1/11 Expediente nº.: EXP202102521 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por Don A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 21 de agosto de 2023, y en base a los siguientes: HECHOS PRIMERO: Con fecha 21 de agosto de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202102521, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha 22 de agosto de 2023, según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 24 de agosto de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en lo siguiente: Se han producido errores en la resolución archivada en relación con el rol de le entidad objeto de reclamación, ya que se indica que es encargada del tratamiento y no es así, ya que: “Tal conclusión, que sirve de fundamento de la Resolución objeto del presente recurso, evidencia que por parte de esa AEPD se ha cometido un error en la identificación del rol que desempeña la mercantil denunciada, sin que por lo demás exista una fundamentación jurídica suficiente en la misma para justificar tal conclusión. En este sentido, conforme a lo que esta parte señaló y acreditó fehacientemente en su denuncia y en el recurso que planteó en septiembre del año 2022, que por cierto fue estimado por esa AEPD, la actuación llevada a cabo por parte de ARAMAK excede con creces aquello que se le encomendara por parte de la Agencia Andaluza de Educación, que se concreta en los pliegos que rigieron la contratación del servicio de comedor en el que se recogen las condiciones del encargo de tratamiento. No en vano, el propio Hecho segundo de la Resolución objeto del presente recurso señala que la mercantil denunciada reconoce que “actúa como Encargado del tratamiento para algunas finalidades, entre la que se encuentra la gestión de las ausencias de los interesados referentes al CEIP ***CEIP.1 de Sevilla”. No obstante, esa finalidad de gestión de ausencias de alumnos al centro educativo no forma parte del objeto del contrato licitado por la Agencia Andaluza de Educación toda vez que el mismo se circunscribe, en exclusiva, a la prestación del servicio de comedor; esto es, a ofrecer comida a los alumnos y alumnas del CEIP ***CEIP.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 Por consiguiente, resulta acreditado fehacientemente, y reconocido por la mercantil denunciada, que ARAMARK está llevando a cabo tratamientos de datos con finalidades distintas y que exceden lo permitido en el contrato de encargo de tratamiento. Asimismo, ha sido acreditado fehacientemente que los pliegos que rigen la contratación, y que obran en el presente expediente, no contemplan la posibilidad de que por parte de ARAMARK se traten categorías especiales de datos. Pese a ello, se ha evidenciado a lo largo de la tramitación del presente expediente que dicha mercantil sí está llevando a cabo tratamientos de datos de salud de menores y que, por ende, carecen de legitimación. Es decir, que para ser beneficiario de un servicio público de comedor cuyas condiciones han sido fijadas por la Administración en los pliegos, ARAMARK impone, de forma unilateral y al margen de lo autorizado expresamente por la Administración educativa, el sometimiento a unos tratamientos de datos de los que se erige como responsable y que tienen como propósito la consecución de finalidades bien distintas a las autorizadas en el contrato de encargo de tratamiento. Señalado lo anterior, procede recordar a esa AEPD lo prevenido en el artículo 33.2 in fine que a efectos aclaratorios se transcribe a continuación. “Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades”. El precepto no deja lugar a dudas, de tal modo que el propio legislador orgánico ha sido el encargado de aclarar que cuando un encargado de tratamiento utilice los datos para sus propias finalidades, éste tendrá la consideración de responsable. Así, ARAMARK, con respecto a los tratamientos señalados por esta parte, actúa como responsable de tratamiento y no como encargado ex art. 33.2 in fine de la LOPDGDD. Además, en su condición de responsable de tratamiento, no tiene la consideración de ente del sector público andaluz sino de sujeto sometido a Derecho privado. Por lo tanto, la resolución de derivación de actuaciones al Consejo de Transparencia y Protección de Datos