1/10 Procedimiento Nº PS/00721/2014 RESOLUCIÓN: R/00330/2015 En el procedimiento sancionador PS/00721/2014, instruido por la Agencia Española de Protección de Datos a D. C.C.C., vista la denuncia presentada por D. D.D.D., Dña. A.A.A. y Dña. B.B.B. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 4 de diciembre de 2014 tiene entrada en la Agencia un escrito de doña A.A.A., en el que se refiere a la ruptura sentimental de su hermana y denuncia al exnovio de esta, don C.C.C. (en lo sucesivo el denunciado), por utilizar tecnologías cibernéticas para acosar a las hermanas, difamarlas, amenazarlas e insultarlas. En particular, hace referencia a la publicación en internet, en distintos sitios web (Slideshare, Facebook, Instagram), de diversos detalles de la relación concluida, que incluyen los nombres y apellidos, e imagen fotográfica de ambas hermanas y, particularmente, detalles muy íntimos de la propia denunciante. Según expone, ha solicitado la cancelación de sus datos en varios medios, recibiendo confirmación de Facebook de que un perfil que se había creado suplantando su identidad había sido eliminado, pero no ha obtenido respuesta del servicio Slideshare. SEGUNDO: Por la Agencia se ha verificado, en fecha 11 de diciembre, que los contenidos referidos en la denuncia y publicados en la plataforma Slideshare no eran accesibles, informándose en la misma de que tanto los contenidos como la cuenta asociada habían sido “suspendidos”. TERCERO: En fecha 11 de diciembre tiene entrada una denuncia presentada por la hermana de la anterior denunciante, doña B.B.B., en la que manifiesta estar siendo sometida a un acoso cibernético de género por parte de su expareja, sintiéndose “amenazada, espiada, degradada, expuesta en su intimidad, acosada, difamada, vilipendiada e insegura”. Según expone, es profesora de instituto y el entorno de personas del pequeño pueblo en el que trabaja ha tenido acceso a los datos publicados. En el escrito alude a una nueva cuenta creada en Facebook por el denunciado con su propio nombre, en la que se expone su número de teléfono móvil y se reproducen distintas fotografías con la imagen de distintos miembros de la familia de las denunciantes, así como escritos en los que se relatan detalles muy íntimos de la relación concluida y de su entorno familiar y enlaces a otros contenidos que estaban alojados en la plataforma Slideshare. La denunciante se refiere asimismo a los 218 perfiles que han sido vinculados por el denunciado a su perfil, pertenecientes al entorno más cercano de la afectada, incluyendo el asociado a la institución en la que trabaja. CUARTO: En fecha 11 de diciembre tiene también entrada una denuncia de don D.D.D., el cual se refiere a los mismos contenidos y se declara padre de las dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 hermanas afectadas. Según expone, en la misma cuenta de Slideshare se habían publicado también datos referentes a su persona. QUINTO: En fecha 16 de diciembre por la Agencia se comprueba que los contenidos referidos, con datos de los tres denunciantes y asociados al citado perfil de Facebook, resultan accesibles para cualquier usuario de la red social. Según se aprecia, el nombre del perfil está formado por el apodo del denunciado, apareciendo como imagen de perfil una fotografía de la segunda denunciante. En el apartado de Amigos aparecen asociados diversos perfiles, muchos de ellos vinculados a instituciones religiosas. SEXTO: Con fecha 8 de enero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la denunciada, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. SÉPTIMO: Notificado el citado acuerdo de inicio, en fecha 28 de enero y 12 de febrero de 2015 se recibieron en esta Agencia escritos de alegaciones del denunciado manifestando, en particular: <<…le presento mi responsabilidad por los hechos realizados. En ellos consta la infracción del artículo 6.1 de la LOPD, hasta entonces desconocido por mi parte, por lo que me responsabilizo de la difusión de los datos personales de las personas denunciantes en Facebook y arrepintiéndome del daño que esto haya podido causar a tales personas. Sepa Usted que cuando se me comunicó tal infracción, lo primero que hice fue eliminar (…) mi perfil personal de Facebook, y con ello toda la información (…) Después de todo, considero que esto no deba justificar mis acciones pero sí, mi desconocimiento a dicha ley. Decir que me considero una persona responsable, y que estas acciones no están acorde a mí. El único motivo que puedo dar ante esto, es un ataque de impotencia o rabieta, por tanto, como tales hechos son de mi responsabilidad, acepto el establecimiento de la cuantía de la sanción donde se aplique la escala relativa a la clase de infracciones que preceda según la gravedad de estos actos, de acuerdo con lo previsto en el artículo 45.5 de la LOPD…>> OCTAVO: Al haber reconocido el denunciado los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 4 de diciembre de 2014 tiene entrada en la Agencia un escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 doña A.A.A., en el que se refiere a la ruptura sentimental de su hermana y denuncia al exnovio de esta, el denunciado por utilizar tecnologías cibernéticas para acosar a las hermanas, difamarlas, amenazarlas e insultarlas. En particular, hace referencia a la publicación en internet, en distintos sitios web (Slideshare, Facebook, Instagram), de diversos detalles de la relación concluida, que incluyen los nombres y apellidos, e imagen fotográfica de ambas hermanas y, particularmente, detalles muy íntimos de la propia denunciante. Según expone, ha solicitado la cancelación