1/10 Expediente nº.: EXP202209077 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por ALL ABOUT WATER, S.L. (en lo sucesivo, la parte recurrente), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 26 de septiembre de 2024, y en base a los siguientes HECHOS PRIMERO: En fecha 26 de septiembre de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en el expediente EXP202209077, en virtud de la cual se imponía a ALL ABOUT WATER, S.L., por la infracción del artículo 5.1.
- f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
- a)de la LOPDGDD, una multa de 5.000 euros, por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo 73
- f)de la LOPDGDD, una multa de 3.000 euros y se le ordenaba que, en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 1 mes, desde que la resolución fuera firme y ejecutiva, acreditara haber procedido a la implantación de las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares, así como que informe a esta Agencia, en el mismo plazo, sobre las medidas adoptadas. Dicha resolución, que fue notificada a la parte recurrente en fecha 27 de septiembre de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00265/2023, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: Consta comunicación remitida desde la dirección de correo electrónico de la entidad reclamada (support@thebath.zendesk.com) y dirigida a un tercero con copia al reclamante, que contiene un hilo en el que le informan, entre otros, de que la solicitud número ***REFERENCIA.1 fue cerrada y fusionada en la solicitud número ***REFERENCIA.2. Este hilo contiene información del pedido realizado por el reclamante e incluye datos identificativos de este (nombre y apellidos) y de contacto (número de teléfono y dirección postal). SEGUNDO: En fecha 15 de julio de 2022, consta que el reclamante les comunica lo siguiente: “Buenas tardes, no entiendo por qué han fusionado mi solicitud ***REFERENCIA.1 del pedido ***REFERENCIA.3 con esta otra que nada tiene que ver conmigo. Han dado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 por resuelta la otra y no puedo añadir ningún comentario... Mis datos personales que aparecen aquí han sido puestos a disposición de un tercero que nada tiene que ver con el caso y vulnera gravemente la ley de protección de datos. Ruego tomen acción de manera inmediata”. TERCERO: Se comprueba que 11 minutos más tarde la entidad le responde lo siguiente: “hemos procedido a solucionarlo. Lo sentimos. Un saludo”. CUARTO: La parte reclamada indica que el mismo día 15 de julio, procedió a eliminar el CC (Con Copia) de las comunicaciones para que ningún ticket fuera recibido por ambos usuarios. QUINTO: La parte reclamada presenta escrito de alegaciones en el que reconoce que se produjo el incidente y que no tardó más de once minutos en tomar medidas para salvaguardar los datos de su cliente.” TERCERO: La parte recurrente ha interpuesto, en fecha 24 de octubre de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que, en síntesis, manifiesta que no estamos ante un asunto de gran envergadura para poder realizar investigaciones previas, por lo que, no queda acreditado en ningún momento la dilación por parte de la Agencia Española de Protección de Datos para poner en conocimiento el hecho objeto de la denuncia. Considera que lo correcto habría sido declarar la caducidad del procedimiento, pero, con la finalidad de tener una actitud colaboradora con la Agencia, contestó al requerimiento, reconociendo los hechos e indicando las medidas a llevar a cabo para evitar que pudiera volver a ocurrir. Considera que ello constituye una clara vulneración del derecho fundamental recogido en la Constitución Española. Expone que 3 meses después, en marzo de 2023, la Agencia hace un requerimiento “Abierto” para que aporte información acreditativa y documentación que acredite los cumplimientos y controles de medidas de seguridad que lleva a cabo, sin especificar que es realmente lo que requiere la Agencia, cuando ésta es consciente de que las respuestas a los requerimientos se están llevando de manera interna por parte de la empresa, observándose en ello la falta de conocimiento, que bien es cierto que no exime de su cumplimiento en cuanto al ámbito jurídico, pero esta parte entiende que se podría haber solicitado la información en un lenguaje más asequible para la empresa. Una vez que la empresa procede a responder al requerimiento 8 meses después, en noviembre de 2023, la Agencia comunica a la empresa el acuerdo de inicio de procedimiento sancionador, 1 año y 4 meses posterior al inicio del expediente y fecha de los hechos. Plazo muy superior al establecido por al art. 64 LOPDPD. Considera que, en este supuesto, el plazo transcurrido fue de 20 meses, casi el doble del establecido en la Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 Además de todo lo indicado, manifiesta que la Agencia Española de Protección de Datos indica en su propuesta de resolución, que, al tratarse de una sanción muy grave, el plazo de prescripción es de 3 años, lo cual nos deja ver que es conocedora de la existencia de la caducidad de dicho procedimiento, procediendo a tipificar la sanción como muy grave, para así poder acogerse al plazo legalmente establecido de 3 años. Expone que para catalogar la sanción como muy grave no corresponde con los criterios fijados en el art. 71 de la LOPDGDD, ya que éste establece
