Procedimiento Nº: PS/00006/2019
938-0419
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en
consideración a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 27/08/2018 tiene entrada en el Registro de la Agencia Española
de Protección de Datos (AEPD) una reclamación de D. A.A.A. (en lo sucesivo, el
reclamante) en la que expone que la página ***URL.1 incumple la normativa de
protección de datos.
La entidad responsable de la web banderacatalana.cat es la sociedad GRUP BC,
S.L., con NIF B65880916 (en adelante, el reclamado).
SEGUNDO: A la vista de la reclamación formulada, la AEPD, en el marco del
expediente con referencia E/7148/2018, mediante escrito de fecha 09/10/2018,
notificado electrónicamente, dio traslado de la reclamación al reclamado y le solicitó
información sobre las medidas que hubiera adoptado para poner fin a la situación
irregular denunciada.
El certificado emitido por la FNMT que obra en el expediente acredita que el
escrito de traslado se puso a disposición del reclamado en la sede electrónica el
09/10/2018 y que el 20/10/2018 se produjo el rechazo automático.
La AEPD reiteró la notificación al reclamado el 25/10/2018, esta vez a través de
correo postal que consta entregado -así lo acredita el certificado expedido por la
Sociedad Estatal Correos y Telégrafos, S.A.- el 29/10/2018 a las 10:37 horas.
Se notificó por correo postal al reclamante un escrito en el que se acusaba
recibo de su reclamación y se le informaba del traslado al reclamado. En fecha
31/10/2018 este escrito se devuelve a la AEPD al no haber sido retirado de la oficina
de Correos en la que se depositó después de dos intentos de entrega con resultado
ausente.
De conformidad con lo dispuesto en el artículo 65.5 de la Ley Orgánica 3/2018,
de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha
12/12/2018 se firma el acuerdo de admisión a trámite de la presente reclamación.
Al amparo del artículo 67.1 de la LOPDGDD, la Inspección de Datos de la AEPD
lleva a cabo las siguientes actuaciones a fin de determinar los hechos y las
circunstancias que justifican la tramitación del procedimiento.
En fecha 31/01/2019 se accede a la Política de Privacidad de la página ***URL.1
y se constatan los siguientes extremos.
- La página web ***URL.1 ofrece en el apartado denominado información
(“Informaciò”) y dentro de él en el subapartado texto legal (“Text Legal”), el acceso a su
Política de Privacidad.
- La Política de Privacidad a la que se accede informa de que el responsable del
tratamiento de los datos es “Grupo Bandera Catalana”, Grup BC, S.L., (B65880916),
con domicilio en calle Venus 86 B, Terrassa 08228.
- La Política de Privacidad de la reclamada dedica sendos apartados a estas
cuestiones: El responsable (i); las finalidades, legitimación y conservación del
tratamiento de los datos enviados a través de formularios de contacto, correos
electrónicos y suscripción a su newsletter (ii); los destinatarios de los datos (iii); los
derechos en relación con sus datos personales (iv); cookies (v); seguridad de sus
datos personales (vi) y actualización de sus datos personales (vii).
- A su vez, el segundo de los apartados mencionados - finalidades, legitimación y
conservación del tratamiento de los datos enviados a través de formularios de
contacto, correos electrónicos y suscripción a su newsletter- detalla, dependiendo del
medio por el que el titular los haya facilitado, cuál es la finalidad del tratamiento y cuál
la legitimación para el tratamiento de los datos personales.
Se hace constar para cada uno de los medios de recogida de datos empleados
la siguiente legitimación (“Legitimaciò”):
El consentimiento del usuario al solicitarnos información a través de
nuestro formulario de contacto.
El consentimiento del usuario al solicitarnos información a través de la
dirección de correo electrónico.
El consentimiento del usuario al suscribirse a nuestros envíos comerciales
o newsletters.
Más adelante, la información legal de la página web ***URL.1, en el mismo
apartado destinado a finalidades, legitimación y conservación del tratamiento de los
datos enviados a través de formularios de contacto, correos electrónicos y suscripción
a la newsletter, indica que el suministro de datos personales requiere una edad mínima
de 13 años o si procede, disponer de capacidad jurídica suficiente para contratar (el
subrayado es de la AEPD).
Dado que la página web ***URL.1, y por tanto también la Política de Privacidad,
utiliza exclusivamente una de las lenguas cooficiales de Cataluña, el catalán, se
transcribe la información aludida tal y como se ofrece, esto es, redactada en catalán:
“El subministrament de dades personals requereix una edat mínima de 13 anys
o, si s`escau, disposar de capacitat jurídica suficient per contractar”) (El subrayado es
de la AEPD)
TERCERO: Con fecha 06/02/2019, la Directora de la Agencia Española de Protección
de Datos acuerda iniciar procedimiento sancionador al reclamado por la presunta
infracción del artículo 13.1, en relación con los artículos 6.1.a) y 8.1 del RGPD y en
relación con el artículo 7 de la Ley Orgánica 3/2018, de Protección de Datos y
Garantías de los Derechos Digitales (LOPDGDD). Infracción contemplada en el
artículo 83.5 del RGPD.
CUARTO: El acuerdo de inicio fue notificado al reclamado electrónicamente, conforme
a lo prevenido en el artículo 14 de la Ley 39/2015 de Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP). El certificado expedido por el
Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT,
que obra en el expediente, prueba que el acuerdo de inicio se puso a disposición de la
entidad el 07/02/2019 siendo rechazado en fecha 18/02/2019.
