REPOSICION-PS-00267-2015

(1)con medio de cobro bancario. El recibo queda excluido de los procesos de anulación automática por el motivo: RAMO NO ANULABLE 30/10/2013 El proceso de domiciliación bancaria da el recibo por cobrado y lo envía al banco a la cuenta IBAN ES***CCC.1 13/11/2013 El banco devuelve el recibo por error domiciliación (cliente) 13/11/2013 Se sitúa provisionalmente en código 905 El nuevo recibo es ***RECIBO.1

(1)El recibo queda excluido de los procesos de anulación automática por el motivo: RAMO NO ANULABLE 13/11/2013 CELESTE (…) anula el recibo El estado del recibo es anulado. Operación A1 (folio 139). SEPTIMO. GENERALI y CELESTE suscribieron el 26/06/2005 Anexo de adaptación al Contrato de Agencia de Seguros en Exclusiva, conteniendo cláusula de conformidad con lo señalado en el artículo 12 de la LOPD (folios 112 y ss). OCTAVO. CELESTE en escrito de fecha 19/06/2015, ha reconocido voluntariamente su responsabilidad en los hechos acaecidos, a los efectos de los previsto en el artículo 8 del R.D. 1398/1993 de 4 de agosto, por el que se aprueba el reglamento del procedimiento para el ejercicio de la potestad sancionadora, señalado que: “En razón de lo anterior, esta parte reconoce expresamente que uno de sus empleados accedió al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 portal web del mediador de Generali para solicitar la emisión de un producto de seguro a favor del denunciante, si bien, a consecuencia de un error humano que no podemos explicar, formuló la solicitud de emisión de la póliza sin recabar previamente el consentimiento del tomador a la contratación del producto de seguro, sirviéndose para ello de las claves de acceso al citado portal web que todos los mediadores tienen para la solicitud directa de emisiones de pólizas de cierta naturaleza y cuantía” (folio 238 y 239). TERCERO: GENERALI ESPAÑA, S.A. DE SEGUROS Y REASEGUROS (en lo sucesivo el recurrente), ha presentado en fecha 26/11/2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en alegaciones ya formuladas con anterioridad y además que no se le puede imputar la infracción cometida por su agente y que no han sido tenidas en cuenta circunstancias concurrentes que hacen necesario graduar la sanción en cuenta inferior a la impuesta. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a GENERALI y CELESTE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El presupuesto factico de la infracción atribuida a GENERALI se concreta en el tratamiento de los datos del denunciante materializado en su vinculación con un contrato de seguro de responsabilidad civil profesional, póliza nº ***PÓLIZA.1, y, además, adeudando en la cuenta bancaria del denunciante recibo anual de la prima de la citada póliza, para el periodo 30/10/2013 al 30/10/2014, por un importe de 975,73 euros, sin que conste acreditado su consentimiento inequívoco. En cuanto a CELESTE ha quedado acreditado que fue quien comunicó a GENERALI, en el marco del contrato de agencia que les vinculaba, los datos del denunciante para la contratación de un seguro de responsabilidad civil profesional. CELESTE en cumplimiento de las obligaciones derivadas de dicho contrato estaba obligada a recabar y obtener del denunciante su consentimiento inequívoco a la citada contratación. Sin embargo, CELESTE no ha aportado documento alguno, grafico o sonoro, del que se pueda desprender que el denunciante había prestado su consentimiento a la citada contratación y, consiguientemente, al tratamiento de sus datos de carácter personal y, tampoco GENERALI ha acreditado que hubiera recabado de CELESTE que contaba con el consentimiento inequívoco del denunciante para la emisión de la póliza de seguro. Dichos tratamientos de datos vulneran el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a GENERALI y CELESTE tratar los datos de la denunciante sin su consentimiento. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 Con carácter general, la actividad de mediación del seguro privado se encuentra regulada en la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados. En el presente caso interviene un Agente de seguros exclusivo por lo que hay que traer a colación lo establecido en el artículo 13 de la citada Ley. El artículo 13. Concepto y requisitos de los agentes de seguros exclusivos, señala que: “1. Son agentes de seguros exclusivos las personas físicas o jurídicas que, mediante la celebración de un contrato de agencia de seguros con una entidad aseguradora y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, se comprometen frente a dicha entidad aseguradora a realizar la actividad de mediación de seguros definida en el artículo 2.1 de esta Ley, en los términos acordados en dicho contrato”. Además, el artículo 19. Incompatibilidades de los agentes de seguros exclusivos, establece: “1. Los agentes de seguros exclusivos