENTRE, S.L., vista la denuncia presentada por Dª. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de diciembre de 2016, tuvo entrada en esta Agencia un escrito remitido por Dª. A.A.A. (en lo sucesivo la denunciante) en el que declara que el pasado mes de mayo de 2015 precisó los servicios médicos de la clínica Dr XXXX Health Centre, S.L., por lo que se emitió una factura, que se aporta, y en la que se especifica el tipo de tratamiento y el internamiento que conllevó. Manifiesta la denunciante que los servicios recogidos en la factura, a su nombre y abonados en su cuenta, fueron encargados por ella. Sin embargo la clínica envió la factura a su hija sin que ella hubiera prestado su consentimiento. La hija de la denunciante entregó la factura a su padre, exmarido de la denunciante, quien la utilizó en un procedimiento civil en su contra. Expone que la clínica ha entregado indebidamente una documentación privada y han vulnerado su derecho a la protección de datos, causándole daños evidentes, al haber resultado perjudicada en un procedimiento civil por la exhibición que su marido hizo del documento mencionado. Comunica la denunciante que ha interpuesto denuncia contra su exmarido por los hechos relacionados y en ese procedimiento el centro médico informó al Juzgado que entregó la factura a su hija con su consentimiento telefónico. Se aporta copia de la contestación del centro médico al oficio del Juzgado. SEGUNDO: De lo anterior se desprende, de conformidad con las evidencias de que se dispone, que la clínica que atendió a la denunciante envió la factura por los servicios prestados, con datos del tratamiento e internamiento, a un tercero sin que conste consentimiento suyo, lo que podría suponer una vulneración del deber de secreto por parte de la entidad denunciada. TERCERO: Con fecha 19 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a clínica Dr XXXX Health Centre, S.L., por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 4.000 euros, de acuerdo con el artículo 44, apartados 3, 4 y 5 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 CUARTO: Notificado el acuerdo de inicio, la Clínica Dr XXXX Health Centre, S.L., mediante escrito de fecha 2 de febrero de 2017, formuló alegaciones, significando, que los hechos relatados en el acuerdo de inicio no recogen los pormenores de la relación médico-paciente que se desarrolló en el centro médico denunciado. El primer contacto con la Sra. A.A.A. se produjo a petición de sus hijos mayores, Dª C.C.C. y Don B.B.B. como consecuencia de sus sospechas de padecimiento de su madre de graves patologías; concertando una primera cita para el mes de mayo de 2015, a la que acudió acompañada por ellos durante la exploración y la visita inicial de la que se desprendió un posterior internamiento. Al no indicar nada la denunciante hizo entender a la clínica que daba su consentimiento para informar a sus descendientes. La infracción consiste en la entrega de una factura por servicios médicos a su hija C.C.C., cuando contábamos con el consentimiento de la denunciante de forma expresa (al facilitar su teléfono como persona de contacto). Además, la Ley de Autonomía del Paciente establece la posibilidad de informar a las personas vinculadas al paciente, si lo permite de manera expresa o tácita. También habilita la información a los familiares cuando el paciente carezca de capacidad para entender la información. Por ello, la cesión de datos está habilitada por una ley y no requiere el consentimiento del afectado. La hija de la paciente, que acompaño a su madre en todo momento, conocía el tratamiento al que se había sometido. Debido a las patologías graves de la paciente, estima la Clínica que tenía dificultades para comprender la información que le proporcionaban, tanto desde el punto de vista médico como económico. Indican que la propia denunciante indicó que se remitiese la factura a su hija para que comprobase los conceptos y precios de los servicios a facturar y así poder hacerse cargo de los pagos con tranquilidad. La Clínica no se puede hacer responsable de lo que hizo después con la factura la hija. En la factura no hay datos especialmente protegidos. No se han acreditado perjuicios. Existen atenuantes a su actuación, como son que han dado cursos de formación en protección de datos a los trabajadores, no se han ocasionado perjuicios; se ha iniciado un protocolo para ver a que familiares se informa tras el ingreso de un paciente, que tendrán que autorizarlo por escrito; se les advertirá de que tienen que mantener la confidencialidad de la información que se les facilite a los familiares; es un hecho puntual, no hay ánimo de lucro, no hay intencionalidad ni reincidencia. QUINTO: Con fecha 20 de febrero de 2017, se inició el período de práctica de pruebas, en el que se acordó lo siguiente: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Doña A.A.A. y su documentación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00675/2016 presentadas por Dr XXXX Health Centre, S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 11 de abril de 2017, la Directora de la Agencia Española de Protección de Datos acordó el cambio de Instructor del presente procedimiento sancionador, notificándose a la entidad denunciada. SÉPTIMO: Con fecha 17 de abril de 2017, el Instructor del procedimiento