de sus datos en varios medios, recibiendo confirmación de Facebook de que un perfil que se había creado suplantando su identidad había sido eliminado, pero no ha obtenido respuesta del servicio Slideshare (folios 1 a 45). SEGUNDO: Por la Agencia se ha verificado, en fecha 11 de diciembre, que los contenidos referidos en la denuncia y publicados en la plataforma Slideshare no eran accesibles, informándose en la misma de que tanto los contenidos como la cuenta asociada habían sido “suspendidos” (folios 224). TERCERO: En fecha 11 de diciembre tiene entrada una denuncia presentada por doña B.B.B., en la que manifiesta estar siendo sometida a un acoso cibernético de género por parte de su expareja, sintiéndose “amenazada, espiada, degradada, expuesta en su intimidad, acosada, difamada, vilipendiada e insegura”. Según expone, es profesora de instituto y el entorno de personas del pequeño pueblo en el que trabaja ha tenido acceso a los datos publicados. En el escrito alude a una nueva cuenta creada en Facebook por el denunciado con su propio nombre, en la que se expone su número de teléfono móvil y se reproducen distintas fotografías con la imagen de distintos miembros de la familia de las denunciantes, así como escritos en los que se relatan detalles muy íntimos de la relación concluida y de su entorno familiar y enlaces a otros contenidos que estaban alojados en la plataforma Slideshare. La denunciante se refiere asimismo a los 218 perfiles que han sido vinculados por el denunciado a su perfil, pertenecientes al entorno más cercano de la afectada, incluyendo el asociado a la institución en la que trabaja (folios 46 a 154). CUARTO: En fecha 11 de diciembre tiene también entrada una denuncia de don D.D.D., el cual se refiere a los mismos contenidos y se declara padre de las dos hermanas afectadas. Según expone, en la misma cuenta de Slideshare se habían publicado también datos referentes a su persona (folios 155 a 210). QUINTO: En fecha 16 de diciembre por la Agencia se comprueba que los contenidos referidos, con datos de los tres denunciantes y asociados al citado perfil de Facebook, resultan accesibles para cualquier usuario de la red social. Según se aprecia, el nombre del perfil está formado por el apodo del denunciado, apareciendo como imagen de perfil una fotografía de la segunda denunciante. En el apartado de Amigos aparecen asociados diversos perfiles, muchos de ellos vinculados a instituciones religiosas (folios 231 a 277). SEXTO: En fecha 29/01/2015 por la Agencia se ha intentado acceder al perfil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 mencionado en el hecho QUINTO, obteniéndose un mensaje de error (folios 307). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Para determinar si la actuación de la denunciada constituye un tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del Tribunal de Justicia de las Comunidades Europeas de 6 de noviembre de 2003, en el asunto C-101/01 (caso Lindqvist). En los apartados 25 y 26, relativos al concepto de dato personal, se considera incluida en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo, establece la sentencia en su apartado 27: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” IV El Grupo de Trabajo del artículo 29 (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, adoptó el 12 de junio de 2009 el Dictamen 5/2009, sobre las redes sociales en línea. Este documento se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) puede satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 En particular, en el documento se destaca cómo muchos usuarios de las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. Según destaca el GT29, la citada Directiva no impone las obligaciones de un responsable de datos a un individuo que procesa datos personales "en el transcurso de actividades estrictamente personales o domésticas". Siguiendo este precepto, el GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un SRS debe aplicarse lo que denomina "exención doméstica", en lugar de la normativa de protección de datos. Ahora bien, en el Dictamen se especifican así mismo tres supuestos en los que tales actividades no estarían cubiertas por la "exención doméstica". El primer supuesto se refiere a los casos en los que se utiliza el SRS como plataforma de colaboración para una asociación o una empresa. Si un usuario de SRS actúa en nombre de una sociedad o asociación, o utiliza el SRS principalmente como una plataforma para conseguir objetivos comerciales, políticos o benéficos, la exención no se aplica. En este caso, el usuario asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el SRS) y a terceros (otros usuarios del SRS o, potencialmente, otros responsables de datos con acceso a los mismos). En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas o algún otro fundamento legítimo dispuesto en la Directiva de Protección de Datos. El GT29 expone que los prestadores del SRS deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del SRS o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los "amigos" seleccionados, las responsabilidades inherentes a un responsable de datos se activan. Efectivamente, se aplicará el mismo régimen legal que cuando cualquier persona utiliza otras plataformas tecnológicas para divulgar datos personales en Internet. En varios Estados Miembros, la falta de restricciones de acceso (y así el carácter público) significa que la Directiva de Protección de Datos se aplica en el sentido de que el usuario de Internet adquiere responsabilidades de un responsable de datos. No obstante, el GT29 hace constar que, aunque la exención doméstica no se