1/19 Expediente nº.: EXP202208398 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la D.G. DE SOSTENIBILIDAD del AYUNTAMIENTO DE MADRID (en lo sucesivo, la parte recurrente o D.G.S.) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 2 de julio de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 2 de julio de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202208398, en virtud de la cual se declaraba que el AYUNTAMIENTO DE MADRID. DG. SOSTENIBILIDAD había infringido lo dispuesto en: - El artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. - El artículo 32.1 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD. - El artículo 33.1 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 3 de julio de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: PRIMERO. La DGS en fecha ***FECHA.1 notificó a la Agencia Española de Protección de Datos, brecha de seguridad de datos personales que podría vulnerar la legislación en materia de protección de datos. SEGUNDO. Consta aportado Formulario de notificación de brecha de seguridad elaborado por la Agencia Española de Protección de Datos, con fecha ***FECHA.1. Como motivo de la brecha figura señalado Datos personales enviados por error (postal o electrónicamente). TERCERO. Con fecha ***FECHA.2 fue emitida Resolución ordenando al responsable del tratamiento la comunicación de la brecha de datos personales a los interesados, sin dilación indebida; asimismo, se le informaba que no se prevé el inicio de otras acciones por parte de esta Agencia. CUARTO. Consta Comunicación de brecha de seguridad, en relación con la primera brecha comunicada a la Agencia, dirigidas a dos de los afectados. Asimismo, en escrito de respuesta al requerimiento de la AEPD de ***FECHA.3 referencia de los escritos remitidos a los afectados por ambas brechas, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/19 ambas brechas, indicándose el número de expediente afectado, fecha de envió, fecha de entrega, etc. QUINTO. El responsable del tratamiento, en fecha ***FECHA.4 notificó a la Agencia Española de Protección de Datos, nueva brecha de seguridad de datos personales que podría vulnerar la legislación en materia de protección de datos. SEXTO. Consta aportado Formulario de notificación de brecha de seguridad elaborado por la Agencia Española de Protección de Datos, con fecha ***FECHA.4. Como motivo de la brecha figura el mismo señalado en el hecho probado primero. SEPTIMO. Con fecha ***FECHA.5 fue emitida Resolución ordenando al responsable del tratamiento la comunicación de la brecha de datos personales a los interesados, sin dilación indebida; asimismo, se le informaba que no se prevé el inicio de otras acciones por parte de esta Agencia. OCTAVO. Consta aportado CONFIRMACIÓN DE CUMPLIMIENTO, de 30/06/2022 en relación con la segunda brecha comunicada a la Agencia, habiéndose identificado 4 personas afectadas y 4 comunicaciones erróneas, comunicándose a todos y adjuntando el contenido de la comunicación. NOVENO. El responsable del tratamiento en respuesta al requerimiento de la AEPD ha manifestado en escrito de ***FECHA.6 y en relación con la primera brecha notificada que: “(…)” Y en relación con la segunda brecha: “(…)”. DECIMO. El responsable del tratamiento en escrito de ***FECHA.6 y en relación con la primera brecha notificada ha manifestado que “(…)”. Y en relación con la segunda brecha notificada: “(…)”. UNDECIMO. Consta aportado documento “Adecuación a la normativa de protección de datos, Recomendaciones a la DGS de fecha 18/12/2019. En el documento se indica que: “(…).” DUODECIMO. En el escrito de fecha ***FECHA.3 el responsable del tratamiento manifiesta que: ”(…)”. DECIMOTERCERO. El responsable del tratamiento ha manifestado que “(…)”. TERCERO: La parte recurrente presentó en fecha 1 de agosto de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en los siguientes argumentos: Primera: No consta acreditado en el expediente ninguna propuesta motivada a la Presidencia de inicio de investigación en el presente procedimiento. La parte recurrente indica que, a pesar de lo manifestado en la resolución, no consta en el expediente ninguna propuesta motivada de inicio de investigación según se requiere por el artículo 31.1.
- d)el Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, y que tampoco figura en la relación del Anexo incluido en la propuesta de resolución de 15 de mayo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 de 2024 la “nota interior” de 28/07/2023 a la que se hace referencia en la resolución y cuya no exhibición le habría generado indefensión y vulneración de derechos constitucionalmente protegidos. La parte recurrente indica que, de acuerdo con la documentación obrante en el expediente, y en relación con las brechas de datos personales notificadas por la D.G.S., se procedió al análisis y clasificación de las referidas brechas por parte de la División de Innovación Tecnológica, lo que dio lugar a dos resoluciones de la Directora de esta Agencia, de fechas 28 de marzo y 3 de junio de 2022. En estas resoluciones se notificaba que “Se le informa que la brecha de datos personales ha sido incorporada al registro de notificaciones de brechas de datos personales y no se prevé el inicio de otras acciones por parte de esta Agencia.” La parte recurrente indica que, conforme a esto, no existe ninguna propuesta de fecha 28 de julio de 2023 de la División de Innovación Tecnológica que le haya sido comunicado, generando esto indefensión, y añade que, al haber motivado la iniciación de una investigación, tal y como preceptúa el artículo 31.1.