formuló propuesta de resolución, proponiendo la imposición de una sanción de 4.000 € (cuatro mil euros), a la clínica Dr. XXXX Health Centre, S.L., por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 OCTAVO: Con fecha 11 de mayo de 2017, se recibió en esta Agencia escrito de alegaciones de la entidad Dr. XXXX Health Centre, S.L., en el que insisten en la colaboración de la familia en la recuperación de la paciente y la posibilidad de informarles, según habilita la LAP. Se produce una divergencia de interpretación de las circunstancias del caso ya que la entidad entiende que existía consentimiento de la denunciante para que le facilitasen la factura a una tercera persona que era su hija, como encargada del abono de las mismas. HECHOS PROBADOS PRIMERO: Doña A.A.A. recibió tratamiento médico en la Clínica Dr XXXX Health Centre, S.L., en la cual también estuvo ingresada. SEGUNDO: La primera visita la realizó acompañada de sus hijos Dª C.C.C. y Don B.B.B.. TERCERO: Doña A.A.A. firmó el consentimiento informado en su propio nombre, indicando que admitía el ingreso voluntario y aceptaba y comprendía el tratamiento médico. CUARTO: Doña A.A.A. facilitó los teléfonos de sus hijos en el apartado “personas de contacto en caso de emergencia”. QUINTO: La Clínica Dr XXXX Health Centre, S.L., envió la factura a nombre de la paciente y abonada por ella misma a su hija Dª C.C.C.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En primer lugar, la Clínica Dr XXXX Health Centre, S.L., indica que tenía el consentimiento para informar a los hijos que acompañaron a la paciente a la primera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 cita. La información sanitaria viene regulada en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en cuyos artículos 4 y 5 se indica lo siguiente: “El derecho de información sanitaria Artículo 4 Derecho a la información asistencial 1. Los pacientes tienen derecho a conocer, con motivo de cualquier actuación en el ámbito de su salud, toda la información disponible sobre la misma, salvando los supuestos exceptuados por la Ley. Además, toda persona tiene derecho a que se respete su voluntad de no ser informada. La información, que como regla general se proporcionará verbalmente dejando constancia en la historia clínica, comprende, como mínimo, la finalidad y la naturaleza de cada intervención, sus riesgos y sus consecuencias. 2. La información clínica forma parte de todas las actuaciones asistenciales, será verdadera, se comunicará al paciente de forma comprensible y adecuada a sus necesidades y le ayudará a tomar decisiones de acuerdo con su propia y libre voluntad. 3. El médico responsable del paciente le garantiza el cumplimiento de su derecho a la información. Los profesionales que le atiendan durante el proceso asistencial o le apliquen una técnica o un procedimiento concreto también serán responsables de informarle. Artículo 5 Titular del derecho a la información asistencial 1. El titular del derecho a la información es el paciente. También serán informadas las personas vinculadas a él, por razones familiares o de hecho, en la medida que el paciente lo permita de manera expresa o tácita. 2. El paciente será informado, incluso en caso de incapacidad, de modo adecuado a sus posibilidades de comprensión, cumpliendo con el deber de informar también a su representante legal. 3. Cuando el paciente, según el criterio del médico que le asiste, carezca de capacidad para entender la información a causa de su estado físico o psíquico, la información se pondrá en conocimiento de las personas vinculadas a él por razones familiares o de hecho. 4. El derecho a la información sanitaria de los pacientes puede limitarse por la existencia acreditada de un estado de necesidad terapéutica. Se entenderá por necesidad terapéutica la facultad del médico para actuar profesionalmente sin informar antes al paciente, cuando por razones objetivas el conocimiento de su propia situación pueda perjudicar su salud de manera grave. Llegado este caso, el médico dejará constancia razonada de las circunstancias en la historia clínica y comunicará su decisión a las personas vinculadas al paciente por razones familiares o de hecho.” En ningún momento la denuncia se refiere a esa información sanitaria que puede facilitarse a los familiares de la paciente; información que puede darse si la paciente no se ha opuesto. III El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este procedimiento ha quedado acreditado que la Clínica Dr XXXX Health Centre, S.L., entregó a la hija de la denunciante una factura, en la que figuraban, entre sus datos, los datos identificativos, nombre y apellidos de la paciente y el coste de su estancia durante su ingreso y el coste de los tratamientos efectuados. En este caso, ese deber de secreto comporta que la Clínica Dr XXXX Health Centre, S.L., responsable de los datos personales de sus pacientes, no puede revelarlos a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley; incluso cuando los receptores de los datos sean los familiares del paciente. IV Alega la entidad denunciada que no existió ninguna actuación que pueda ser considerada como infracción a la LOPD porque para la entrega de la factura por servicios médicos a su hija C.C.C. contaban con el consentimiento de la denunciante de