no podrán ejercer como agentes de seguros vinculados, ni como corredores de seguros o como auxiliares externos de ellos o de otros agentes de seguros exclusivos”. El artículo 62. Condición de responsable o encargado del tratamiento. “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley. b. (…) c. (…) d. (…) 2. En los supuestos previstos en las letras a y b del apartado 1 anterior, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, y, en particular, la indicación de si el agente de seguros va a celebrar contratos mercantiles con los auxiliares externos, a los que se refiere el artículo 8 de esta Ley. Del mismo modo, en el supuesto previsto en el apartado 1.d anterior deberán incluirse en el contrato mercantil celebrado con los auxiliares externos los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre”. Los preceptos anteriores han de ponerse en relación con el artículo 43 de la LOPD que señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado

1. q)del artículo 5, señala lo siguiente: “
2. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque GENERALI no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. GENERALI ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso el agente exclusivo), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada compañía aseguradora la que emitió la respectiva póliza conteniendo los datos de la denunciante y no quien media en su contratación; los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. En este sentido, la A.N. en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 En el presente caso, tanto CELESTE, en su condición de encargado del tratamiento, como GENERALI, son responsables de la infracción cometida, de conformidad con las definiciones legales recogidas en los artículos 3 y 43 de la LOPD. De lo que se desprende que GENERALI también está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. IV Alega la representación de GENERALI que no cabría imputarle infracción del artículo 6.1 de la LOPD puesto que en todo caso la entidad dio respuesta a la solicitud emitiendo la póliza en el entendimiento y confianza legítima de que el agente exclusivo había recabado el consentimiento del tomador previamente a solicitar la citada emisión a través del portal web de mediadores de GENERALI. La A.N. en sentencia de 05/03/2014 ha señalado en un caso similar que “Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. Sentado lo anterior, se anticipa ya que resulta acreditado el tratamiento por parte de Mapfre Familiar Compañía de Seguros y Reaseguros, S.A. de datos personales de la denunciante sin su consentimiento, incurriendo, por ello, en la infracción tipificada en el artículo 44.3.
3. b)LOPD, materializándose tal tratamiento en la incorporación de sus datos de carácter personal a los ficheros de la compañía, manteniéndolos en tales ficheros, asociados a una póliza de seguro de hogar, y el cobro de la prima del seguro contra la cuenta corriente de la denunciante sin su consentimiento. La entidad aseguradora, que actuó en la contratación a través de un agente exclusivo de la misma, no contaba con habilitación legal para el tratamiento de los datos de la denunciante que implicaba la contratación del seguro de hogar y el cobro de su prima, antes expresados, pues no obtuvo su consentimiento a tal fin”. Como consta en el escrito de denuncia el afectado ha manifestado que recibió un cargo erróneo en su cuenta bancaria ordenado por GENERALI, quien “ha emitido de manera unilateral y sin autorización ni consentimiento un seguro de responsabilidad civil, valiéndose de los datos personales contenidos en su base de datos”. La Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber suscrito ningún contrato con la entidad denunciada, traslada a ésta última la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de sus datos personales. En este mismo sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, correspondía a GENERALI, estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
4. b)tipifica como infracción grave “
5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, tanto GENERALI como CELESTE han incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. Las entidades mencionadas ha tratado los datos del denunciante sin contar con su consentimiento inequívoco: CELESTE comunicando a GENERALI, en el marco del contrato de agencia que les vinculaba, los datos del denunciante para la contratación a un seguro de responsabilidad civil profesional, sin haber obtenido su consentimiento o autorización y, GENERALI, emitiéndole la póliza nº ***PÓLIZA.1 relativa al citado seguro y, además, adeudando en la cuenta bancaria del denunciante el recibo anual de la prima correspondiente, lo que supone todo ello una vulneración del artículo 6.1 de la LOPD, conductas que encuentran su tipificación en este artículo 44.3.
