1/9 Procedimiento nº.: PS/00426/2015 ASUNTO: Recurso de Reposición Nº RR/00210/2016 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00426/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de febrero de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00426/2015, en virtud de la cual se imponía a la entidad CAIXABANK, S.A., una sanción de 40.001 euros (cuarenta mil un euros), por la vulneración de lo dispuesto en el artículo 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 18/02/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00426/2015, quedó constancia de los siguientes: <<1. El cajero automático de la sucursal bancaria núm. 0613 de la entidad CAIXABANK, ubicado en la Rda. O’Donnell núm. 63, de la localidad de Mataró (Barcelona), dispone de una función que permite mostrar en la pantalla la imagen de la persona que lo está utilizando. Según las manifestaciones efectuadas por representantes de CAIXABANK pertenecientes a dicha sucursal, las imágenes que muestra la pantalla del cajero automático sustituyen a los antiguos espejos que permitían al usuario del mismo comprobar si alguien se aproximaba por su espalda; tales imágenes no se graban y no están conectadas con el sistema de videovigilancia de la entidad. 2. Con fecha 09/09/2014, se recibió en la AEPD una denuncia formulada por D. A.A.A., en la que declaró que los días 06 y 07/03/2014 utilizó el cajero automático reseñado en el Hecho Probado Primero constatando que su imagen quedó de manera permanente expuesta al público en la pantalla del mismo; y que informó sobre el incidente al responsable de la sucursal. 3. Durante la inspección de fecha 22/01/2015, llevada a cabo por los Servicios de la AEPD en la sucursal bancaria reseñada en el Hecho Probado Primero, los representantes de CAIXABANK pertenecientes a la misma declararon que, alrededor del mes de marzo de 2014, y debido a una actualización de los cajeros automáticos, hubo un problema reiterado en el software de los cajeros automáticos que ocasionaba que las imágenes de los usuarios del cajero se quedaran congeladas una vez terminada la transacción; que este problema se produjo más de una vez y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 con distintos usuarios; y que, por ello, desde la sucursal se emitió un parte de averías para que se resolviese el problema. . En respuesta al requerimiento recogido en Acta de Inspección, la entidad CAIXABANK aportó a las actuaciones un fichero en formato “Excel”, rotulado “Avaries Feb'14 - Mar'14.xlsx”, en el que figuran, entre otras, las siguientes entradas: . Fecha 07/03/2014. “Pantalla amb imatge de client operant bloquejada”. . Fecha 20/03/2014. “queda imatge persona en la pantalla i no marcha,hem tingut denuncia al respecte”. . Fecha 08/04/2014. “TORNA A FALLAR LA PANTALLA QUE GRABA ALS CLIENTS......URGENT SOLUCIÓ JA!!!!!!!”. 4. Durante la inspección de fecha 22/01/2015, llevada a cabo en la sucursal bancaria reseñada en el Hecho Probado Primero, los Servicios de Inspección de la AEPD comprobaron que los cajeros de la entidad funcionan correctamente en relación con las imágenes de los usuarios capturadas. Comprobaron que se recoge la imagen de la persona que está accediendo al cajero y que dicha imagen no queda congelada en la pantalla una vez terminada la operación>>. TERCERO: Con fecha 18/03/2016, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad CAIXABANK, S.A. (en lo sucesivo CAIXABANK o la recurrente), recibido en esta Agencia Española de Protección de Datos en fecha 22/03/2016, en el que reproduce literalmente sus alegaciones anteriores, que fueron reseñadas en la resolución impugnada como sigue: <<. No consta como hecho probado que la imagen del denunciante quedara expuesta en la pantalla del cajero a la vista del público en general o que la misma hubiese sido visionada por otros clientes. . Es cierto que el sistema de video del cajero tuvo incidencias que fueron resueltas por los servicios técnicos, pero ello no acredita que la imagen del denunciante quedara expuesta al público. . En contra de lo indicado en el Acuerdo de apertura, la inspección no constató que las imágenes permanecieran en la pantalla. . De una incidencia o avería no puede deducirse, por virtud del principio de tipicidad, un incumplimiento de lo establecido en el artículo 4.5 de la LOPD. El presente supuesto no puede suponer la comisión de dicha infracción, por cuanto CAIXABANK nunca tuvo la voluntad de tratar o conservar la imágenes del cliente que se captan, por motivos de seguridad, en el cajero. Se trata de una incidencia técnica aislada de la que no se tuvo conocimiento. . Invoca el principio de culpabilidad señalando que no existe grado de intencionalidad; no concurre el requisito de dolo o culpa. Se imputa en base a una presunta responsabilidad objetiva y sin ninguna prueba, considerando que la conservación de datos personales durante plazos excesivos no figura dentro de la práctica habitual de los tratamientos efectuados por la entidad>>. Únicamente