1/10 Expediente nº.: EXP202213023 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 22 de octubre de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 22/10/2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos (AEPD) en el expediente EXP202213023, en virtud de la cual se imponía a ORANGE ESPAGNE, S.A.U. (en lo sucesivo, ORANGE, la parte reclamada o la parte recurrente): -por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)de dicha norma, multa administrativa de cuantía 200.000 euros (doscientos mil euros). - por una infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 1.000.000 euros (un millón de euros). En la misma resolución se ordenó a la entidad ORANGE que, “en el plazo de 6 meses, notifique a esta Agencia las medidas que ha adoptado para garantizar que la solicitud de duplicado se presenta por el titular del número de teléfono, sea cual sea el procedimiento utilizado para su emisión”. SEGUNDO: Con fecha 25/11/2024, ORANGE presentó ante la AEPD recurso de reposición contra la resolución reseñada en el Hecho Primero, que fue desestimado por Resolución de 05/02/2025. TERCERO: Con fecha 21/03/2025, ORANGE comunicó su intención de interponer recurso contencioso administrativo frente a la mencionada resolución, así como la de solicitar medidas cautelares ante la jurisdicción ordinaria, y solicitó a esta AEPD “la medida cautelar consistente en la suspensión de la ejecutividad de la resolución”. CUARTO: Con fecha 30/03/2025, por la Presidencia de la AEPD se dictó acuerdo por el que resolvió lo siguiente: “PRIMERO: ESTIMAR la solicitud de suspensión sobre la ejecución de la Resolución, de fecha 22 de octubre de 2024, por la que se acuerda imponer a ORANGE ESPAGNE, S.A.U. con NIF A82009812, por una infracción del artículo 25 del RGPD y artículo 6 del RGPD, tipificadas, respectivamente, en el artículo 83.4 del RGPD y artículo 83.5 del RGPD, una vez sea ejecutiva, una multa de 200.000,00 y 1.000.000,00 euros (DOSCIENTOS MIL y UN MILLON euros)”. “SEGUNDO: DESESTIMAR, en lo relativo a la medida correctiva, la solicitud de suspensión sobre la ejecución de la Resolución, de fecha 22 de octubre de 2024, por la que ordena a ORANGE ESPAGNE, S.A.U. con NIF A82009812, que, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 6 meses, notifique a esta Agencia las medidas que ha adoptado para garantizar que la solicitud de duplicado se presenta por el titular del número de teléfono, sea cual sea el procedimiento utilizado para su emisión”. QUINTO: Contra el acuerdo reseñado en el Hecho Cuarto anterior, la entidad ORANGE interpuso recurso de reposición en el que solicita la suspensión de la ejecutividad de la resolución de la AEPD en su totalidad en base a las consideraciones siguientes: El artículo 90.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), alude de forma unitaria o singular a la solicitud de suspensión cautelar de la resolución administrativa de carácter sancionador, no admitiendo su afectación de forma parcial, en consonancia con los efectos y la definición de ejecutividad que realiza la normativa. Como especifica el artículo 98.1 de la Ley 39/2015, los actos suspendidos no son ejecutivos, y, por lo tanto, no pueden desplegar efectos para el administrado. De hecho, es en dicho precepto 90.3 donde se regula la vía que ostenta la administración para, en el caso de que suspenda la ejecutividad de la resolución, poder desplegar ciertos efectos: “La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa, pudiendo adoptarse en la misma las disposiciones cautelares precisas para garantizar su eficacia en tanto no sea ejecutiva y que podrán consistir en el mantenimiento de las medidas provisionales que en su caso se hubieran adoptado”. Así, para el caso en el que la Agencia considerase necesario adoptar medidas provisionales para mantener la eficacia de la Resolución de forma simultánea a su suspensión, debió haber adoptado las correspondientes medidas cautelares, tal y como especifica el artículo 117.4 de la LPACAP. No habiendo adoptado medidas cautelares ni provisionales de ningún tipo, la AEPD no puede delimitar los efectos de la suspensión de la Resolución, que vienen establecidos normativamente. La institución de la suspensión es una figura legal claramente delimitada y no puede ser dispuesta a conveniencia de una de las partes, lo que generaría una evidente indefensión para el administrado, si, en virtud de cada casuística, las administraciones pudiesen decidir qué efectos se suspenden y cuáles se mantienen, según su particular conveniencia. Como señala la Sentencia del Tribunal Constitucional, Sala Segunda, 218/1994 de 18 Jul. 1994, Rec. 2566/1991, la potestad jurisdiccional de suspensión, como todas