6. b)de la citada Ley Orgánica y de las que las citadas entidades deben responder. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Las representaciones de CELESTE y GENERALI han solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD como consecuencia de la existencia de una cualificada disminución de la culpabilidad y antijuridicidad lo que permitiría la aplicación de una sanción de la escala inferior correspondiente a las sanciones leves y, adicionalmente, la aplicación del apartado 4 del citado artículo, al concurrir supuestos contemplados en el mismo y que permitirían aminorar la cuantía de la sanción. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que tanto CELESTE como GENERALI han vulnerado el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento inequívoco: GENERALI, responsable del tratamiento, por su absoluta falta de verificación de la actuación llevada a cabo por su encargada del tratamiento, incumpliendo la obligación establecida en el citado artículo 6.1 de la LOPD y materializado en la emisión de un seguro de responsabilidad civil profesional, póliza nº ***PÓLIZA.2, y, además, adeudando en su cuenta bancaria el recibo anual de la prima de la citada póliza por un importe de 975,73 euros, omitiendo con ello una diligencia mínima que le es exigible en el desarrollo de su actividad empresarial. En lo que se refiere a CELESTE, encargada del tratamiento, trasladó a GENERALI, en el marco del contrato de agencia de seguros exclusivo de 26/06/2005 que les vinculaba, los datos del denunciante para la contratación de un seguro de responsabilidad civil profesional sin haber recabado y obtenido del denunciante su consentimiento inequívoco a la citada contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Por tanto, en virtud del encargo del tratamiento que vinculaba a GENERALI y CELESTE, esta última debía de haber recabado el consentimiento del denunciante y supuesto contratante y GENERALI, responsable del fichero, comprobar y constatar que se contaba con su consentimiento inequívoco del titular de los datos. En cuanto a CELESTE se estima aplicable la atenuante privilegiada del artículo 45.5 al amparo de la circunstancia prevista en el apartado
22. a)“Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. Entre tales circunstancias hay que destacar el apartado
23. d)ya que se trata de una pequeña sociedad con escasos recursos económicos y
24. j)ya que es la primera vez que se presenta una denuncia contra dicha sociedad por vulneración de la LOPD. Además, hay que hacer referencia a la circunstancia contemplada en el apartado
25. d)del artículo 45.5 de la LOPD, al haber reconocido CELESTE espontáneamente su responsabilidad en los hechos ocurridos, señalando que “esta parte reconoce expresamente que uno de sus empleados accedió al portal web del mediador de Generali para solicitar la emisión de un producto de seguro a favor del denunciante, si bien,…sin recabar previamente el consentimiento del tomador a la contratación del producto de seguro”, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, en su actuación concurren otras circunstancias que determinan una menor culpabilidad no excluyente de su responsabilidad pues si bien debió haber acreditado el consentimiento inequívoco del denunciante, su menor practica y conocimiento de la normativa en materia de protección de datos que la compañía aseguradora más habituada al tráfico jurídico, el volumen de negocio de la misma considerablemente inferior al del responsable del tratamiento, además de ofrecerle sus disculpas al denunciante por lo ocurrido y anunciarle la devolución inmediata del importe de la prima. En cuanto a GENERALI, de la documentación aportada se revela la concurrencia del supuesto previsto en el artículo 45.5
26. b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que la compañía aseguradora tan pronto como detectó y tuvo conocimiento de la incidencia producida actuó con razonable diligencia para corregir la situación adoptando las medidas adecuadas en pocos días, puesto que el recibo de la prima fue emitido el 29/10/2014 y se anuló el 13/11/2014, lo que también permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, GENERALI ha invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la atenuación de la sanción a imponer. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 En cuanto a la circunstancia prevista en el apartado
27. h)del artículo 45.4, relativa a la ausencia de daños y perjuicios, tal alegato no puede aceptarse a la vista de los hechos considerados probados en el procedimiento, ya que como consecuencia del cargo efectuado el denunciante no pudo hacer frente a otros compromisos. Además, la Audiencia Nacional se ha pronunciado en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a que la existencia de controles o procedimientos adoptados en materia de formación y protección de datos de carácter personal con carácter previo a la comisión de la infracción, circunstancia prevista en el apartado