aplique, el usuario de SRS puede beneficiarse de otras exenciones como la exención con fines periodísticos o de expresión literaria o artística. En dichos casos, se ha de llegar a un equilibrio entre la libertad de expresión y el derecho a la privacidad. Finalmente, el GT29 aborda un tercer escenario en que la “exención doméstica” no sería aplicable. Se trata de aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles. No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión. En el Dictamen se aclara el concepto de “datos sensibles”. Así, los datos que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual se consideran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 sensibles. Los datos personales sensibles solo se pueden publicar en Internet con el consentimiento explícito del sujeto de datos o si el sujeto de datos ha hecho que los datos sean manifiestamente públicos él mismo. El GT29 expone que en algunos Estados Miembros de la UE, las imágenes de los sujetos de datos se consideran una categoría especial de datos personales, ya que se pueden utilizar para distinguir entre orígenes raciales/étnicos o pueden utilizarse para deducir las creencias religiosas o los datos sobre la salud. El GT29, en general, no considera que las imágenes en Internet sean datos sensibles, a menos que éstas se utilicen claramente para revelar datos sensibles acerca de los individuos. En consecuencia, de conformidad con el criterio interpretativo mantenido por el GT29, es preciso que concurra alguno de los escenarios expuestos, en los que la “exención doméstica” no resulta de aplicación, para que sean aplicables los requisitos previstos en la LOPD. De acuerdo con lo expuesto, en el presente caso, de acuerdo con la documentación que obra en el presente procedimiento, ha quedado acreditado que el denunciado creó un perfil en la red social Facebook, en el que, tras la ruptura de la relación sentimental que había mantenido con una de las denunciantes, publicó numerosos datos personales de esta y de su familia, incluyendo su imagen fotográfica, los cuales resultaban accesibles para cualquier usuario de la red social. En consecuencia, nos hallamos ante un escenario en el que, de acuerdo con el criterio interpretativo del GT29, no cabe aplicar la citada exención doméstica, siendo plenamente aplicable la normativa de protección de datos. V El artículo 6, apartados 1 y 2 de la LOPD, estipula lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2.No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el caso analizado, dado que el tratamiento y publicación en internet de numerosos datos personales de los denunciantes por parte del denunciado no había sido autorizado por los afectados, debe considerarse incumplido el principio de consentimiento regulado en el artículo 6 de la LOPD. VI El artículo 44.3.
- b)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La Audiencia Nacional ha manifestado en su Sentencia de 22 de octubre de 2003 que <<la descripción de conductas que establece el artículo 44.3d) de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos…>> En el presente caso, el denunciado ha reconocido voluntariamente su responsabilidad por el tratamiento no consentido de los datos de los denunciantes, lo que supone la comisión de una infracción tipificada como grave en el trascrito artículo 44.3.
- d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 VI Los artículos 45.2, 4 y 5 de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible indican: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Dicho artículo 45.5 de la LOPD, que no es sino la manifestación del llamado principio de proporcionalidad (art. 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común), incluido en el más general de prohibición de exceso, reconocido por la Jurisprudencia como Principio General del Derecho (Sentencia del Tribunal Constitucional 62/1982), y es consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico (Art. 1 de la Constitución Española) debe, sin embargo, aplicarse con exquisita ponderación, y sólo en los casos en los que la culpabilidad resulte sustancialmente atenuada, atendidas las circunstancias del caso concreto. En el presente caso, no consta que el denunciado tuviese consentimiento de los denunciantes para el tratamiento de sus datos personales en internet. Tampoco se ha producido ninguna excepción del consentimiento exigido, según las excepciones previstas en el trascrito artículo 6.2 de la LOPD. Por otra parte, la naturaleza de los datos y la gravedad de los derechos vulnerados hacen necesario utilizar el procedimiento sancionador para sancionar una conducta no amparable en las reglas de internet, sin que quepa limitarse a exigir la cancelación. No obstante, deben tenerse en cuenta, a los efectos de la aplicación del artículo 45.5 de la LOPD, las siguientes circunstancias: el entorno de internet proclive a la introducción de información, la falta de vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, el reconocimiento de la infracción por el propio denunciado, así como su condición de persona física y su rápida reacción, tras tener conocimiento de las denuncias, borrando el perfil creado. Por todo ello, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, procede imponer una sanción de 1.000 € (mil euros). Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. C.C.C., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 1.000 € (mil euros), de conformidad con lo establecido en el artículo 45.2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C., D. D.D.D., Dña. A.A.A. y a Dña. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es