- d)del Real Decreto 389/2021, supone una vulneración de lo dispuesto en el Estatuto de la AEPD, en cuanto al orden de funciones y competencias que establece, además de una separación del procedimiento legalmente establecido, sancionada por la LPACAP con la nulidad del procedimiento, por lo que procede que, por parte de esta Agencia, se acuerde la anulación del procedimiento sancionador incoado y se ordene su archivo. Segunda: vulneración del principio de confianza legitima y de seguridad jurídica previsto en el artículo 9.3 de la Constitución. La parte recurrente hace esta afirmación al exponer que en la resolución ahora recurrida no se desvirtuaba la alegación presentada a la propuesta de resolución por la D.G.S., en la medida en que la propia Agencia viene a reconocer en la resolución la indeterminación de las resoluciones de la Directora de 28 de marzo y 3 de junio de 2022. La parte recurrente entiende que, como uno de los principios capitales del ordenamiento administrativo es que no se puede contravenir sus propios actos, la Administración no puede alzarse contra sus anteriores criterios o decisiones, expresados en actos anteriores, pues queda vinculada por tales actos. Asimismo, hay que tener en cuenta los principios de seguridad jurídica, confianza legítima, buena fe y cosa juzgada administrativa. Añade que el hecho de acordar el inicio de un procedimiento sancionador tras haber dispuesto en las resoluciones citadas que no estaba previsto supone una transgresión de los principios antes recogidos, y, por tanto, procede que se acuerde la anulación del procedimiento sancionador y su archivo. La parte recurrente hace esta afirmación porque la propia Agencia reconoce que los dos escritos son actos administrativos “firmados por la Directora de la AEPD y ponen fin a la vía administrativa, pudiendo interponer potestativamente recurso de reposición ante la Directora de la AEPD en el plazo de un mes o bien recurso contencioso administrativo ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional” y de acuerdo con el artículo 34 de la LPACAP, los actos administrativos que dicten las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 Administraciones Públicas, bien de oficio o a instancia del interesado, se producirán por el órgano competente ajustándose a los requisitos y al procedimiento establecido y el contenido de los actos se ajustará a lo dispuesto por el ordenamiento jurídico y será determinado y adecuado a los fines de aquellos. La parte recurrente insiste en que, de conformidad con lo dispuesto en el artículo 34 de la LPACAP, el contenido deberá ser determinado lo que implicaría que deberá poder conocerse qué es lo que se pretende con el acto administrativo, y añade que en el presente supuesto no cumpliría esa condición, circunstancia que se pone de manifiesto en la propia resolución cuando indica “la imprecisa redacción del citado párrafo en ambos escritos.” La parte recurrente insiste en que es precisamente esta indeterminación de las Resoluciones de 28 de marzo y 3 de junio de 2022 lo que ha dado lugar al desconocimiento por parte de la Dirección General de Sostenibilidad y Control Ambiental del Ayuntamiento de Madrid “sobre lo pretendido por la AEPD y que ahora, en un momento posterior, se pueda determinar.” Añade la parte recurrente que el hecho de que se determine a posteriori, en el curso de un procedimiento sancionador, estaría generando indefensión al presunto infractor, y añade que es mucho más cuestionable que la determinación para su subsanación la realice un órgano distinto y sin competencia para adoptar dichos actos administrativos, como sería el instructor del procedimiento, e insiste en que esta actuación supone una transgresión de los principios de seguridad jurídica, confianza legítima, buena fe y cosa juzgada administrativa, por lo que procede que la Agencia acuerde la anulación de la resolución del procedimiento sancionador y disponga su archivo. Tercera: vulneración del derecho a la tutela judicial efectiva. La parte recurrente pone de manifiesto que el cambio de criterio de esta Agencia cuando dispone que en un primer momento no había previsión de inicio de nuevas actuaciones, notificando con pie de recurso e indicando los plazos para su interposición, y posteriormente, por los mismos hechos, acordar la apertura de un procedimiento sancionador, vulnera el derecho a la tutela judicial efectiva., puesto que, si en las citadas resoluciones de 28 de marzo y 3 de junio de 2022 se hubiera dispuesto la previsión de inicio de nuevas