las medidas cautelares, responde a la necesidad de asegurar, en su caso, la efectividad del pronunciamiento futuro del órgano judicial; esto es, trata de evitar que un posible fallo favorable a la pretensión deducida quede desprovisto de eficacia. Pero, además, en el proceso administrativo la suspensión cautelar tiene determinadas finalidades específicas, incluso con trascendencia constitucional, y que pueden cifrarse genéricamente en constituir un límite o contrapeso a las prerrogativas exorbitantes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 las Administraciones públicas, con el fin de garantizar una situación de igualdad con respecto a los particulares ante los Tribunales, sin la cual sería pura ficción la facultad de control o fiscalización de la actuación administrativa que garantiza el art. 106.1 de la Constitución Española: "Los Tribunales controlan la potestad reglamentaria y la legalidad de la actuación administrativa, así como el sometimiento de ésta a los fines que la justifican". Por todo lo anterior, la Agencia no puede seguir requiriendo la implementación de medidas por parte de ORANGE, en la medida en la que la Resolución en la que éstas se imponen se encuentra suspendida, no resultando ejecutiva, y sin que puedan de ésta derivarse efectos para los administrados. Subsidiariamente, no cabría en ningún caso la imposición de una medida correctiva que, indubitadamente, constituye el fondo del asunto y de la Resolución recurrida ante los Tribunales. Ello desvirtuaría totalmente el objeto del recurso ya interpuesto ante la jurisdicción contencioso-administrativa por ORANGE, haciendo perder la finalidad del mismo. La instrumentalidad de la suspensión de la Resolución resulta clara, en aras a obtener una resolución definitiva, manteniendo el statu quo inicial en espera de lo que resuelvan los Tribunales, es decir, lo que ORANGE por dicha actuación pretende es que las cosas vuelvan al estado original. Se busca evitar el concreto perjuicio de modificar sus procesos en lo requerido por la AEPD y realizar desarrollos tecnológicos ad hoc con impacto en múltiples sistemas, con el considerable coste económico en una estructura organizativa como la de ORANGE. Todo ello sin contar que la realización de desarrollos, su prueba e implementación, llevados a cabo con la única finalidad de cumplir con la Resolución del procedimiento referencia, supone también una modificación de una serie de sistemas que tienen un gran impacto en la actividad comercial de mi representada, en concreto, toda la red de tiendas. La ejecución de la resolución en lo relativo a la aplicación de medidas correctivas implicaría (…) ***HERRAMIENTA.1 por cualquier motivo, lo que puede provocar la incomunicación del cliente y con ello un perjuicio también en sus derechos. Carece de sentido que, estando discutida entre las partes la procedencia y conformidad a derecho de las infracciones identificadas por la AEPD en su Resolución, ésta tuviese la capacidad de exigir la modificación de las conductas de ORANGE sobre las que precisamente se discute su encaje normativo; de forma ordinaria, sin la adopción de medidas cautelares ni provisionales. Por ello, el cumplimiento de la medida correctiva identificada por la AEPD en la Resolución, consistente en la adaptación y modificación sustancial de los procesos comerciales y de tramitación de duplicados de tarjetas SIM de ORANGE, además del referido impacto económico, haría perder a la eventual sentencia que pudiesen dictar los Tribunales sus efectos, dado que incluso aunque éstos estimasen el recurso Contencioso-Administrativo interpuesto por esta parte, ésta ya se habría visto obligada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 a modificar sus procesos en los términos identificados en la Resolución, y su reversión no sería posible. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Síntesis de los hechos El presente caso está relacionado con la emisión de duplicados de tarjeta SIM con suplantación de identidad de los titulares de las líneas de telefonía móvil a las que correspondían aquellas tarjetas, posibilitando que un tercero obtuviera fraudulentamente los duplicados en cuestión. Las actuaciones han permitido constatar que el procedimiento dispuesto por la entidad ORANGE para ello contempla la posibilidad de (…). Según se indica en la resolución dictada por esta AEPD, de fecha 22/10/2024, ORANGE lo explica así en su escrito de alegaciones: “en el caso que nos ocupa, los agentes de ORANGE utilizaron (…), motivo por el cual, al introducirlo en el sistema de ***HERRAMIENTA.1 (...). Así pues, para este tipo de errores de lectura de documentación, el Protocolo de ORANGE establece que, si bien