de Andalucía resulta del todo contraria a Derecho toda vez que no es subsumible en los argumentos jurídicos recogidos en la Resolución objeto del presente recurso. En segundo lugar, argumenta el recurrente que uno de los principios por los que se rige la actuación administrativa es el de los actos propios conforme reconoce extensamente la jurisprudencia. Alega lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Pues bien, lo cierto y verdad es que los hechos y fundamentos sobre los que se sustenta el presente recurso son, en esencia, los mismos hechos y fundamentos que se contuvieron en el Recurso planteado por esta parte en el mes de septiembre de 2022 frente a la Resolución previa de la AEPD de archivo de actuaciones. Tales argumentos fueron estimados entonces, mereciendo en consecuencia la reapertura del expediente y la continuación de su tramitación. Concurriendo ahora los mismos hechos y fundamentos de derecho procede colegir que la desestimación del presente recurso no supondría sino la flagrante conculcación, por parte de esa AEPD, del principio de los actos propios por el que se encuentra regida. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar que la alegación principal en la que se fundamenta el recurso ya fue señalada por el ahora recurrente en un recurso anterior, y que se concreta en que ARAMARK no actúa como encargado del tratamiento sino como responsable en lo relacionado con la prestación del servicio de comedor en el IES ***IES.1 de Sevilla. Durante las actuaciones previas de investigación realizadas tras la estimación del primer recurso de reposición interpuesto por el recurrente se constató lo siguiente: “
- Aporta el Registro de actividades del tratamiento de datos personales de presencias y de ausencias del servicio de comedor de fecha 21/2/
- Debido a que la parte reclamada forma parte de un grupo internacional remite la documentación original extraída de sus archivos en lengua inglesa. En el citado registro consta que: Aramark utiliza su sitio web ***URL.1 para la comercialización a los consumidores de sus servicios y productos de alimentación. Aramark actúa en un sitio web con tres entidades de Aramark (a saber, la parte reclamada y otras dos). Ciertos datos personales se recopilan de todos los visitantes del sitio web y se procesan por o en nombre de Aramark en forma de cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Aramark utiliza su sitio web como una comunicación directa con los padres sobre menús, eventos y facturas mensuales, por lo tanto, registro de asistencia y ausencias. Esta es la función principal del sitio, por lo que Aramark es considerado el responsable del sitio principal. Además, el sitio web tiene otra función que Aramark solo percibe como un encargado (en nombre de la escuela individual respectivamente la autoridad contratante (pública o privada) entidad que gestiona el colegio): indicación de alergias e intolerancias (se muestra en mapa aparte: Aramark como procesador). Aramark actúa en una doble función como responsable y encargado. Sin embargo, junto con esto, en 2022 alrededor de 1.272 escuelas (o la autoridad detrás de ellas), como responsable, recopilan datos sobre intolerancias alimentarias o trastornos basados en documentos de licitación. Esto conduce a una separación necesaria (pero artificial) de los flujos de datos y, por lo tanto, a diferentes estrategias de protección de datos individuales. - - La finalidad del tratamiento es junto con su base legal: Aumentar el conocimiento de los consumidores sobre los productos y servicios de Aramark; Publicidad; Art. 6.1).a RGPD (consentimiento) Aumentar el conocimiento de los consumidores sobre los productos y servicios de Aramark; Publicidad; Art. 6.1).f RGPD (intereses legítimos) Registro de asistencias y ausencias para su correcta facturación y contabilidad; Art. 6.1).b RGPD (contrato) Los datos procesados de los consumidores son: Datos maestros: Detalles de contacto, comentarios del usuario, escuela, nombre de usuario, identificación del estudiante, contraseña, NIF, información educativa, dirección, apellido, dirección de correo electrónico, número de teléfono, nombre Datos de pago: Información de la tarjeta de pago, método de pago, número de cuenta bancaria.