actuaciones, desde la Dirección General de Sostenibilidad y Control Ambiental se habrían interpuesto los recursos correspondientes. Por ello, indica que procede que, por esta Agencia, se acuerde la anulación de la resolución del procedimiento sancionador y se ordene su archivo. Cuarta. Indefensión. La parte recurrente hace esta afirmación en la medida en que, en la propuesta de resolución no se hace ningún pronunciamiento a la alegación cuarta de su escrito de alegaciones, lo que determinaría que dicha propuesta es inválida al no tener en cuenta todas las alegaciones formuladas al redactar la propuesta de resolución, y, para no generar indefensión, se deberían retrotraer las actuaciones al momento previo a la redacción de la propuesta para que el instructor pueda tenerla en consideración y que, de no ser así, se estaría generando indefensión, susceptible de amparo constitucional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 Quinta: de los plazos de duración de los procedimientos. La parte recurrente recoge íntegramente los artículos 83 del RGPD y 64 de la LOPD, y después recoge que, en la resolución ahora recurrida, se hacía referencia a: “La reciente Ley 11/2023, de 8 de mayo, mediante la que se trasponen diversas Directivas de la Unión Europea y se modifican distintas normas, introduce algunos cambios en la LOPDGDD. La modificación, en vigor desde el día siguiente a la publicación de la Ley (09/05/2023), obedece al incremento y a la complejidad de algunos asuntos abordados por la AEPD, poniendo de manifiesto la necesidad de ampliar algunos de los plazos para resolver. Por ello, la modificación abordada contempla el aumento de nueve a doce meses la duración máxima del procedimiento sancionador, y de doce a dieciocho meses las actuaciones previas de investigación”, el plazo transcurrido desde la producción de las brechas de seguridad hasta la iniciación del procedimiento, es superior a 12 meses, siendo este plazo el máximo determinado por la ley en aquel momento para las actuaciones previas.” Después de estas menciones, la parte recurrente indica que el procedimiento seguido es nulo conforme a lo dispuesto en el artículo 47 de la LPACAP, al haberse procedido a la caducidad de las actuaciones previas y no haber iniciado el procedimiento sancionador, y por ello, se debe declarar la nulidad del procedimiento y el archivo de las actuaciones. Sexta: de la forma de inicio del procedimiento sancionador. La parte recurrente entiende que, en el caso de que la Agencia actúe por propia iniciativa, la LOPDGDD impone la obligación procedimental para poder determinar la duración máxima de las actuaciones previas de investigación, y establece a esta Agencia la obligación de adoptar un acuerdo decidiendo el inicio de las actuaciones previas de investigación. La parte recurrente manifiesta que en la resolución ahora recurrida se hace referencia a la Nota interior de 28 de julio de 2023, a través de la cual, la Directora de la Agencia ordenaba a la Subdirección General de Inspección de Datos la realización de las oportunas investigaciones previas. En la citada resolución también se recogía que, en el Anexo I de la propuesta de resolución, figuraba el índice con la relación de documentos que integraban el expediente. Sin embargo, la parte recurrente insiste en que lo argumentado carece de congruencia, y que, como queda acreditado del examen del procedimiento, ni en la puesta de manifiesto del expediente en la propuesta de resolución de 15 de mayo de 2024, ni en sus antecedentes, se hace referencia a dicho acuerdo, disponiendo el inicio de actuaciones previas, por lo que insiste en que, o no existe y por lo tanto esta Agencia se habría separado del procedimiento determinado por la LOPDGDD, o bien no se ha puesto de manifiesto en el expediente de manera íntegra como preceptúa la LPACAP, sustrayendo esta información de los antecedentes, lo que habría generado indefensión, amparada constitucionalmente en los artículos 24.1 y 53 de la Constitución, y que, de acuerdo con el artículo 47.1.
- a)de la LPACAP, determinaría la nulidad de pleno derecho de los actos de las Administraciones Públicas que lesionen derechos y libertades susceptibles de amparo constitucional, siendo la indefensión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 susceptible de amparo garantizado en el derecho a la tutela judicial efectiva, procediendo que se dicte por esta Agencia la anulación del procedimiento sancionador y que se ordene su archivo. Séptima: de la infracción del artículo 5.1.