se debe generar un aviso al Grupo de Análisis de Riesgos, se permite a los agentes comerciales para casos tasados (…)”. Asimismo, la citada entidad manifestó que “se pudo comprobar que, en el momento de la contratación se siguió el protocolo establecido por esta mercantil (…)." Con dicho procedimiento (…). En definitiva, ORANGE articuló un protocolo que tenía como principal objetivo la realización del acto comercial, pero que no contemplaba el riesgo de la emisión y entrega de una tarjeta SIM a persona distinta de su titular. (…), tal y como reconoció ORANGE en su escrito de alegaciones. Es más, el procedimiento habitual que tiene implementado para la emisión de duplicados de tarjeta SIM (…). Así, las medidas implantadas no eran eficaces para evitar o mitigar el mayor riesgo de fraude que podía generarse en la solicitud de duplicados de tarjetas SIM, con la finalidad de perpetrar un ataque de SIM swapping. Tales hechos se declararon constitutivos de una infracción del artículo 25 del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 que impone la obligación de diseñar procedimientos internos en el momento de determinar los medios de tratamiento, atendiendo a los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, y de aplicar esos procedimientos en el momento del tratamiento, para garantizar de forma efectiva el cumplimiento de los requisitos de protección de datos. En base a lo expuesto, además de la sanción de multa, mediante resolución de 22/10/2024, se acordó ordenar a ORANGE que, en el plazo de 6 meses, adopte las medidas adecuadas para garantizar que la solicitud de duplicado se presenta por el titular del número de teléfono, sea cual sea el procedimiento utilizado para su emisión, debiendo en el mismo plazo informar a esta AEPD sobre las acciones realizadas. Contra dicha resolución, ORANGE interpuso recurso de reposición, que fue desestimado por Resolución de 05/02/2025. Posteriormente, dicha entidad comunicó su intención de interponer recurso contencioso y solicitó la suspensión de la ejecutividad de la resolución, que fue estimada en lo relativo al pago de la multa, pero no respecto de la orden de adopción de medidas para la adecuación de sus procesos al RGPD. III Respuesta a las alegaciones de ORANGE y motivación de la desestimación del recurso 1. ORANGE expone en su recurso que, según el artículo 90.3 de la LPACAP, la Administración no puede tratar la solicitud de suspensión de forma parcial o según su particular conveniencia, siendo ello motivo de indefensión, y añade que la única forma de mantener la eficacia de la resolución para el caso de que se suspenda su ejecutividad es mediante la adopción de medidas cautelares. El artículo 90.3 de la LPACAP, bajo el epígrafe “Especialidades de la resolución en los procedimientos sancionadores”, establece lo siguiente: “3. La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa, pudiendo adoptarse en la misma las disposiciones cautelares precisas para garantizar su eficacia en tanto no sea ejecutiva y que podrán consistir en el mantenimiento de las medidas provisionales que en su caso se hubieran adoptado. Cuando la resolución sea ejecutiva, se podrá suspender cautelarmente, si el interesado manifiesta a la Administración su intención de interponer recurso contencioso-administrativo contra la resolución firme en vía administrativa. Dicha suspensión cautelar finalizará cuando:
- a)Haya transcurrido el plazo legalmente previsto sin que el interesado haya interpuesto recurso contencioso administrativo.
- b)Habiendo el interesado interpuesto recurso contencioso-administrativo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 1.º No se haya solicitado en el mismo trámite la suspensión cautelar de la resolución impugnada. 2.º El órgano judicial se pronuncie sobre la suspensión cautelar solicitada, en los términos previstos en ella.” De acuerdo con esta regulación, la posibilidad de suspender la ejecutividad de una resolución administrativa firme, cuando el interesado comunica su intención de recurrirla en vía contencioso-administrativa, se configura como una facultad potestativa del órgano que dictó la resolución, que dispone así de discrecionalidad para estimar o no aquella suspensión, siempre de forma motivada. No cabe, así, entender que el ejercicio de esta facultad pueda calificarse como un motivo de indefensión. Cuando el acto en cuestión incluya varios acuerdos, como ocurre en el presente caso, en el que la resolución impone una sanción de multa administrativa y una medida correctiva que conlleva una obligación de hacer, nada impide que la Administración, en uso de aquella facultad potestativa y en atención a las circunstancias específicas de los acuerdos tomados, adopte una decisión diferente respecto de la suspensión o no de cada uno de esos acuerdos. Entendido que esta AEPD podría haber desestimado en su totalidad la suspensión de la ejecutividad de la resolución de 22/10/2024 y de la resolución que desestimó el recurso de reposición interpuesto contra aquella, entra dentro de sus facultades la de suspender uno solo de esos acuerdos, en este caso, el relativo a la sanción de multa y su consiguiente ingreso por parte de ORANGE, y no el otro, el relativo a la medida correctiva impuesta. 