PS-00732-2013

1/10 Procedimiento Nº PS/00732/2013 RESOLUCIÓN: R/01246/2014 En el procedimiento sancionador PS/00732/2013, instruido por la Agencia Española de Protección de Datos a la entidad Endesa Energía SAU, vista la denuncia presentada por A.A.A.y en base a los siguientes, ANTECEDENTES Primero. Con fecha de 19 de diciembre de 2012 tiene entrada en esta Agencia un escrito de A.A.A.en el que denuncia a Endesa Energía SAU porque ha domiciliado en su cuenta bancaria recibos de un tercero, dejando su cuenta al descubierto. Segundo. A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se requirió información a Endesa, tras recibir su respuesta concluyeron las actuaciones con el informe de la Inspección de Datos: Tercero. De todo lo actuado en las investigaciones previas se concluyó, salvo prueba en contrario, que Endesa, realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos; cuando cargo en la cuenta de la persona denunciante recibos de una tercera persona. Cuarto. Con fecha 16/12/13 el Director de la AEPD acordó iniciar procedimiento sancionador a Endesa por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de la citada Ley Orgánica. Quinto. Notificado el acuerdo de inicio, Endesa mediante escrito formuló alegaciones solicitando el archivo del procedimiento por no existir vulneración alguna de la normativa vigente. Alega que solo remitió a la cuenta una sola factura; el error tuvo su origen en los datos del contrato suscrito que fue subsanado el 18/07/12, antes de la actuación inspectora. Sexto. El día 27/01/14 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio. Se requirió documentación a los interesados. Se requiere a denunciante y denunciada la presentación de documentos. Se recibió respuesta de la denunciante con la que adjunta la factura de 04/04/12 y el acuse de recibo a su reclamación de 21/05/12. La imputada aporta copia de documentos contractuales con empresas de servicios, facturas de gas y electricidad e impresión de los contactos mantenidos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 constan en su base de datos. Séptimo. Con fecha 07/05/14, el Instructor del Procedimiento formuló propuesta de resolución sancionadora consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a Endesa Energía SAU con multa prevista en el 45.2 y 4 de la LOPD de 50.000 € (cincuenta mil euros) por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma. Octavo. La propuesta fue notificada a Endesa. En el plazo para alegaciones solicitó el archivo del procedimiento por no existir vulneración alguna de la normativa vigente. Reitera las alegaciones de sus escritos anteriores. ALEGA QUE: <<< Los hechos analizados en el presente expediente consisten en la remisión a la cuenta número ***CCC.1 titularidad de la Sra. A.A.A. de una única factura de suministro emitida a nombre de B.B.B. por importe de 153,94 € (obligación n° ***FACTURA.1). …, el cargo vino devuelto, sin que se haya acreditado de contrario que se produjese por este hecho un descubierto, máxime teniendo en cuenta que el cargo vino devuelto. …, Endesa ha acreditado que se ha tratado de un error puntual, originado en el momento de la grabación de los contratos de la Sra. A.A.A. y del Sr. B.B.B. en los sistemas comerciales de mi mandante. …, en el presente caso, en el que ambas contrataciones se realizaron a mediados de febrero de 2012, al grabar IZO la venta en el SVE, consignó erróneamente el número de cuenta de la Sra. A.A.A. en el contrato del Sr. B.B.B.. Pero, es más, cuando en cumplimiento de lo establecido en la normativa que regula la contratación a distancia … se remite la confirmación escrita del contrato telefónico realizado por el Sr. B.B.B. éste procede a devolver el mismo firmado sin indicar que el número de cuenta consignado en la copia escrita del contrato no era el suyo, confirmando el error producido, lo que motiva el cargo efectuado en la cuenta de la denunciante. No obstante, …, el 18 de julio de 2012 se procedió a subsanar dicho error, modificando el número