- f)del RGPD. La parte recurrente pone de manifiesto que en la resolución ahora recurrida no se desvirtúa la alegación presentada en su escrito de 29 de mayo de 2024, en los que alegaba que la infracción del art. 5.1
- f)no quedaba debidamente motivada. Octava: sobre la infracción del artículo 32 del RGPD. La parte recurrente pone de manifiesto que en la resolución ahora recurrida no se desvirtúa la alegación presentada en su escrito de 29 de mayo de 2024, respecto de la presunta infracción del art. 32 RGPD. Décima: de las medidas correctivas. La parte recurrente pone de manifiesto que en la resolución ahora recurrida no se desvirtúa la alegación presentada en su escrito de 29 de mayo de 2024, en el sentido de que Dado el carácter de las brechas de seguridad (incidencia informática ya solventada y error humano) que han dado lugar a la apertura (de manera irregular) del presente procedimiento, y a la documentación aportada por esta Dirección General en su transcurso, se infiere que las medidas tanto técnicas como organizativas adoptadas por el responsable del tratamiento son las adecuadas a lo requerido por la normativa de protección de datos teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 Primera: No consta acreditado en el expediente ninguna propuesta motivada a la Presidencia de inicio de investigación en el presente procedimiento. La DGS manifiesta que no consta acreditado en el expediente la existencia de una propuesta motivada de inicio de investigación que ha dado lugar a este expediente sancionador. A pesar de estas manifestaciones, la resolución que ahora se recurre, en respuesta a una alegación similar realizada en fase de propuesta de resolución, explicaba con gran claridad lo que pone en entredicho la DGS al recoger lo siguiente: Hay que señalar que el R.D. 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos regula en su artículo 31 la DIT, estableciendo que le corresponde entre otras funciones: “(…)
- d)Gestionar el Registro de brechas de seguridad para facilitar a los responsables el cumplimiento de lo previsto en el artículo 33 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
- e)Analizar y clasificar las brechas de seguridad y, en su caso, proponer motivadamente a la Presidencia la iniciación de una investigación cuando aprecie indicios de la comisión de una infracción. (…)” Tal y como se recoge en los Antecedentes, el responsable del tratamiento notificó el ***FECHA.1 a la DIT una primera brecha de seguridad al verse comprometidos (…). Posteriormente, con fecha ***FECHA.4 se notifica una segunda brecha por motivos similares al verse afectados (…). Tanto el ***FECHA.7 como el ***FECHA.5 le son notificadas al responsable del tratamiento como consecuencia de las brechas de datos personales Resoluciones en las que se le ordenaba que se llevara a cabo la comunicación de la mencionadas brechas a los interesados siguiendo la previsión contenida en el artículo 34 del RGPD y adicionalmente, se le informaba de conformidad con lo señalado en el artículo 31,
- d)que las citadas brechas habían sido incorporadas al registro de notificaciones de brechas de datos personales y que no se preveía el inicio de otras acciones por parte de esta Agencia. Los citados escritos en cuyo encabezado figura la DIVISION DE INNOVACION TECNOLOGICA, están firmados por la Directora de la AEPD y ponen fin a la vía administrativa, pudiendo interponer potestativamente, recurso de reposición ante la Directora de la AEPD en el plazo de un mes o bien recurso contencioso administrativo ante la Sala de lo contencioso administrativo de la Audiencia Nacional. (…) procede señalar que en modo alguno puede aceptarse la interpretación que realiza el responsable del tratamiento acerca del contenido de los citados escritos. Es cierto que en su encabezado figura DIVISION DE INNOVACION TECNOLOGICA, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 están firmados por la Directora de la AEPD, agotan la vía administrativa y tienen pie de recurso. En contra de lo que afirma el responsable del tratamiento, en los citados escritos hay que distinguir dos cuestiones: una primera, dispositiva por la cual la Directoria de la AEPD ordena la comunicación de las brechas de seguridad a los afectados por la misma de conformidad con lo previsto en el artículo 34 del RGPD, Comunicación de una violación de la seguridad de los datos personales al interesado, que en su apartado 4, establece: “4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” Y es que la finalidad última de la comunicación de las brechas de datos personales es la protección efectiva de los derechos y libertades de las personas físicas afectadas por la brecha. Es a esta orden o mandato como habría que entender la posibilidad de que el responsable del tratamiento se oponga mediante el correspondiente pie de recurso, por entender que tal violación no entrañaría riesgos para los derechos y libertades de las personas afectadas por concurrir alguna de las condiciones establecidas en el artículo 34.3 del RGPD. Y, en segundo lugar, en dichos escritos consta asimismo que, adicionalmente a esa cuestión principal, se tomaba nota de la recepción de las brechas de datos personales siendo incorporadas al registro de notificaciones de brechas y que no se preveía el inicio de otras acciones por parte de esta Agencia, es decir, una mera posibilidad o presunción. Esta cuestión, abstracción hecha de la imprecisa redacción del citado párrafo en ambos escritos, estaba encaminada a poner en conocimiento del responsable del tratamiento la recepción o acuse de las brechas acaecidas y su incorporación al registro de notificaciones de brechas de acuerdo a lo establecido en el artículo 31,