2. Subsidiariamente, ORANGE plantea en su recurso que la medida correctiva constituye el fondo del asunto de la resolución recurrida, de tal modo que su ejecución desvirtuaría el recurso interpuesto ante la jurisdicción contenciosoadministrativa, y que con la suspensión de esa medida se busca evitar el perjuicio de modificar sus procesos y realizar desarrollos tecnológicos de gran impacto en sus sistemas y en su actividad comercial, cuya reversión no es posible. Añade que realizar esos nuevos desarrollos conllevan, además, un alto coste y la incomunicación del cliente. Nada aporta ORANGE, sin embargo, para acreditar la realidad y efectividad de estos daños, ni la relación de los mismos con su capacidad financiera. Por otra parte, debe tenerse en cuenta que la suspensión de la ejecutividad de una resolución administrativa tiene por objeto principal asegurar la efectividad de la decisión que se adopte finalmente, pero ponderando en todo caso los intereses en conflicto y, especialmente, la posibilidad de que esa suspensión pueda perturbar los intereses generales o de terceros. Como ya se ha señalado anteriormente, debe tenerse en cuenta que la tarjeta SIM constituye el soporte físico a través del cual se accede a los datos de carácter personal de la persona afectada, de tal modo que, si no se garantiza su disposición y control ni se impide el acceso a los datos personales del titular por terceros, así como el uso o usos posibles por estos terceros, se convierte en una amenaza que puede tener efectos devastadores en la vida de estas personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 En el presente caso. la ponderación de los intereses en conflicto nos lleva a considerar que la ausencia de cumplimiento de la medida ocasionaría en los interesados, titulares de los datos, un grave e irreparable perjuicio para sus derechos y libertades, pues perderían el control y disposición de sus datos si estos fueran utilizados por un tercero como consecuencia de haber obtenido fraudulentamente un duplicado de su tarjeta SIM. Por tanto, se consideran válidos los argumentos señalados en el acuerdo impugnado para fundamentar la desestimación de la suspensión de la ejecutividad de la medida correctora, cuando indica lo siguiente: “El objetivo que persiguen dichas medidas es que el responsable ajuste el tratamiento de datos personales examinado en el procedimiento sancionador antedicho, a la legalidad vigente, cumpliendo con las previsiones del RGPD (y a los efectos de proteger a las personas físicas respecto de sus derechos y libertades). Si bien la suspensión de la ejecución en lo relativo al pago de la sanción económica se estima al considerar que concurren los requisitos legales para ello, no ocurre lo mismo con la medida correctiva ordenada, toda vez que se ha constatado a través del procedimiento sancionador tramitado por esta Agencia la comisión de una infracción consistente en haber incumplido con la obligación de adoptar, desde el inicio del tratamiento, medidas técnicas y organizativas que garanticen los derechos y libertades de las personas teniendo en cuenta los riesgos de suplantación y fraude y pérdida financiera, en la medida en que (…), permitiendo errores y la suplantación de identidad o fraude, a través de fraude interno”. Asimismo, debe señalarse que el cumplimiento de la medida ordenada no produciría ningún daño a la entidad ORANGE, a la que el RGPD ya le impone la obligación de adoptar las medidas necesarias para dar cumplimiento al RGPD. La protección de datos de carácter personal desde el diseño que impone el artículo 25 del RGPD afecta a toda la organización e implica un proceso continuo de revisión y retroalimentación con el fin de verificar si todas las medidas técnicas y organizativas existentes, de todo tipo e implementadas por la organización resultan adecuadas con el fin de cumplir los requisitos del RGPD y proteger los derechos de los interesados. De esta forma, en caso de no resultar adecuadas, podrían ser modificadas, o en su caso, reforzadas, incorporando nuevas medidas que garanticen una más adecuada protección de los datos de carácter personal. Siendo ello así, con