- d)La utilización de los datos para una finalidad que no sea compatible con la finalidad para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una base legal para ello. Lo cual no se recoge aquí, pues el responsable del tratamiento en todo momento ha reconocido su brecha de seguridad, pues tal y como se recogen en las actuaciones, se trata de un método digitalizado para la reclamación de clientes, lo único que se realiza de manera manual es la introducción de un numero para unificar los partes abiertos por un mismo cliente. La Agencia en ningún momento ha discutido la naturaleza de los hechos y en ningún momento ha catalogado la infracción como un uso incorrecto de los datos, sino como una filtración de información por un accidente humano. De igual modo tampoco ha quedado acreditado en ningún momento que un tercero realmente fuera consciente de los datos del afectado. Alega que la Agencia ha pedido que se acredite la existencia de documentos que acrediten cumplir con la LOPDGDD y así se ha aportado, al igual que se han aportado las medidas a llevar a cabo por parte del encargado de tratamiento, las medidas a llevar a cabo para que no vuelva a ocurrir, siempre hablando de la BRECHA DE SEGURIDAD sufrida por la empresa, ya que se trata de un hecho aislado, puntual y que se dio por equivocación de un número, pero en NINGÚN momento se puso a disposición de un tercero los datos del afectado. Ve desproporcionada la sanción a interponer, pues tal y como establece el art. 74
- m)La notificación incompleta, tardía o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. Está catalogada como una infracción LEVE, lo cual nos vuelve a llevar al punto de la caducidad, ya que las infracciones LEVE caducan al año de que ocurrieron los hechos. En este caso han pasado 2 años. También resalta que, cuando se procedió a realizar la contestación del requerimiento de noviembre de 2023, se establecieron unos datos de contacto de un profesional de la materia, los cuales se han obviado y lo que se le puso en conocimiento a la empresa fue que se iba realizar un cambio de la persona que iba a llevar a cabo el presente procedimiento. De igual modo, se indica que se aporta una serie de documentación que no se ve por ningún lado, lo cual nos hace creer que eso ha sido un error por parte de la administración, pues tal y como se puede ver en el acuse de registro que se adjunta como DOCUMENTO 1 los archivos a los que se hacen mención se adjuntan y así queda acreditado en el justificante. Informa que en la documentación que se adjuntó se pueden observar las medidas llevadas a cabo por parte de la empresa con la intención de subsanar el error cometido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Por último, alega que la brecha de seguridad que se generó se notificó a la Agencia, y que se ha procedido a tomar medidas que garanticen que no se repetirá como se puede comprobar en la documentación aportada. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso, la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo, LOPDGDD). II Sobre el recurso potestativo de reposición interpuesto En relación con las manifestaciones efectuadas por la parte recurrente, se reiteran básicamente las alegaciones ya presentadas a lo largo del procedimiento sancionador. Debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la resolución recurrida, cuyo contenido se da íntegramente por reproducido. En cuanto a la necesidad de las actuaciones previas de investigación, el artículo 67 de la LOPDGDD establece: 1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de la manera que exige la parte recurrente el inicio de actuaciones previas. Las actuaciones previas de investigación se realizan para esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 determinar o no, la existencia de una posible infracción de la normativa en materia de protección de datos. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD, con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no existen indicios de infracción. Lo cual, en el presente caso, no ha sucedido. Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no. En este caso, teniendo en cuenta lo anteriormente expuesto, en fecha 15 de octubre de 2022, se comunicó que su reclamación había sido admitida a trámite al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. Y, como indica el artículo 67.2 LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD. Por otra parte, debe señalarse que el plazo de caducidad del presente procedimiento, se computa desde la fecha en que se acuerda su inicio, esto es desde el 6 de octubre de 2023, resultando improcedente añadir a ese cómputo, a efectos de medir la duración del expediente administrativo, ningún otro período, tal como el tiempo de las actuaciones previas de investigación, o el tiempo que transcurra entre la finalización de esas actuaciones y la apertura del procedimiento, ni el tiempo correspondiente a la fase de admisión a trámite de las reclamaciones presentadas. Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de 21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo siguiente: “[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente sancionador, lo que obviamente excluye del cómputo el tiempo de la información reservada";" […] la mayor o menor duración de la fase preliminar no lleva aparejada la caducidad del procedimiento ulterior". También en Sentencia del Tribunal Supremo de 13/10/2011 (recurso 3987/2008) que examina un motivo de casación relativo al cómputo del plazo de caducidad del procedimiento, se declara lo siguiente: “No podemos compartir el razonamiento que expone la Sala de instancia para fijar un dies a quo diferente al establecido por la Ley, señalando como fecha inicial del cómputo el día siguiente a la finalización de las diligencias previas informativas. […] Pues bien, una vez realizadas esas actuaciones previas, el tiempo que tarde la Administración en acordar la incoación del procedimiento […] podrá tener las consecuencias que procedan en cuanto al cómputo de la prescripción (extinción del derecho); pero no puede ser tomado en consideración a efectos de la caducidad, pues esta figura lo que pretende es asegurar que una vez iniciado el procedimiento la Administración no sobrepase el plazo de que dispone para resolver. En el fundamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 tercero de la sentencia recurrida la Sala de instancia realiza una interpretación de la norma que no es acorde con la naturaleza de la institución de la caducidad, pues a diferencia de la prescripción, que es causa de extinción del derecho o de la responsabilidad de que se trate, la caducidad es un modo de terminación del procedimiento por el transcurso del plazo fijado en la norma, por lo que su apreciación no impide, si no ha transcurrido el plazo establecido para la prescripción de la acción de restablecimiento de legalidad urbanística por parte de la Administración, la iniciación de un nuevo procedimiento”. Por lo que el planteamiento que la parte recurrente realiza sobre esta cuestión en sus alegaciones no se ajusta a Derecho. En cuanto a la prescripción de las infracciones imputables a la parte recurrente por la vulneración de los artículos 5.1.
- f)y 32 del RGPD, hay que señalar que está íntimamente ligada con la calificación jurídica de los hechos ya valorados, cuestión que ya fue analizada en los Fundamentos de Derecho de la resolución recurrida, cuyo contenido se da por íntegramente reproducido. Por otra parte, procede recordar que el RGPD introduce el principio de responsabilidad proactiva como elemento fundamental de cumplimiento de sus previsiones, incumbiendo dicha obligación al responsable. Tal y como establece el artículo 24 de dicha norma, corresponde al responsable del tratamiento aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es conforme con el RGPD, o, en los términos del considerando 74 de la misma norma: “En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas”. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No está obligada esta Agencia a emitir opinión o valoración alguna sobre la conformidad con la normativa de protección de datos de los tratamientos que lleva a cabo un responsable a petición de éste, salvo en el supuesto de consulta previa previsto en el artículo 36, supuesto ante el que no nos encontramos en el presente procedimiento. Por otra parte, si bien esta Agencia dispone de diversos canales para que los responsables puedan plantear sus dudas, los informes que a través de tales canales pudieran emitirse, carecen de carácter vinculante, por lo que no cabe justificar en la ausencia de una opinión de la AEPD sobre los tratamientos del responsable, el incumplimiento de las obligaciones de éste. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Ha de concluirse, por lo tanto, que la parte recurrente ha podido ejercer en todo momento a lo largo de la tramitación del procedimiento sancionador su derecho a la defensa, conociendo en todo momento los hechos que se le imputan y las infracciones derivadas de los mismos, sin que, del rechazo por parte de esta AEPD de los argumentos reiteradamente esgrimidos, en base a razonamientos debidamente motivados, pueda extraerse una falta de conocimiento para entender lo expuesto como alega la recurrente. Como consideración general y final, procede señalar que ninguna de las sanciones aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la infracción del artículo 32 y la del artículo 5.1.f), establecen unos límites en las cuantías de las multas que se pueden imponer muy alejados de las que finalmente se han establecido, habiéndose considerado para su individualización, dentro de los márgenes legalmente establecidos, las circunstancias concretas que concurren en el presente caso. Esta adecuación de la sanción al caso concreto no solo no vulnera el principio de proporcionalidad, sino que, como a continuación se indica, resulta exigible para dar debido cumplimiento al mismo. Tal y como ha considerado el Tribunal Supremo en diferentes sentencias (STS 4ª 10 de julio de 1985, STS 12 de diciembre de 2012, STS 3ª 23 de junio de 2014), la discrecionalidad que se otorga a la Administración en la imposición de sanciones, dentro de los límites legalmente previstos, debe ser desarrollada ponderando las circunstancias concurrentes, con el objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad. Por su parte, el artículo 29 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público, en el apartado 3, hace igualmente referencia a la necesidad de adecuar las sanciones a la gravedad de los hechos constitutivos de infracción. En consecuencia, la Administración dispone de un cierto margen de apreciación de las circunstancias concretas a la hora de valorar el alcance de la infracción, necesario y requerido para determinar la cuantía concreta de la sanción, lo cual no implica que en su actuación pueda hablarse de discrecionalidad en sentido estricto o arbitrariedad. Sobre este particular, la Sentencia del Tribunal Supremo, de 12 de diciembre de 2012, rec. 5120/2009, que reproduce lo ya expresado en su sentencia de 29 de junio de 2010, aclara lo siguiente: “Pero es un error jurídico entender que dicho margen de apreciación puede calificarse propiamente de discrecionalidad, en su sentido estricto de admitir una libertad más o menos amplia para decidir una sanción u otra. Dicho margen de apreciación quiere decir que es la Administración quien está en mejor posición para valorar el peso relativo de las diversas circunstancias concurrentes en un supuesto concreto a la hora de determinar el riesgo creado a la seguridad o el perjuicio causado al bien jurídico protegido. Pero dicha capacidad de apreciación no quiere decir que no deban tenerse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 en cuenta obligadamente para fijar una sanción las diversas circunstancias concurrentes y así ponerlo de manifiesto en toda resolución sancionadora.” La discrecionalidad con la que cuenta la Administración para determinar la sanción a imponer es bastante limitada, estando nítidamente regulados todos los elementos a tener en cuenta para determinar el importe de la correspondiente multa. Es decir, sin perjuicio de la existencia del margen de apreciación indicado, la Administración debe ajustarse en su actuación, a la aplicación de unos criterios valorativos previstos en la norma e inferibles de principios integradores del ordenamiento jurídico (Sentencia del Tribunal Supremo de 30 noviembre 2004 Rec. núm. 6573/2001 (RJ 2005\5402). En el caso que nos ocupa, estos criterios valorativos se encuentran recogidos en el artículo 83.2 del RGPD, y en el artículo 76.2 de la LOPDPGDD,y la determinación concreta de las sanciones se ha efectuado atendiendo a la concurrencia de las circunstancias previstas en los citados preceptos para la graduación de las sanciones, que han resultado expuestas y razonadas a lo largo del presente procedimiento sancionador, sin que pueda aceptarse que haya existido una vulneración del principio de proporcionalidad por parte de esta Agencia en el sentido alegado por el recurrente. Por tanto, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ALL ABOUT WATER, S.L. contra la resolución de esta Agencia Española de Protección de Datos, dictada en fecha 26 de septiembre de 2024, en el expediente EXP202209077. SEGUNDO: NOTIFICAR la presente resolución a ALL ABOUT WATER, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos, en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es