- d)del Estatuto de la Agencia. Por añadidura, no puede deducirse que a la vista del citado párrafo la AEPD haya valorado y decidido que no concurría responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que supondría el archivo de las actuaciones, como ha querido dar a entender y solicitar el responsable del tratamiento y, aunque formalmente se encuentre incluido en los citados escritos la previsión de no actuación, sin especificar a qué tipo de las mismas se refiere, esto no puede presuponer ni reflejar en modo alguno una decisión; como tampoco puede derivarse de los citados párrafos que las funciones y competencias de vienen atribuidas a la AEPD queden sustraídas y soslayadas; funciones y competencias entre las que se incluyen las relativas a la investigación y que suponen una obligación para la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 (…) para proceder al archivo de unas actuaciones de investigación se requiere, primero, que se hayan iniciado, lo cual no había sucedido en el momento de emitirse los referidos escritos procedente de la DIT y, en segundo lugar, es necesario una resolución expresa por parte de la Directora archivando dichas actuaciones por entender que de la información recabada en dichas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, que en el presente caso no se ha producido. De la misma forma, los escritos procedentes de la DIT no hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD de conformidad con el citado artículo 64.2 (…) De la normativa transcrita se infiere que en modo alguno la AEPD tenga que justificar de la manera que solicita y exige al responsable del tratamiento el inicio de actuaciones previas en el sentido de que tenga que existir algo nuevo o alguna circunstancia nueva o que se hayan tenido que aportar circunstancias nuevas y diferentes respecto de la documentación aportada por el responsable del tratamiento a través de sus notificaciones de brechas de datos personales a esta Agencia, pues ello no viene exigido por la normativa indicada, además de que no se puede pretender la hipótesis de que deban existir nuevas circunstancias que alienten la investigación, al margen de los indicios y evidencias de la vulneración del RGPD por sendas quiebras cuyas circunstancias integrales se desconocían. Precisamente estas actuaciones previas se realizan para esclarecer hechos y circunstancias de lo sucedido, recabando y completando la información aportada al objeto de poder determinar, o no, la existencia de una posible infracción de la normativa en materia de protección de datos de carácter personal. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no existen indicios de infracción. Lo cual, no es lo ocurrido en el presente caso. Y, como indica el artículo 67.2 de la LOPDGDD anteriormente transcrito, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD. Por tanto, el presente procedimiento sancionador se ha iniciado como consecuencia de la información y documentación obtenida tras un período de actuaciones previas de investigación, al inferirse de la información aportada por el responsable del tratamiento evidencias de posibles vulneraciones a la normativa en materia de protección de datos de carácter personal. Para finalizar, no puede considerarse que la AEPD vaya contra los propios actos porque como se ha señalado anteriormente, no ha habido una decisión, ni ha provocado que se desconfíe en la estabilidad de su criterio, ya que no ha habido ningún criterio decisorio al respecto, ni mucho menos evidenciado a través de múltiples actos anteriores en un mismo sentido, por lo que la actuación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 Agencia en relación a lo alegado no ha supuesto una conducta que resulte contradictoria con actos anteriores que sea sorprendente ni incoherente. Por lo expuesto, se desestima la alegación formulada.” Segunda y tercera: vulneración del principio de confianza legitima y de seguridad jurídica previsto en el artículo 9.3 de la Constitución. Vulneración del derecho a la tutela judicial efectiva La parte recurrente hace esta afirmación al exponer que en la resolución ahora recurrida no se desvirtuaba la alegación presentada a la propuesta de resolución por el propio Ayuntamiento, en la medida en que la propia Agencia viene a reconocer en la resolución la indeterminación de las resoluciones de la Directora de 28 de marzo y 3 de junio de 2022. Esta alegación ya fue contestada en la resolución ahora recurrida a la que nos remitimos y de la que resaltamos lo siguiente: “(…) los argumentos del responsable del tratamiento deben ser rechazados; habría que señalar que la violación de la confianza legitima seria apreciada si, en este caso la AEP, aplicara de manera injustificada sus funciones, adoptando decisiones desvinculadas de sus fines, pareceres o medidas inadecuadas para cumplir con sus objetivos sorprendiendo las expectativas de sus destinatarios, no pudiendo afirmarse que en los diferentes puntos de este fundamento como en los fundamentos restantes que la Agencia haya exhibido elementos que pretendieran crear en el responsable del tratamiento la creencia de que su responsabilidad en el presente caso estaba exenta de culpa y que lo aconsejable era archivar el caso. Ya se ha expuesto que la existencia en los escritos emitidos en fechas ***FECHA.7 y ***FECHA.5 no pueden supeditar a la Agencia en el ejercicio de sus competencias y, siendo una mera conjetura lo expresado en los mismos: “no se prevé el inicio de otras acciones”, no significa que tales acciones no se pudieran llevar a cabo, sino que se debía proceder a un examen de lo trasladado a los efectos de decidir si se cumplían las exigencias legales establecidas en la normativa aplicable: RGPD y LOPGDD y proceder en consecuencia.” Asimismo, en la resolución ahora recurrida se recogía lo siguiente: La prueba de cargo de las infracciones de los artículos 5.1.f), 32.1 y 33.1 del RGPD que se atribuyen al responsable del tratamiento, además del contenido de