independencia de la orden de adoptar medidas impuesta por la AEPD, la entidad ORANGE, conocidas las deficiencias constatadas en las actuaciones respecto de sus procedimientos, viene obligada a adoptar las mejoras necesarias para su subsanación y para la adecuación constante de su gestión de los datos personales al riesgo identificado, que es cierto, probable y no desdeñable, alto y con un impacto muy significativo en los derechos y libertades de los ciudadanos. La propia entidad ORANGE, con ocasión de la tramitación del procedimiento sancionador en cuestión, manifestó a esta AEPD que está en continua mejora de su gestión, implantando medidas para prevenir la comisión de fraudes derivados de la suplantación de la identidad de sus clientes, algunas de ellas con posterioridad a los hechos. Esto viene a contradecir lo manifestado por ORANGE sobre la incidencia que la adopción de medidas pudiera tener en su actividad comercial, restringiéndola, y en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 la comunicación del cliente. Es preciso tener en cuenta que algunas de las circunstancias puestas de manifiesto, sobre las que no existe controversia, se refieren a cuestiones tan elementales como (…). 3. Los argumentos expuestos coinciden con lo declarado por la Audiencia Nacional en Auto de 05/04/2022, dictado en el Procedimiento Ordinario 1448/2021, en el que se analiza un supuesto similar y desestimó la suspensión de la resolución recurrida, mediante la cual esta AEPD impuso a la entidad reclamada sanción de multa administrativa y ordenó la adopción de medidas de adecuación al RGPD. En dicho Auto, la Audiencia Nacional declaró lo siguiente: “En cuanto al periculum in mora, hay que señalar que la Sala no aprecia que la ejecución de la resolución, tanto en lo que atañe a las sanciones económicas como a las medidas a que obliga el apartado cuarto de la misma, pueda hacer perder al recurso su finalidad legítima. Así, caso de dictarse una sentencia favorable a sus pretensiones, nada impediría que la recurrente pudiera llevar a cabo el tratamiento de datos en la forma que finalmente se determine. No se trata de una medida que produzca efectos irreversibles, habiendo reconocido la propia actora que ha realizado numerosas modificaciones en su política de privacidad y que su adaptación a la normativa de protección de datos es constante. De otro lado tampoco se aprecia que de no adoptarse la medida solicitada se causen perjuicios irreparables, pues en el supuesto de estimarse la demanda, los perjuicios que pudieran haber causado serían indemnizables. Además, difícilmente puede sostenerse, como pretende la actora, que como consecuencia de la ejecución del dicho requerimiento se causen perjuicios a sus clientes, cuando su finalidad es precisamente tutelar el derecho de protección de datos de los mismos, que es un derecho fundamental. El interés general, como viene reiterando la Sala en supuestos análogos (véase Auto de 16 de octubre de 2019, Rec. 410/20199), consiste en la protección del derecho a la protección de datos personales de los interesados, que, en este caso, dada la importancia de la entidad recurrente, es un número muy importante de personas, clientes de la entidad. Interés, que, en la ponderación a realizar, y a la vista de las circunstancias concurrentes expuestas, considera la Sala que debe prevalecer sobre el interés particular de… (la recurrente), de contenido fundamentalmente económico, y por tanto, como hemos dicho, susceptible de ser reparado económicamente en caso de obtener una sentencia favorable. En consecuencia, procede denegar la medida cautelar solicitada. En este mismo sentido ya se ha pronunciado la Sala en el recurso 104/2021, en el que la recurrente es otra importante entidad bancaria, y en relación a una resolución de la AEPD muy similar a la que es objeto del presente recurso, en la que también se imponían sanciones idénticas a las contenidas en la resolución recurrida”. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez del acuerdo impugnado. V Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra el Acuerdo de la Presidencia de esta AEPD, dictado con fecha 30 de marzo de 2025, en el expediente EXP202213023, por el que se desestimó, en lo relativo a la medida correctiva, la solicitud de suspensión sobre la ejecución de la Resolución de fecha 22 de octubre de 2024, por la que ordena a ORANGE ESPAGNE, S.A.U. que, en el plazo de 6 meses, notifique a esta Agencia las medidas que ha adoptado para garantizar que la solicitud de duplicado se presenta por el titular del número de teléfono, sea cual sea el procedimiento utilizado para su emisión”. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es