de cuenta asociado al contrato de suministro suscrito por el Sr. B.B.B. al ***CCC.2. Por lo tanto, es evidente que no cabe apreciar en mi mandate una conducta infractora de la normativa de protección de datos. Resulta totalmente contrario a derecho que por un mero error en el cargo de una factura, que fue subsanado de forma inmediata (el cargo fue devuelto por el banco el 11 de julio y el 18 de julio Endesa modifica la cuenta asociada al contrato del Sr. B.B.B.), se pretenda imputar a Endesa un ilícito administrativo e imponerle una sanción administrativa. >>> De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 01. 17/02/12, en la base de datos de endecha figura como fecha de alta de la denunciante A.A.A.como cliente de suministro eléctrico para su vivienda (C/...............1) – Madrid. Fue baja el 06/04/12. Ese mismo día del alta una tercera persona (B.B.B.) suscribe contrato de suministro eléctrico con Endesa para su domicilio en una vivienda situada en la ciudad de Santander. El agente que cumplimenta el formulario de contratación hace constar para el pago domiciliado de las facturas la cuenta bancaria ***CCC.3, que corresponde a la persona denunciante. 02. 13/03/12, Endesa emite factura de gas a nombre de la denunciante por el suministro a su vivienda de (C/...............1) – Madrid, por importe de 91,97 € por los conceptos de “termino energía termino fijo y mantenimiento”. 03. 04/04/12, Endesa emite factura de gas a nombre de la denunciante por el suministro a su vivienda de (C/...............1) – Madrid, por importe de 82,32 € por el concepto de “ajuste cuotas de mantenimiento”. Con esa misma fecha emite factura por consumo de gas de la vivienda por importe de 52,44 €. 04. 12/04/12, Endesa emite factura de electricidad a nombre de la denunciante por el suministro a su vivienda de (C/...............1) – Madrid, por importe de 94,05 € por el periodo 14/02/12 a 06/04/12. 05. 21/05/12, Endesa acusa recibo de la reclamación de la denunciante (nº de reclamación ************). 06. 05/06/12, Endesa cargó en la cuenta número ***CCC.3, de la que la denunciante (A.A.A.) –cliente de Endesa- era titular, un recibo de luz (obligación nº ************) emitido a nombre de B.B.B. por importe de 153,94 € (INENTIF. TPOCA XXXXXXXXX1). El cargo fue devuelto. 07. 02/07/12, Endesa cargó en la cuenta número ***CCC.3, de la que la denunciante (A.A.A.) era titular, un recibo de luz (obligación nº ************) emitido a nombre de B.B.B. por importe de 153,94 € (INENTIF. TPOCA XXXXXXXXX2). El cargo fue devuelto. 08. 18/07/12, en la base de datos de Endesa se procedió a subsanar el error, modificando el número de cuenta asociado al contrato de suministro suscrito por el Sr. B.B.B.. 09. 20/07/12, el importe de la factura fue abonado por B.B.B. a través de ventanilla bancaria. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. A. Endesa es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio de la calidad de datos contenidos en el artículo 4.3 de la LOPD. B. La persona denunciante recibe en su cuenta cargo de recibo de un tercero que produce descubierto en la cuenta. Una vez devuelto, días más tarde vuelve a repetirse el cargo y a ser devuelto. C. Por motivos no acreditados Endesa ha efectuado un tratamiento de datos inexactos, sin corresponder a la realidad contractual de dicha persona. III De la infracción: El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso, Endesa hizo tratamiento de los datos de carácter personal del denunciante, cliente de la entidad, sin tener en cuenta el principio de calidad de datos. Los datos que trata son inexactos, y así los trasmite a la entidad bancaria, con reiteración posterior. Este comportamiento de Endesa, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3 de la LOPD, al incorporar a sus ficheros datos inexactos y que no respondían con veracidad a la situación actual del denunciante y que encuentran su tipificación en el artículo 44.3.
4. c)de la citada Ley Orgánica. IV De la tipificación: El artículo 44.3.
5. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
6. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Se imputa a Endesa la infracción tipificada en el citado artículo por su responsabilidad en los hechos declarados probados. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
7. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. La Audiencia Nacional en Sentencia de 01/12/2004 expuso, en cuanto a la culpabilidad en la comisión de la infracción del artículo 4.3 de la LOPD, que “a la vista de la jurisprudencia sobre culpabilidad de las personas jurídicas en el Derecho administrativo sancionador, el alegato de la entidad recurrente sobre la concurrencia de un error no puede ser aceptado. El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 inobservancia. Cierto es que esta simple inobservancia no puede ser entendida como la admisión de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983) y del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de sus artículos 1.1 y 25.1 y requiere la existencia de dolo o culpa. Pues bien, la culpa constitucional y legalmente exigida se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para comprobar que los datos remitidos eran veraces y exactos, y esa falta de diligencia es lo que configura el escrito de demanda no es un error sobre la prohibición, sino un error respecto de la exactitud de los datos remitidos al fichero, y esto es precisamente lo que prohíbe la LOPD, configurando al respecto una obligación específica en su artículo 4.3. En definitiva, resultaba exigible a la ahora actora comprobar la veracidad de los datos enviados, incurriendo, al no hacerlo, en una falta de diligencia que determina la existencia de culpa, la comisión de ilícito administrativo y, por ende, la sanción correspondiente.” (El subrayado es de la Agencia Española de Protección de Datos). Y añade la referida Sentencia, en cuanto al alegato de la recurrente relativa a la ausencia de perjuicios causados al afectado, que “es importante destacar que la comisión del ilícito administrativo no trae causa del daño concreto a los intereses de la persona física afectada, sino de la cesión misma del dato erróneo”. En este caso, la cuestión que se suscita es si la entidad denunciada empleo o no una diligencia razonable a la hora de tratar los datos de su cliente. Pues bien, ENDESA en ningún caso debió asociar el cargo en cuenta de la factura de un tercero a la de la persona denunciante, debiendo poner especial cuidado en garantizar el principio de calidad del dato y de veracidad. Nada relacionaba a la persona denunciante con la tercera persona cuya factura fue cargada en su cuenta. Nada se ha acreditado sobre el motivo o la causa de la inclusión en el contrato del tercero el ccc del denunciante en los hechos que nos ocupan. En este caso, ha incurrido en la infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, cuando mantuvo datos incorrectos de la persona denunciante en sus ficheros. Todo ello, constituyen una conducta de actuación constitutiva de la infracción tipificada en el artículo 44.3.
8. c)de la citada Ley Orgánica. V De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Los hechos declarados probados han sido tipificados como una infracción grave, por lo tanto corresponde una sanción por un importe comprendido en el tramo del apartado 2 trascrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 VI El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
9. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
10. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
11. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
12. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
13. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Es preciso considerar la reacción de la imputada ante la reclamación del denunciante: No ha sido acreditado cuando tuvo lugar la primera reclamación de la persona denunciante, solo que la baja en el contrato de luz se produjo el 06/04/12. Hay constancia de que el día 21/05/12 presentó una reclamación, pero no de su contenido. Puede considerarse que la primera acción de la persona denunciante ante el cargo indebido se produce el 12/06/12 y 11/07/12, cuando ordena a su entidad financiera devolver los cargos de los recibos de la tercera persona. El 18/07/12 queda constancia en la base de datos de Endesa que la cuenta de la denunciante en el fichero correspondiente al cliente tercero ha sido sustituida por otra de titularidad de este y la deuda abonada en ventanilla bancaria. Procede la aplicación del 45.5,
14. b)pues se ha acreditado una rápida actuación diligente en la regularización de la situación irregular denunciada, tal como ha quedado expuesto. Apenas transcurrió un mes entre la fecha de la devolución del primero de los dos cargos y la sustitución de la cuenta bancaria de la denunciante por la propia cuenta del otro cliente . VII El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” Para que el importe de la sanción pueda ser fijado circunstancias a que se refiere el apartado trascrito: han de ser examinadas las - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de la calidad de los datos durante dos meses. - El volumen del tratamiento es reducido. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que ENDESA es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo Endesa, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes en este país y a nivel global. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos el ccc y su posterior gestión de cargo en cuenta bancaria no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a los supervisores de todos ellos. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada han sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contempladas en el 45.4 de la LOPD permite graduar la sanción en un importe de 20.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer a la entidad Endesa Energía SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
25. c)de dicha norma, una sanción de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. SEGUNDO: Notificar la presente resolución a Endesa Energía SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es