- Como consecuencia de la ejecución del contrato del servicio de comedor y atendiendo al rol de la adjudicataria del contrato como encargado de tratamiento de Aramark, esta parte envió al órgano de contratación, responsable del contrato, Gerencia Provincial de Sevilla, Agencia Pública Andaluza de Educación de la Junta de Andalucía las siguientes comunicaciones (Anexo 2): Comunicación de 21 de octubre de 2021: informando del traslado de una reclamación por la AEPD de 30/9/
- Comunicación de 24 de febrero de 2022: informando del requerimiento de la AEPD, la respuesta aportada y justificante de presentación. Comunicación de 11 de abril de 2022: informando como encargado del tratamiento de la “Política de privacidad para los colegios dirigidos por la Junta de Andalucía”, del contrato del servicio de comedor adjudicado, referente en concreto, a la baja de los alumnos de la participación en las comidas e informar al encargado del tratamiento sobre posibles alergias e intolerancias de un consumidor de los servicios de comedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11
- No han precisado el nombramiento de un Delegado de Protección de Datos para alguno de los tratamientos relacionados con el servicio de comedor, como el de las dietas adaptadas de los menores o comunicación de ausencias al comedor. Según informe elaborado por esta entidad, se concluyó que en el caso de Aramark no concurrían los parámetros para lo que los artículos 37 y 39 Reglamento General de Protección de Datos europeo exigen la presencia en la empresa de un delegado. Igualmente, hecha la evaluación fijada en el artículo 34 de la LOPD, se concluyó innecesario la presencia en la empresa de un delegado de protección de datos. Aramark cuenta con un comité interno de protección de datos personales que se encarga de la gestión de las tareas en dicha materia, formado por el Director Financiero, el departamento de Auditoría Interna, el Director de IT y el departamento Legal con el fin de que lidere el comité. La última vez que este comité realizó una evaluación en relación a la necesidad de la incorporación de un Delegado de Protección de Datos fue durante el mes de junio de 2022, en la que se reexaminó la necesidad de implantar la citada figura en Aramark y, realizada la evaluación indicada en el artículo 34 de la LOPD y DD, se concluyó innecesaria la presencia en la empresa de un Delegado de Protección de Datos. El informe original está fechado en 2019 y se revisa periódicamente en función de la evolución de las actividades y tratamientos de la compañía. 1.1.Sobre el alta como usuario en la web ***URL.1 “(…)para notificar ausencias en la utilización del servicio de comedor hay que darse de alta como usuario en la web ***URL.1 (…)” En relación con la afirmación del reclamante, esta parte la confirma como cierta dado que, de conformidad con lo establecido en los Pliegos Técnicos a los que se somete el contrato que une a esta parte con la Consejería de Educación y Deporte, es obligación del adjudicatario del contrato proporcionar a los usuarios del servicio un canal para comunicarlas ausencias del alumno en el comedor con una antelación mínima de 3 días con el fin que dichas comidas sean descontadas de la factura mensual. En caso de no notificar los padres las ausencias de sus hijos, la factura contemplaría la totalidad de las comidas mensuales. A continuación, reproducimos el texto de los Pliegos donde se contempla dicha obligación, que Aramark no ha hecho más que cumplir escrupulosamente. Se comprueba que en el PPT Expediente N.º ***EXPEDIENTE.1, pg. 32/51, aptdo 10, consta lo siguiente respecto del aviso de ausencias y anulación del servicio por asistencia a consulta médica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 En este sentido, tal y como indica la Consejería, es la empresa adjudicataria la que debe proporcionar un canal o plataforma para gestionar dichas ausencias, que, en el caso de Aramark, se gestiona a través de la web “el gusto de crecer” en la que los padres deben registrarse únicamente aportando una dirección de correo electrónico y aceptando las condiciones legales que la regulan. En la citada pg. se indica que para la anulación del servicio por asistencia a consulta médica se puede justificar con: - Informe de asistencia a consulta (que servirá como justificante de varios días de ausencia, siempre que en el mismo se prescriban los días de convalecencia previstos.) Justificante de acceso a demanda de asistencia. En ningún caso se solicita certificado médico. 1.
- Sobre los datos de salud de los menores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 “(…) así como aportar datos de salud de los menores, en el caso en el que se alegue una situación de enfermedad, e incluso para comunicar intolerancias. (…)” Es radicalmente falso que la web del “gusto de crecer” solicite datos de salud de menores (como una enfermedad) o datos de intolerancias. Como se ha dicho con anterioridad, el tutor legal debe aportar una dirección de correo electrónico y, posteriormente, cuando desee acceder a su apartado personal, deberá introducir su número de DNI y el sistema le mostrará la información del beneficiario de la prestación que ha sido proporcionada por el Responsable del Tratamiento. Una vez en dicha página, el tutor podrá notificar la ausencia del comedor sin aportar más datos. El tutor del beneficiario del servicio debe marcar una casilla predeterminada y elegir entre la opción: Presente o Ausente. No se requiere ninguna justificación para hacer clic en la casilla Presente o Ausente. Por lo tanto, no se solicita ni se recoge ningún dato especialmente sensible relacionado con la salud. Se acompaña como Documento 2 adjunto las capturas de pantalla explicativas del proceso de comunicación, donde se detalla la información que los padres o tutores deben facilitar en la página web. Este documento enumera paso a paso la información que debe proporcionarse para que el niño sea considerado “ausente” de la comida con una antelación de menos tres días. En este caso, los usuarios podrán avisar de su ausencia en el comedor sin coste económico alguno para el usuario. Desconocemos el motivo por el que el reclamante realiza la afirmación aludida, remarcando esta parte que el trámite para la notificación de alergias e intolerancias de los beneficiarios del servicio es otro que nada tiene que ver con la web de “El gusto de crecer”. Aramark quiere enfatizar que en la citada web no se tratan dichos datos de salud y que no se les pide a los tutores ninguna justificación en relación al motivo de la ausencia del usuario del comedor. Dichas afirmaciones se han comprobado en el PPT Expediente Nº ***EXPEDIENTE.1, pg. 32/51, aptdo. 10.