añade que la fotografía aportada por el denunciante no prueba la incidencia, que consistió en un mal funcionamiento del cajero automático resuelto de forma diligente; e insiste en señalar que no hay evidencias de que la imagen estuviera visible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 para el resto de usuarios. Considera que esta falta de evidencia ha motivado la imputación de una infracción del artículo 4.5 de la LOPD, cuando se trataría, de ser ciertos los hechos, de una vulneración del deber de secreto. En base a lo expuesto solicita que se declare la inexistencia de infracción y se acuerde el archivo de las actuaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, literalmente, las alegaciones ya presentadas durante tramitación del procedimiento, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VI de la Resolución recurrida, R/00264/2016, de 11/02/2016, en la que se considera que la entidad CAIXABANK incumplió lo dispuesto en el artículo 4.5 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indicó lo siguiente: <<II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
- f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Este concepto de dato personal no puede ser más amplio. La Audiencia Nacional en su sentencia de 08/03/2002, ha señalado que para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
- a)y
- f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, la fotografía objeto del presente procedimiento se ajusta a este concepto. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la incorporación a la pantalla de un cajero automático de la imagen de la persona que lo está utilizando puede considerarse un tratamiento incluido en el ámbito de aplicación de la normativa citada. Así, en el presente supuesto, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de las garantías expuestas en la normativa de protección de datos de carácter personal. III En este caso, entre las constataciones obtenidas por los Servicios de Inspección de la Agencia Española de Protección de Datos, consta que las imágenes de usuarios de cajeros automáticos de CAIXABANK captadas durante la utilización de los mismos permanecían en la pantalla después de terminada la operación, visibles para el resto de usuarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El artículo 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), establece: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos”. Por su parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 8.6, establece lo siguiente: Artículo 8. Principios relativos a la calidad de los datos. “6. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. Así, a menos que exista otra base jurídica, deberá procederse a la cancelación de los datos al haber dejado de ser necesarios o pertinentes para la finalidad para la que fueron recabados y que justificó su tratamiento, no pudiendo ser conservados en forma que permita la identificación del interesado, sin perjuicio de la excepción prevista en el artículo 16.3 de la LOPD y por el tiempo estrictamente indispensable que corresponda en cada caso. El apartado 3 del mismo artículo 16 dispone que “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión”. Estos preceptos, a su vez, se complementan con la previsión contenida en el artículo 16.5 de la LOPD, según el cual “los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. En definitiva, con carácter general, los plazos de conservación de los datos de carácter personal han de ser ajustados a las finalidades que justificaron la recogida o el tratamiento. De este modo, la conservación de los datos prolongada en el tiempo, más allá de las exigencias que se derivan de las finalidades pretendidas en el momento de la recogida de los mismos, supone un nuevo tratamiento de los datos personales ilícito, aunque se tratase de un tratamiento legítimo en origen. En este caso, CAIXABANK mantiene los datos por un tiempo indeterminado sin justificar las razones que lo motivan ni su adecuación a las finalidades que determinaron la recogida y el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 tratamiento de los datos, lo que implica una vulneración efectiva de la LOPD. En concreto, consta acreditado que el cajero automático de una sucursal bancaria de CAIXABANK dispone de una función que permite mostrar en la pantalla la imagen de la persona que lo está utilizando, que sustituye a los antiguos espejos que permitían al usuario del comprobar si alguien se aproximaba por su espalda, y que, durante marzo de 2014, se produjo una incidencia en el software de los cajeros automáticos que ocasionó que la imagen quedara de manera permanente expuesta al público en la pantalla del cajero una vez terminada la transacción, lo cual excede la finalidad prevista. Los mismos representantes de la entidad, según manifestaciones recogidas en acta de inspección, admitieron que este problema se produjo con distintos usuarios y que desde la sucursal se emitió un parte de averías para que se resolviese el problema. En relación con este incidente consta incorporado a las actuaciones, aportado por CAIXABANK, un fichero en formato “Excel”, rotulado “Avaries Feb'14 - Mar'14.xlsx”, en el que figuran las siguientes entradas: . Fecha 07/03/2014. “Pantalla amb imatge de client operant bloquejada”. . Fecha 20/03/2014. “queda imatge persona en la pantalla i no marcha,hem tingut denuncia al respecte”. . Fecha 08/04/2014. “TORNA A FALLAR LA PANTALLA QUE GRABA ALS CLIENTS......URGENT SOLUCIÓ JA!!!!!!!”