28. i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar con medidas adicionales para no incurrir en hechos similares a los imputados y que pudieron ser evitados. En cuanto a la circunstancia prevista en el apartado
29. g)del artículo 45.4, la ausencia de reincidencia en la comisión de infracciones de la misma naturaleza, hay que señalar que la citada circunstancia por su propia naturaleza no puede operar como atenuante, premiando la no infracción de la normativa sobre protección de datos y el cumplimiento de deberes que la ley impone, aunque sí podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. No obstante, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
30. c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidades denunciadas se ven obligadas a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
31. d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las grandes compañías aseguradoras del país por cuota de mercado. En cuanto a la ausencia de beneficios, la LOPD prevé en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad, por ello, al margen de que en la conducta de la compañía aseguradora se aprecie como atenuante de su conducta la circunstancia prevista en el apartado e), la concurrencia de las circunstancias agravantes expresadas en el párrafo precedente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 3.000 € a CELESTE y de 10.000 € a GENERALI por haber infringido ambas el artículo 6.1 de la LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 En el escrito de recurso el recurrente ha alegado su disconformidad con la resolución dictada puesto que no se le puede imputar la infracción cometida por su agente, verdadero responsable de la misma y, además, con la interpretación que se realiza de las circunstancias previstas en el artículo 45.4 de la LOPD, por lo que habría que graduar la sanción en cuantía inferior a la impuesta. En cuanto a la primera de las cuestiones alegadas, hay que señalar que el expediente sancionador que trae causa el recurso se inició a raíz de la denuncia presentada en la AEPD por el Sr. ***NOMBRE.1º en el que manifestaba haber recibido un cargo de GENERALI por la prima de una póliza de seguro que no había contratado, tratando sus datos de carácter personal sin su consentimiento. El presupuesto fáctico de la infracción imputada al recurrente se concreta en el tratamiento que esa entidad ha realizado de los datos personales del afectado vinculándolos a un contrato de seguro para el que no consta acreditado su consentimiento. Así, obra en el expediente copia del adeudo por domiciliación en cuenta titularidad del denunciante el cargo ordenado por GENERALI del recibo de la póliza ***PÓLIZA.1, que también ha sido aportada al expediente donde figuran los datos personales del denunciante como tomador y asegurado; documento que no se encuentra firmado por el tomador. Resulta un hecho incontrovertible que en los ficheros informatizados de GENERALI los datos del afectado se encuentran vinculados a un contrato de seguro, duración anual prorrogable, periodo 30/10/2013 a 30/10/2014, por un importe de 975,13 euros. En este sentido la STAN de 31 de mayo de 2006, (Recurso 539/2004), en su Fundamento de Derecho Cuarto, declara: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Y la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD). Asimismo, es un hecho probado que la contratación se realizó a través del agente de seguros exclusivo CELESTE quien ha reconocido su responsabilidad en la citada contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 No obstante, es necesario reiterar que la intervención de CELESTE en la contratación no exime de responsabilidad al recurrente, en tanto es ella la titular del fichero al que accedieron los datos del denunciante asociados a un servicio que él niega haber contratado. Con toda claridad se pronuncia la Audiencia Nacional en la STAN de 10 de mayo de 2012 en cuyo Fundamento de Derecho Segundo indica: “Es cierto que Xfera Móviles S.A. no ha tenido contacto directo con los “clientes”, pues dichas contrataciones se efectuaron a través del agente comercial (…) con el que había suscrito un “Contrato de Prestación de Servicios Logísticos”. (…) Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la recurrente por cuanto como viene reiterando la Sala, la responsabilidad en que en su caso haya podido incurrir dicho distribuidor o agente comercial al facilitar a Xfera Móviles S.A. datos de los denunciantes sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales,” Y añade: “ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios..”, y la que en correlación debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión”. En el mismo sentido podemos citar STAN de 26 de abril de 2012 y de 15 de marzo de 2012. De lo manifestado por la entidad denunciada se evidencia que su comportamiento no es el exigido al responsable del fichero cuando las contrataciones se efectúan a través de agente. En la Sentencia indicada la Audiencia señalaba que el responsable del