- Aviso de ausencias, reproducido anteriormente mediante un pantallazo y en el Documento
- La web “El gusto de crecer” fue creada por Aramark hace años y es utilizada para varias finalidades tales como ofrecer información sobre nutrición, educación, salud y bienestar dirigido a las familias, niños/as y los colegios, cuyo objetivo principal es transmitirles transparencia y seguridad sobre el desarrollo del servicio de comedor, así como aportarles información y recomendaciones para que puedan seguir una alimentación saludable dentro y fuera del comedor escolar y, previo registro: Detalle del menú mensual escolar para su descarga o consulta online, Comunicados sobre las actividades que realizan en el comedor escolar (actividades educativas, notas informativas, incidencias del servicio si hubieran…), Notificación de ausencia o presencia al comedor escolar (Detalle de las funciones). En algunas de dichas finalidades, Aramark tiene el rol de Responsable de tratamiento y de esta manera se refleja en la política de privacidad y las condiciones generales de uso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 Dado que la responsabilidad no se deriva de la naturaleza del responsable del tratamiento, sino de sus actividades específicas en un contexto determinado, Aramark actúa, para determinadas finalidades concretas, como Responsable del tratamiento del sitio web. En todo caso, esta posición de responsable del tratamiento no debe ser confundida con la posición de encargado del tratamiento que ostenta Aramark en relación con las comunicaciones a efectos de asistencia al comedor. En relación con los datos relativos al servicio de comedor, al ser obtenidos mediante el Responsable del Tratamiento (Junta Andalucía), Aramark no tiene la facultad de gestionar las altas y bajas del servicio, sino que será el responsable del tratamiento el que realice tal gestión. 1.
- Sobre los datos de menores “(…) Señala que se solicitan datos excesivos de menores, se obliga a un registro no previsto en el contrato público celebrado y, a partir del mismo, se prevé en la citada web la posibilidad del uso de datos con finalidades distintas de la mera gestión del sistema de ausencias, sino las propias de la condición de usuario en dicha web. Expone el reclamante que la mercantil Aramark está llevando a cabo tratamientos de categorías de datos que exceden lo previsto en los pliegos que rigen la contratación y están destinando esos datos a fines distintos a los contemplados en ellos, de tal modo que está actuando como Responsable de Tratamiento y no como Encargado de Tratamiento con respecto a la Agencia Andaluza de Educación. (…)” Esta parte reitera que la página web no solicita datos personales de ningún usuario de la misma ni ningún usuario registrado más que el correo electrónico. Los pliegos de la licitación prevén expresamente que el adjudicatario proporcione un canal, plataforma, web, app o similar con el fin que los beneficiarios de la prestación puedan gestionar las ausencias de comedor sin especificar ninguna característica del mismo ni que deba ser exclusivo para dicha tarea. El canal ofertado cumple con las características básicas de cualquier página web, app o plataforma existente en el mercado sin exceder en su tratamiento ni ir más allá de la finalidad por la que debe tratar los datos obtenidos. Asimismo, los datos de los interesados relacionados con la notificación de asistencia a comedor son tratados única y exclusivamente para gestionar nada más que las tareas asociadas al contrato de referencia. Aramark presta el servicio público en los comedores escolares bajo la responsabilidad de la autoridad educativa. Según el Expediente Nº ***EXPEDIENTE.1 (documento aportado al expediente como Objeto Asociado PCAP), Pliego de Cláusulas Administrativas Particulares de la Agencia Pública Andaluza de Educación para la Contratación del Servicio Público de Comedor Escolar y Programa de Refuerzo en Alimentación Infantil en los Centros Docentes Públicos Dependientes de la Consejería de Educación y Deporte mediante procedimiento abierto, apartado 12.