forma expresa (al facilitar su teléfono como persona de contacto). En este sentido hay que indicar que el teléfono de la hija de la paciente estaba en los ficheros de la Clínica denunciada para avisarla en caso de una emergencia; hecho que nada tiene que ver con el consentimiento para facilitar los datos personales de la madre a su hija sin su consentimiento. Continúan alegando que la Ley de Autonomía del Paciente establece la posibilidad de informar a las personas vinculadas al paciente, si lo permite de manera expresa o tácita. También habilita la información a los familiares cuando el paciente carezca de capacidad para entender la información. Por ello, la cesión de datos está habilitada por una ley y no requiere el consentimiento del afectado. Como ya se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 señalado, una cosa es el consentimiento para que se informe del estado de salud de los familiares, regulado por la LAP y otra diferente es la comunicación de datos personales a terceros. Indican que debido a las patologías graves de la paciente, ésta tenía dificultades para comprender la información que le proporcionaban, tanto desde el punto de vista médico como económico. Si la paciente no estaba incapacitada legalmente, la información de sus datos personales no podían enviarla a sus representantes o tutores. Es más, las facturas fueron abonadas por la denunciante; si bien la Clínica ha manifestado que las pagó su hija no ha justificado dicha alegación. Estas alegaciones no puedes ser tenidas en cuenta, dado que, si bien el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). Conforme a esta doctrina jurisprudencial, es evidente la existencia, en este caso de, al menos, una falta de diligencia plenamente imputable a la clínica denunciada por haber tratado comunicado los datos identificativos de una de sus pacientes a una tercera persona, hecho que pudo haberse detectado si hubiera empleado la diligencia debida que le resulta exigible. V La conducta de la entidad denunciada se incardina en el artículo 44.3.
4. d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que la entidad imputada ha divulgado los datos identificativos de una de sus pacientes al entregarle a una tercera persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 (aunque fuera su hija no tenía consentimiento) una factura con su nombre y apellidos y la facturación del tratamiento. Dado que ha existido una vulneración en el deber de secreto por parte de la Clínica Dr XXXX Health Centre, S.L., en relación con datos personales de su paciente, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito del afectado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
5. a)El carácter continuado de la infracción.
6. b)El volumen de los tratamientos efectuados.
7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
8. d)El volumen de negocio o actividad del infractor.
9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
10. f)El grado de intencionalidad.
11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De acuerdo con los fundamentos anteriores, se deduce que por parte de la Clínica Dr XXXX Health Centre, S.L., se ha producido una vulneración del deber de secreto de los datos, que ha tenido como consecuencia que los datos personales de una de sus pacientes fueran vistos por un tercero no autorizado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada…sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Expone la entidad denunciada en sus alegaciones “
20. a)Que la supuesta infracción habría sido realizada una sola vez y producto de un hecho puntual
21. b)Que no ha existido ningún beneficio.
22. c)Que no ha habido intencionalidad alguna.
23. d)Que no se ha causado ningún perjuicio a ninguna persona.
24. e)Que con anterioridad a los hechos constitutivos de la supuesta infracción mi representada tenía implantados los procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la posible infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso la entidad denunciada ha manifestado también que se han establecido las medidas de seguridad adecuadas para asegurar el cumplimiento por los empleados de la normativa vigente sobre protección de datos. Puede también estimarse la concurrencia de varios apartados del artículo 45.4 de la LOPD por cuanto se trató de una única acción, no se consiguieron beneficios por la comisión de la infracción, y no ha habido intencionalidad. Debe entenderse por tanto que operan dichas circunstancias atenuantes de la responsabilidad. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
25. a)la existencia de intencionalidad o reiteración,
26. b)la naturaleza de los perjuicios causados,
27. c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valoradas en aplicación de dichos criterios, permiten, que en este caso, se considere procedente imponer la cuantía de la sanción en 4.000 euros, al haberse constatado una disminución cualificada de la culpabilidad. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Dr. XXXX Health Centre, S.L., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
28. d)de la LOPD, una multa de 4.000 euros, de conformidad con lo establecido en el artículo 45 apartados 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad Dr. XXXX Health Centre, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es