las notificaciones efectuadas por el responsable del tratamiento de las dos brechas de seguridad de datos personales que incurren en infracción a la normativa de protección de datos de carácter personal, afectando tanto a la confidencialidad, medidas de seguridad implantadas y la ausencia de notificación a los afectados por las mismas, figuran las evidencias que se reconoce y confirma en las incidencias producidas, no solo en las citadas notificaciones sino con posterioridad en fase de actuaciones requerida información sobre las mismas. En definitiva, los hechos infractores se encuentran sobradamente acreditados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 Por último, en cuanto a la pretendida vulneración del derecho de defensa, el responsable del tratamiento ha tenido oportunidad de alegar lo que estimara conveniente, aportar documentos, solicitarlos, solicitar ampliación de plazos, proponer las pruebas pertinentes, así como alegar y probar, cuanto hubiere estimado por conveniente en defensa de sus derechos e intereses legítimos, por lo que ninguna indefensión vulneradora de su derecho de defensa puede ser apreciada.” Por lo tanto, procede rechazar esta alegación. Cuarta. Indefensión. La parte recurrente hace esta afirmación en la medida en que, en la propuesta de resolución no se hace ningún pronunciamiento a la alegación cuarta de su escrito de alegaciones, lo que determinaría que dicha propuesta es inválida al no tener en cuenta todas las alegaciones formuladas al redactar la propuesta de resolución, y, para no generar indefensión, se deberían retrotraer las actuaciones al momento previo a la redacción de la propuesta para que el instructor pueda tenerla en consideración y que, de no ser así, se estaría generando indefensión, susceptible de amparo constitucional. Esta alegación se refería al supuesto en que las resoluciones de 28 de marzo y 3 de junio de 2022 en las que, según afirma la DGS, no disponían la previsión de inicio de otras actuaciones, según afirma únicamente se habría recibido un requerimiento de información efectuado el 17 de octubre de 2022. Entiende que el procedimiento habría entrado en un periodo de inactividad en la que las actuaciones quedaron paralizadas desde esa fecha, prolongándose durante casi 9 meses ininterrumpidos, y en el que el expediente se encontraba en fase de “diligencias previas”. A pesar de las manifestaciones de la DGS, esta alegación si venía contestada correctamente en la resolución ahora recurrida, a la que nos remitimos y de la que destacamos lo siguiente: “Como ya se hacía constar con anterioridad mediante acuerdo de fecha 28/07/2023, la AEPD de conformidad con lo señalado en el artículo 67.2 de la LOPDGDD inició actuaciones de investigación consecuencia de las brechas notificadas a la DIT en fechas ***FECHA.1 y ***FECHA.4, con el fin de determinar la posible vulneración de la normativa de protección de datos, junto con un anexo incluyendo la evaluación preliminar de la notificación de las brechas de datos personales con relación a los datos aportados por el responsable y los aspectos más relevantes detectados; la citada nota y anexo se remiten a la Subdirección de Inspección órgano competente para llevar a cabo dichas investigaciones. A tenor de lo dispuesto en los artículos transcritos, ni las actuaciones previas de investigación ni el procedimiento sancionador han de entenderse caducados; en el supuesto de las investigaciones porque las mismas no superaron los 18 meses que establece el artículo 67 de la LOPDGDD; en el supuesto del procedimiento sancionador, el acuerdo de inicio es de fecha 06/07/2023, por tanto, el procedimiento no ha de entenderse tampoco caducado.” Por lo tanto, esta alegación no puede ser tenida en cuenta. Quinta: de los plazos de duración de los procedimientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 La parte recurrente manifiesta que el plazo transcurrido desde la producción de las brechas de seguridad hasta el inicio del procedimiento sancionador es superior a los 12 meses previsto en la Ley. A pesar de lo manifestado por la DGS esta cuestión ha sido contestada y se reitera en el apartado anterior cuando se afirmaba que en fecha 28 de julio de 2022 y de conformidad con lo dispuesto en el artículo 67.2 de la LOPDGDD, la AEPD inició actuaciones de investigación consecuencia de las brechas notificadas a la DIT en fechas ***FECHA.1 y ***FECHA.4, con el fin de determinar la posible vulneración de la normativa de protección de datos, junto con un anexo incluyendo la evaluación preliminar de la notificación de las brechas de datos personales con relación a los datos aportados por el responsable y los aspectos más relevantes detectados; la citada nota y anexo se remiten a la Subdirección de Inspección órgano competente para llevar a cabo dichas investigaciones. El acuerdo de inicio de este expediente sancionador es de fecha 6 de julio de 2023, y la nota interior de la Directora de la Agencia por la que se ordena a la Subdirección General de Protección de Datos que realice las oportunas actuaciones previas de investigación con el fin de determinar una posible vulneración de la normativa de protección de datos es de fecha 28 de julio de 2022, por lo que claramente no ha transcurrido el plazo caducidad previsto. Por lo tanto, procede inadmitir esta alegación. Sexta: de la forma de inicio del procedimiento sancionador. La parte recurrente manifiesta que en la resolución ahora recurrida se hace referencia a la Nota interior de 28 de julio de 2023, a través de la cual, la Directora de la Agencia ordenaba a la Subdirección General de Inspección de Datos la realización de las oportunas investigaciones previas. En la citada resolución también se recogía que, en el Anexo I de la propuesta de resolución, figuraba el índice con la relación de documentos que integraban el