. IV CAIXABANK ha manifestado en su escrito de alegaciones que la incidencia se produce por una avería técnica y que no existe intencionalidad alguna en la comisión de los hechos que han motivado la imputación. No obstante, se considera que la incidencia se produce en su ámbito de responsabilidad y como consecuencia de una modificación en la configuración de los cajeros efectuada a su iniciativa, la cual conlleva un tratamiento de datos personales, lo que obliga a la misma a asegurarse de su adecuación a la normativa de protección de datos y a corregir las anomalías apreciadas en su funcionamiento. En este caso, considerando las anotaciones registradas en el fichero “Excel” aportado, resulta que la incidencia se mantuvo, al menos, durante un mes. En relación con el principio de culpabilidad invocado, cabe señalar que el mismo es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). V La conservación de los datos de carácter personal, en general, durante plazos excesivos o indeterminados, según el detalle expuesto, supone la comisión, por parte de CAIXABANK, de una infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, que califica así “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada, con multa de 40.001 euros a 300.000 euros. VI El artículo 45.2 y 4 de la LOPD establecen lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en concreto, el volumen de datos personales afectados por la infracción; la ausencia de beneficios y de perjuicios distintos a los que conlleva la infracción; así como la regularización llevada a cabo por CAIXABANK para subsanar la incidencia (según consta en el Hecho Probado Cuarto); procede la imposición de una multa por el importe mínimo previsto para las infracciones graves>>. III Según ha quedado expuesto, el escrito de recurso reproduce las alegaciones formuladas durante la tramitación del procedimiento, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho transcritos, que contienen un pronunciamiento expreso sobre todos los aspectos reseñados por CAIXABANK. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 A lo reseñado en dichos Fundamentos de Derecho cabe remitirse para entender suficientemente probados los hechos determinantes de la infracción declarada, que no han merecido ninguna atención por parte de CAIXABANK en su recurso, en el que se limita a reproducir literalmente sus alegaciones anteriores. En dicho Fundamento se pone de manifiesto que los cajeros de dicha entidad disponen de una función que permite mostrar en la pantalla la imagen de la persona que lo está utilizando, que sustituye a los antiguos espejos, y que, durante marzo de 2014, se produjo una incidencia en el software de los cajeros automáticos que ocasionó que la imagen quedara de manera permanente expuesta al público en la pantalla del cajero una vez terminada la transacción, afectando a distintos usuarios. Los hechos constan acreditados a partir de la documentación aportada por la propia entidad, por lo que no se entiende su alegación sobre la falta de evidencias. Asimismo, se constató que la incidencia se produjo en el ámbito de responsabilidad de CAIXABANK y como consecuencia de una modificación en la configuración de los cajeros efectuada a su iniciativa. No se trata, por tanto, de circunstancias que escapen al control de la recurrente. El hecho de que las imágenes de usuarios de cajeros automáticos de CAIXABANK captadas durante la utilización de los mismos permanecieran en la pantalla después de terminada la operación, visibles para el resto de usuarios, se calificó como incumplimiento de lo establecido en el artículo 4.5 de la LOPD, que obliga a ajustar los plazos de conservación de los datos de carácter personal a las finalidades que justificaron la recogida o el tratamiento. Por otra parte, el hecho de que dichas imágenes resultaran visibles para otros clientes de la entidad que utilizaran los cajeros es una consecuencia del incumplimiento de la obligación de cesar en el tratamiento de los datos, cuando éstos han dejado de ser necesarios para las finalidades que determinaron dicho tratamiento. Por ello, los hechos analizados se califican en la forma expresada y no como un incumplimiento del deber de secreto. En el recurso interpuesto, en definitiva, CAIXABANK no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del mismo. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de febrero de 2016, en el procedimiento sancionador PS/00426/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es