fichero debía asegurarse de que aquél a quien solicita los datos para contratar y ser tratados por ella presta su consentimiento inequívoco, aunque la recogida se haga a través de un tercero. También en STAN de 15 de marzo de 2012 en el que se plantea un caso análogo la Audiencia afirma que “En su condición de responsable del fichero y de tratamiento, Endesa Energía tenía la obligación de asegurarse que contaba con el consentimiento de los denunciantes para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes”. Por el contrario, de la documentación aportada al expediente demuestra que el recurrente se limitó, para dar de alta los datos del afectado en un contrato de seguro, a recibir de CELESTE la orden de emitir una póliza, incorporando a su fichero los datos personales del denunciante como contratante del citado seguro, sin asegurarse que contaba con su consentimiento y apoyándose exclusivamente en los datos introducidos por el agente a través del portal web de la compañía. En este mismo sentido se pronuncia la SAN de 10/07/2014 cuando señala “En su condición de responsable del fichero, Santander Seguros tenía la obligación de asegurarse que se contaba con el consentimiento del denunciante para tratar sus datos de carácter personal y debía haber supervisado que se contaba con contrato firmado del denunciante para llevar a cabo dicha alta, contrato que como hemos visto exige la aseguradora para abonar la comisión comercial al mediador de seguro. Por tanto, no se trata de que la entidad recurrente responda por hechos de terceros sino que es responsable de la infracción del artículo 44.3.
32. b)LOPD por falta de diligencia en su actuación, siéndole imputable a título de culpa”. En ningún caso se ha acreditado que el recurrente solicitara a su agente copia de la solicitud, grabación o contrato antes de incorporar a sus ficheros los datos del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 IV Invoca el recurrente la SAN 3329/2007 de 04/07/2007 estimatoria del recurso contencioso-administrativo interpuesto por ARAG contra la resolución dictada en el PS/00076/2005. No obstante, tal alegato debe ser rechazado ya que dicho procedimiento no guarda relación alguna con el que trae curso el presente recurso. En aquel las partes denunciadas eran una aseguradora (ARAG) y un corredor de seguros (EBROSEGUROS) responsable del fichero; mientras que en éste las partes denunciaos imputados son una aseguradora (GENERALI) y su agente exclusivo con el que tiene suscrito un contrato de servicios ostentando la condición de encargado del tratamiento (CELESTE). La propia sentencia alegada señala: “Dadas las peculiaridades del presente caso, en el que interviene en la contratación un Mediador o Corredor de Seguros, ha de traerse a colación lo estipulado en la Ley 9/1992, de 30 de abril, que regulaba la actividad de Mediación en los Seguros Privados en el momento de los hechos, cuyo artículo 14.1 establecía que: "Son corredores de seguros las personas físicas o jurídicas que realizan la actividad mercantil de mediación de seguros privados, sin mantener vínculos que supongan afección con entidades aseguradoras…y ofreciendo asesoramiento profesional imparcial a quienes demandan cobertura de los riesgos a que se encuentran expuestos sus personas, sus patrimonios, sus intereses o responsabilidades. Añadiendo el apartado 2 del artículo 14 de la repetida Ley 9/1992 que "Los corredores de seguros deberán informar a quien trate de concertar el seguro sobre las condiciones del contrato que a su juicio conviene suscribir, ofreciendo la cobertura que, de acuerdo a su criterio profesional, mejor se adapte a las necesidades de aquél, y velarán por la concurrencia de los requisitos que ha de reunir la póliza para su eficacia y plenitud de efectos". Ello, porque en definitiva la controversia planteada consiste en determinar si es exigible o no el "consentimiento inequívoco" del Art. 6.1 de la LOPD, a fin de contratar determinada póliza de seguro, no solo al corredor o mediador que interviene entre la aseguradora y las aseguradas o clientes, en este caso Ebroseguros, sino también a dicha compañía de seguros cuya póliza se contrata, en este caso Arag. (…) Han de mencionarse también lo preceptuado en el Art. 55.2 de dicha Ley 26/2006, que tipifica como infracción de la actividad de mediación "la falta de autorización del cliente para la celebración de un contrato de seguro en cuya mediación hubiera intervenido un corredor de seguros" constituyendo un hecho la infracción del mediador, no de la compañía aseguradora”. Sin embargo, se reitera la SAN de 05/03/2014 citada en la resolución recurrida que en un caso similar ha señalado: “Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 Sentado lo anterior, se anticipa ya que resulta acreditado el tratamiento por parte de Mapfre Familiar Compañía de Seguros y Reaseguros, S.A. de datos personales de la denunciante sin su consentimiento, incurriendo, por ello, en la infracción tipificada en el artículo 44.3.