expediente. Sin embargo, la DGS insiste en que ni en la puesta de manifiesto del expediente que se realiza en la propuesta de resolución de 15 de mayo de 2024, ni en sus antecedentes se hace referencia a dicho acuerdo. Esta cuestión también ha sido contestada en la resolución ahora recurrida cuando se afirmaba: “Hay que señalar, que la simple sospecha derramada por el responsable del tratamiento de que la AEPD se habría separado del procedimiento establecido en la LOPDGDD resulta inadmisible. El principio de legalidad significa que toda actuación realizada por los poderes públicos ha de estar dentro de los límites que establecen las leyes y, en relación con las medidas punitivas, estas han de encontrarse previstas y reguladas en una norma legal para que puedan ser aplicadas, por lo que es también un principio básico en el procedimiento sancionador, que nace de la expresión nulla poena sine lege. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 En este mismo sentido se manifiesta el artículo 25 de la Constitución Española cuando establece que “nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento”. También el artículo 103.1 de la Constitución Española señala que “la Administración Pública sirve con objetividad los intereses generales y actúa …, con sometimiento pleno a la ley y al Derecho”. Es cierto que cuando la AEPD actúa por propia iniciativa la LOPGDD le impone como obligación que las actuaciones previas tengan una duración máxima y adoptar un acuerdo decidiendo el inicio de dichas actuaciones previas. (…) Como se ha señalado con anterioridad, en la Propuesta de Resolución, en el Antecedente Segundo se señalaba que como consecuencia de la notificación a la DIT de las brechas se ordenaba a la Subdirección General de Inspección de Datos que valorara la necesidad de realizar las oportunas investigaciones previas. Consta igualmente la existencia de Nota Interior de 28/07/2023, a través de la cual la Directora de la AEPD ordenaba a la Subdirección General de Inspección de Datos la realización de las oportunas investigaciones previas para determinar una posible vulneración de la normativa de protección de datos. Y en el Anexo que se adjuntaba a la Propuesta de Resolución figuraba el índice con la relación de documentos que integraban el expediente; con fecha 01/08/2024 figura en el citado índice la Nota Interior, así como las actuaciones posteriores llevadas a cabo.” Por todo lo expuesto, esta alegación no puede ser tenida en cuenta. Séptima, octava y novena: de la infracción del artículo 5.1.f), 32 y 33 del RGPD. La parte recurrente pone de manifiesto que en la resolución ahora recurrida no se desvirtúa la alegación presentada en su escrito de 29 de mayo de 2024 con relación a la infracción del artículo 5.1.f), así como del artículo 32 y 33 del RGPD. A pesar de sus manifestaciones, estas cuestiones sí se encontraban resueltas en la resolución ahora recurrida de la que resaltamos los siguientes apartados: “En relación con las infracciones cometidas, figuran acreditadas las conductas típicas: vulneración de la confidencialidad de los datos, al posibilitar el acceso de los denunciados (…) a la documentación que contenía los datos de carácter personal de los denunciantes (artículo 5.1.
- f)RGPD) la insuficiencia de las medidas implantadas, como error en el código fuente de los requisitos funcionales del aplicativo, que no garantizaban un nivel de seguridad adecuado (artículo 32.1 RGPD) y la extemporaneidad en las notificaciones de las brechas a la autoridad de control (artículo 33.1 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 No hay que olvidar que el responsable del tratamiento ha solicitado el archivo del expediente por inexistencia de infracciones y la nulidad del procedimiento. La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. (…) La decisión de archivar un expediente sancionador podría fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)”. En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. Por otra parte el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por el responsable del tratamiento en relación con las conductas que debería haber observado en relación con la conducta examinada o llevada a cabo. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponían los artículos vulnerados: artículo 5.1.f), 32.1 y 33.1 del RGPD y cuyas infracciones motivaron la apertura del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 Por tanto, de conformidad con el principio de proactividad el responsable del tratamiento posibilitó el acceso por terceros, los denunciados (…), a los datos de carácter personal de los denunciantes en dichas materias, no garantizando debidamente la confidencialidad e integridad de los datos, actitud y comportamiento que evidencia la absoluta ausencia de diligencia. En segundo lugar, no adoptó una actitud diligente mediante la implantación de medidas de seguridad técnicas y organizativas que fueran apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo de los tratamientos y para evitar incidencias como las que dieron lugar a las brechas, conducta que en el presente caso evidencia la absoluta ausencia de diligencia. En tercer lugar, en ninguna de las brechas de seguridad de datos personales producidas el responsable del tratamiento cumplió el plazo establecido en el artículo 33.1 del RGPD para comunicarlo a la autoridad de control, lo que acredita la ausencia de diligencia desplegada por el responsable. Hay que señalar que la infracción del articulo 33 no exige solamente el incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales, sino que producida la brecha de datos personales y conocida la misma, la obligación del responsable del tratamiento es notificar a la autoridad de control competente, sin dilación indebida y a más tardar 72 horas después de haber tenido constancia de la misma, salvo