- Condiciones de ejecución, fin de pág. 33 a 37, Aramark como persona adjudicataria, en tanto Encargado de tratamiento, deberá tratar los datos personales de los cuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 la entidad contratante es responsable de la manera que se especifica en el Anexo XXII-A de dicho pliego. En relación a ello, Aramark ha tratado los Datos Personales conforme a las instrucciones mencionadas en el Pliego y demás documentos contractuales aplicables a la ejecución del contrato. Al respecto de los datos que serán objeto del encargo en la licitación se detallan los siguientes: Nombre y Apellidos, DNI, domicilio y número de cuenta corriente del alumnado beneficiario de la prestación y de sus tutores legales (vid. ANEXO XXII-A, pág. 161 del doc. PCAP). Aramark ha tratado los Datos Personales de conformidad con los criterios de seguridad y el contenido previsto en el artículo 32 del RGPD, observando y adoptando las medidas técnicas y organizativas de seguridad necesarias o convenientes para asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento. Aramark ha mantenido la más absoluta confidencialidad sobre los Datos Personales a los que tiene acceso para la ejecución del contrato, así como sobre los que resulten de su tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Por otro lado, la página web ***URL.1 es una web gestionada por Aramark. En consecuencia, Aramark actúa como Responsable del tratamiento de datos en la política de privacidad del sitio web. Consideramos el sitio web proporcionado por Aramark simplemente como una herramienta con la que se recogen los datos en nombre y por cuenta del CEIP ***CEIP.1 de Sevilla por el PLIEGO DE PRESCRIPCIONES TÉCNICAS DE LA AGENCIA PÚBLICA ANDALUZA. En este sentido, Aramark actúa como Responsable del tratamiento para determinadas finalidades concretas y como Encargado del tratamiento para otras finalidades, entre la que se encuentra la gestión de las ausencias de los interesados referentes al CEIP ***CEIP.1 de Sevilla. Por lo tanto, en su condición de Encargado del tratamiento, Aramark trata los datos personales de los interesados, tales como: el Nombre y Apellidos, DNI, domicilio y número de cuenta corriente del alumnado beneficiario de la prestación y de sus tutores legales. Asimismo, en su condición de Responsable del Tratamiento, trata los datos personales para otros servicios que se prestan a través de la web. Tras el estudio de la documentación obrante en el expediente, se constató que la parte reclamada es adjudicataria del contrato de servicio de comedor ofertado por la Junta de Andalucía, siendo esta Administración la responsable del tratamiento de datos de alumnos usuarios del servicio de comedor y la entidad reclamada encargada de tratamiento. Para ello, sigue las indicaciones del contratista según PPT y PCAP en su papel de encargado del tratamiento tanto para el expediente de 2019 como de 2020 (relacionado con la reclamación). Para la comunicación de las ausencias de los menores al comedor, ARAMARK facilita a los tutores legales de los menores un acceso mediante usuario y clave donde además se incluye la información de la Política de Privacidad. Si la ausencia es por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 consulta médica se pide justificante de asistencia a consulta médica, en ningún caso, certificado médico con datos de salud. Siendo el responsable del tratamiento de estos datos la Administración andaluza. Por otra parte, la web ***URL.1 aporta una plataforma y una app para que los padres o tutores legales voluntariamente se registren y comuniquen las ausencias de los alumnos, con enlace a la política de privacidad, en el que aparece como responsable la parte reclamada. Esta web tiene información sobre el tratamiento de los datos que realiza al acceder a la misma y registrarse. Teniendo en consideración los datos que tratan, no es necesario que nombren delegado de Protección de Datos. De conformidad con lo establecido en los Pliegos Técnicos a los que se somete el contrato que une a esta parte con la Consejería de Educación y Deporte, es obligación del adjudicatario del contrato proporcionar a los usuarios del servicio un canal para comunicarlas ausencias del alumno en el comedor con una antelación mínima de 3 días con el fin que dichas comidas sean descontadas de la factura mensual. En caso de no notificar los padres las ausencias de sus hijos, la factura contemplaría la totalidad de las comidas mensuales. No se exige certificado médico para dicha justificación. La Agencia Española de Protección de Datos no ha ido contra sus propios actos, sino que, al admitirse el recurso de reposición inicialmente presentado por el ahora recurrente, se iniciaron nuevas actuaciones de investigación para determinar el papel de la entidad reclamada en el tratamiento de los datos del servicio de comedor contratado con la Consejería de Educación y Deporte de la Junta de Andalucía. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de agosto de 2023, en el expediente EXP
- SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es