33. b)LOPD, materializándose tal tratamiento en la incorporación de sus datos de carácter personal a los ficheros de la compañía, manteniéndolos en tales ficheros, asociados a una póliza de seguro de hogar, y el cobro de la prima del seguro contra la cuenta corriente de la denunciante sin su consentimiento. La entidad aseguradora, que actuó en la contratación a través de un agente exclusivo de la misma, no contaba con habilitación legal para el tratamiento de los datos de la denunciante que implicaba la contratación del seguro de hogar y el cobro de su prima, antes expresados, pues no obtuvo su consentimiento a tal fin” (los subrayados son de la el subrayado de la AEPD). V También el recurrente ha alegado que no se han valorado e interpretado correctamente las circunstancias concurrentes previstas en el artículo 45.4 de la LOPD y, además, ha invocado la obsolescencia de la jurisprudencia alegada la cual no puede servir de base para interpretar un precepto como el artículo 45 de la LOPD, normativa que ha sufrido modificaciones posteriores por la Ley de Economía Sostenible. - En primer lugar, hay que recordar que en la resolución recurrida ha sido aplicada la atenuante privilegiada prevista en el artículo 45.5.
34. b)de la LOPD “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”; por tal razón y dado que la vulneración del artículo 6.1 de la LOPD tiene la consideración de infracción grave, procedía imponer una sanción cuyo importe oscilara entre 900 y 40.000 euros, en aplicación de lo dispuesto en el artículo 45.1 de la citada Ley Orgánica. Además, en la resolución sancionadora han sido tomados en consideración criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular “la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal” (apartado
35. b)puesto que es notoria la vinculación de la actividad de la infractora con la realización de tratamiento de datos de carácter personal y el volumen de negocio del infractor (apartado
36. d)ya que se trata de una gran compañía aseguradora, lo que en vez de atenuar su responsabilidad, le impone un mayor deber de diligencia en su actuación, lo que justifica la imposición de una sanción de 10.000 euros por la infracción del artículo 6.1 de la LOPD y de la que el recurrente debe responder, resultando proporcionada a la gravedad de la infracción cometida y a la entidad de los hechos acreditados en el procedimiento. Consideraciones todas ellas que conducen a la improcedencia de la solicitud del recurrente de la pretensión minoratoria de la sanción. - En segundo lugar, de las circunstancias apuntadas por el recurrente en el presente escrito y cuya interpretación considera ha sido realizada incorrectamente, todas ellas ya fueron analizados en la resolución recurrida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 En cuanto a la ausencia de perjuicios al denunciante, hay que volver a indicar que estos existieron, como consta en el hecho probado tercero y sexto de la resolución. Así se señala que “El denunciante aporta copia de adeudo por domiciliación en la cuenta titularidad del denunciante en Novagalicia conteniendo el cargo ordenado por GENERALI, con fecha 31/10/2013, recibo de la póliza nº ***PÓLIZA.1, RC General, para el periodo 30/10/2013 al 30/10/2014, por un importe de 975,73 euros”, aun cuando dicho importe fuera devuelto. En este sentido se pronuncia la Audiencia Nacional, en sentencia de 26/12/2013, al señalar que “la existencia de perjuicios al denunciante resulta más que evidente, pues contra su cuenta corriente se giraron los recibos, aunque fueran con posterioridad anulados”. Además, hay que señalar que como consta en el hecho probado quinto en el escrito de reclamación presentado ante la DGS y FP el 28/02/2014 el denunciante manifestaba su disconformidad con la respuesta ofrecida por el Servicio de Atención al Cliente de la reclamante, indicando que “La realidad es que…ha tenido que ir al banco y pedir la devolución del recibo, lo que le ha ocasionado ciertos gastos bancarios, así como gastos de correo, gestiones administrativas, desplazamientos, pérdidas de tiempo…sin haber firmado ni solicitado ninguna póliza a esta Compañía” (folio 11 y 12). En cuanto a la ineficacia de protocolos y procedimientos internos de protección de datos implantados previamente a la apertura del expediente sancionador por el recurrente, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento sancionador, lo que demuestra la falta de diligencia mostrada por el recurrente. Sostiene que no existe grado de intencionalidad por parte de la denunciada en la comisión de la infracción. Sin embargo, cabe señalar como consta en la