que constituyera un riesgo para los derechos y las libertades de las personas físicas, que en el presente caso no existió y los afectados fueron informados de los incidentes por orden de la Directora de la AEPD. Por último, en cuanto a la documentación que el responsable del tratamiento arguye haber aportado al expediente, ya en la Propuesta se recogía que la inspectora actuante había solicitado al responsable el Análisis de Riesgos del tratamiento origen de la brecha, así como la relación de las medidas de seguridad implantadas. Es cierto, que aportó el documento “Adecuación a la normativa de protección de datos, Recomendaciones a la DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL”, entre los que se incluye el tratamiento ***EMPRESA.1; sin embargo, también lo es que no se incluían ni se relacionaban las medidas de seguridad implantadas. Además, al requerimiento de la inspectora actuante de que se aportara el Análisis de Riegos del tratamiento origen de la brecha, la respuesta fue una nota del DPD indicando que no se precisaba la realización del citado Análisis para dicho tratamiento. Y para finalizar, se aportó copia de la última auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS) manifestando cumplir con el Anexo II del ENS donde se definían las medidas de seguridad de los sistemas, pero sin acreditar documentalmente su cumplimiento y sin aportar documentación de la auditoría realizada o en su defecto de la autoevaluación documentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 Pues bien, además de no haber desvirtuado lo señalado en la Propuesta, pretender, como presume el responsable del tratamiento, que la simple aportación de dicha documentación: “Adecuación a la normativa de protección de datos, Recomendaciones a la DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL”, la nota del Delegado de Protección de Datos y la copia de la última auditoría, constituye la adopción de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento en los términos exigidos por el artículo 32.1, no es que sea aventurado sino que constituye un verdadero ejercicio de voluntarismo probatorio. Y es que no hay que olvidar que uno de los requerimientos que establece el RGPD tanto para responsables como encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas de seguridad y control orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas.” Por todo ello, esta alegación no puede ser tenida en cuenta. Décima: de las medidas correctivas. La parte recurrente pone de manifiesto que en la resolución ahora recurrida no se desvirtúa la alegación presentada en su escrito de 29 de mayo de 2024 en relación con la indeterminación de las medidas a adoptar. De nuevo, a pesar de estas manifestaciones, en la resolución ahora recurrida si se ha contestado a las citadas alegaciones cuando se exponía: “En primer lugar, la AEPD de conformidad con el RGPD y LOPDGDD es la autoridad competente en materia sancionadora para iniciar y resolver la vulneración de la normativa en materia de protección de datos de carácter personal, infracciones de los artículos 5.1.f), 32.1 y 33.1 del RGPD y tipificadas en los artículos 83.5.
- a)y 83.4.
- a)del RGPD que en el presente constan acreditadas, posibilitando la apertura del presente procedimiento sancionador consecuencia de la actuación irregular del responsable, no de la irregularidad del procedimiento como torticeramente se alega por el responsable del tratamiento. En segundo lugar, los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control vienen relacionan en su artículo 58.2, apartados
- a)a j). Concretamente la letra
- d)del precepto establece que la autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Ya se contemplaba en la Propuesta dicha medida y, además, se señalaba que en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en su caso, se dictase adecuara los tratamientos objeto del presente procedimiento a la normativa aplicable y que “En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD”. Además, se reiteraba entre las medidas a adoptar las destinadas a cumplir con lo exigido por la normativa en materia de protección de datos de conformidad con lo establecido en los artículos 5.1.f), 32.1 y 33.1 del RGPD, infracciones que habían dado lugar a la apertura del procedimiento sancionador. Hay que destacar el poder correctivo del artículo 58.2.
- d)del RGPD, pues a su través se puede ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado. Esta medida de restauración, restablecimiento o establecimiento de la legalidad vigente es fundamental y constituye una garantía para hacer efectivo el Derecho Fundamental a la Protección de Datos de Carácter Personal. Por último, las medidas correctivas son importantes porque tienden a solventar la infracción cometida, como dice el art. 77.2 de la LOPDGDD y para los sujetos del art. 77.1 del mismo texto legal, para “que cese la conducta o se corrijan los efectos de la infracción”. Y esto únicamente se puede lograr si se declara la existencia de la infracción a través del procedimiento que corresponda de los previstos en el artículo 64 de la LOPDGDD, pues declarada la misma y su persistencia, habrá que ordenar que se cumpla con la legalidad vigente, y ello a los efectos de que no se siga vulnerando el Derecho Fundamental a la protección de datos de carácter personal de los interesados, en este caso, los administrados del Ayuntamiento de Madrid.” III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por el AYUNTAMIENTO DE MADRID. DG. SOSTENIBILIDAD contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de julio de 2024, en el expediente EXP202208398. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE MADRID. DG. SOSTENIBILIDAD. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-071125 Lorenzo Cotino Hueso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es