resolución recurrida que la infracción apreciada se puede cometer de forma culposa y que en este caso la falta de diligencia de la recurrente ha sido clara, pues no ha acreditado la existencia del consentimiento inequívoco del denunciante en la contratación de la póliza, como así lo ha reconocido su encargado del tratamiento en escrito de 19/06/2015 al señalar “…esta parte reconoce expresamente que uno de sus empleados accedió al portal web del mediador de Generali para solicitar la emisión de un producto de seguro a favor del denunciante, si bien, a consecuencia de un error humano que no podemos explicar, formuló la solicitud de emisión de la póliza sin recabar previamente el consentimiento del tomador a la contratación del producto de seguro, sirviéndose para ello de las claves de acceso al citado portal web que todos los mediadores tienen para la solicitud directa de emisiones de pólizas de cierta naturaleza y cuantía”, lo que pone de manifiesto lo inadecuado de los procedimientos de protección de datos implantados por la entidad con anterioridad a la comisión de la infracción. Por tanto, la existencia de culpabilidad resulta clara en el presente caso por la falta de diligencia de la entidad, pues si hubiera actuado con la diligencia debida habría cumplido con los requisitos exigibles para acreditar el consentimiento de la denunciante, por lo que puede hablarse de vulneración del principio de culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 En cuanto a la ausencia de reincidencia tal circunstancia no se contempla como circunstancia atenuante, sino como agravante de la conducta infractora. La Audiencia Nacional en sentencia de 26/02/2014 establece que “Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del artículo 45 LOPD , deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera "significativa", que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notoria la reiteración de conductas infractoras en materia de protección de datos por parte de France Telecom, de todo ello concluimos que el artículo 45.5 LOPD no puede ser aplicado en el caso” y en sentencia de 30/06/2015 “A lo expuesto debe añadirse, frente a lo alegado por la demandante, que el hecho de que no se haya atribuido a la infracción sancionada carácter continuado o la ausencia de reincidencia no pueden operar como circunstancias atenuadoras de su responsabilidad, pues tan solo podrían apreciarse como circunstancias agravantes”. En cuanto a que no pueden ser consideradas como agravantes las circunstancias prevista en el artículo 45.4 “
37. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” y
38. d)“volumen de negocio o actividad del infractor”, baste señalar las numerosas sentencias emitidas por la Audiencia Nacional, entre otras la de fecha 12/03/2014, sobre la que no puede invocarse obsolescencia por ser posteriores a la modificación legislativa de la LOPD llevada a cabo por la Ley de Economía Sostenible, en la que señala: “Por otro lado, la Administración demandada atendió en la resolución recurrida a la concurrencia de determinadas circunstancias agravantes establecidas en el artículo 45.4 LOPD para determinar la concreta sanción a imponer, entre las que se encuentra …, la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal, dada su actividad empresarial (apartado c), y el importante volumen de negocio de la compañía sancionada, cuya notoriedad releva de necesidad de prueba (apartado d), que justifican la graduación de la sanción realizada. En consecuencia, estima la Sala que la sanción impuesta resulta ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración”. En cuanto a la ausencia de beneficios, como se indicaba anteriormente, la LOPD prevée en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad, por ello, al margen de que en la conducta de la compañía aseguradora se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
39. e)la ausencia de beneficios, la concurrencia de las circunstancias agravantes expresadas en el párrafo precedente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. Aunque la propia A.N. en sentencias recientes considera que no puede alegarse la citada circunstancia cuando lo que se pretende es la contratación de una póliza de seguro sin consentimiento con la finalidad precisamente de obtenerlos. VI Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GENERALI ESPAÑA, S.A. DE SEGUROS Y REASEGUROS contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de octubre de 2015, en el procedimiento sancionador PS/00267/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad GENERALI ESPAÑA, S.A. DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es