Esta Agencia reiteró la notificación del acuerdo de inicio del expediente a través
de correo postal dirigido al domicilio social del reclamado. El certificado expedido por
la Sociedad Estatal Correos y Telégrafos acredita que el acuerdo de apertura fue
notificado al reclamado figurando como fecha de entrega el 04/03/2019 a las 10:33
horas.
Con arreglo al artículo 73.1 de la LPACAP “Los trámites que deban ser
cumplimentados por los interesados deberán realizarse en el plazo de diez días a
partir del siguiente al de la notificación del correspondiente acto”, salvo cuando la
norma fije un plazo distinto.
En el acuerdo de inicio del PS /0006/2019 se otorgó un plazo de diez días
hábiles para formular alegaciones y se hizo constar, además, tal y como previene el
artículo 64.2.f) de la Ley 39/2015 que, en caso de no formular en el plazo previsto
alegaciones sobre el contenido del acuerdo de iniciación éste podrá ser considerado
propuesta de resolución cuando contenga un pronunciamiento preciso sobre la
responsabilidad imputada.
No se tiene noticia en esta Agencia de que el reclamado hubiera formulado
alegaciones al acuerdo de apertura del procedimiento sancionador.
Mediante diligencia de fecha 31/10/2019 se deja constancia por la instructora del
expediente del resultado del acceso efectuado en esa fecha a la Política de
Privacidad de la página web banderacatalana.cat.
Las capturas de pantalla obtenidas de ese sitio web evidencian que en el
apartado “Finalidad, legitimación y conservación de los tratamientos de los datos
enviados a través de: Formulario de contacto (…) Envío de correos electrónicos ( …)
Suscripción a nuestra newsletter” de la información legal continúa existiendo idéntica
información que la que aparecía en fecha 31/01/2019: El suministro de datos
personales requerirá una edad mínima de 13 años o, en su caso, disponer de
capacidad jurídica suficiente para contratar.
Asimismo, las capturas de pantalla incorporadas a la diligencia de constancia
levantada en fecha 31/10/2019 acreditan que la página ***URL.1 informa de que “el
nuevo responsable de la web alojado en ***URL.2 y del tratamiento de los datos
personales” es el señor B.B.B. con número de identificación fiscal ***NIF.1 y domicilio
fiscal en calle ***DIRECCIÓN.1
Habida cuenta de que el reclamado no formuló alegaciones al acuerdo de inicio
del expediente sancionador, al amparo del artículo 64.2.f) de la LPACAP y toda vez
que en el acuerdo de iniciación se contenía un pronunciamiento específico y
determinado sobre la responsabilidad del imputado, se omite el trámite de propuesta
de resolución y se pasa a dictar la correspondiente resolución
Se consideran probados en el presente procedimiento los siguientes,
HECHOS
1.- En fecha 31/01/2019 el sitio ***URL.2 informa de que Grup BC, S.L., con NIF
B65880916, es el responsable del tratamiento de los datos personales. Facilita su
dirección postal (calle Venus 86 B, Terrassa 08228) y una dirección electrónica:
***EMAIL.1
2. En esa fecha, 31/01/2019, la política de privacidad a la que se puede acceder desde
el sitio web precitado se refiere, entre otras materias, a las “Finalidades, legitimación y
conservación de los tratamientos de los datos enviados a través de: formularios de
contacto (…) Envío de correos electrónicos (…) Suscripción a nuestra Newsletter (…)”
En este subapartado – “Suscripción a nuestra Newsletter”- se indica lo siguiente:
“Finalidad: Envío de nuestro boletín comercial, comunicaciones informativas y
publicitarias sobe nuestros productos o servicios que sean de su interés, incluso por
medios electrónicos (correo electrónico, SMS, etc).
Legitimación: El consentimiento del usuario al suscribirse a nuestros envíos
comerciales o newsletters.
Conservación: Hasta que el interesado revoque el consentimiento y solicite la
baja del servicio.
Obligación de facilitar sus datos personales y consecuencia de no hacerlo.
“El suministro de datos personales requiere una edad mínima de 13 años o, en
su caso, disponer de capacidad jurídica suficiente para contratar”. (El subrayado es de
la AEPD)
3. La notificación al reclamado del acuerdo de inicio del expediente PS/0006/2019 se
efectuó electrónicamente en fecha 07/02/2019 (fecha de puesta a disposición) y fue
rechazada automáticamente el 18/02/2019. Así lo acredita el certificado de la FNMT
que obra en el expediente.
4. En fecha 04/03/2019, a las 10.30 horas, el reclamado recogió el acuerdo de inicio
del PS/006/2019 habida cuenta de que la AEPD reiteró la notificación a través de
correo postal. Obra en el expediente el certificado expedido por la Sociedad Estatal
Correos y Telégrafos que así lo acredita.
5. No consta en el Registro de la AEPD que el reclamado haya formulado alegaciones
al acuerdo de inicio del PS/006/2019.
6. En fecha 31/10/2019, la página web banderacatalana.cat ofrece en materia de
política de privacidad esta información. En el apartado “Finalidad, legitimación y
conservación de los tratamientos de los datos enviados a través de: Formulario de
contacto (…) Envío de correos electrónicos ( …) Suscripción a nuestra newsletter”
continúa existiendo una información idéntica a la que aparecía en fecha 31/01/2019:
El suministro de datos personales requerirá una edad mínima de 13 años o, en su
caso, disponer de capacidad jurídica suficiente para contratar.
7. En fecha 31/10/2019 la página ***URL.1 informa de que “el nuevo responsable de la
web alojada en ***URL.2 y del tratamiento de los datos personales” es el señor B.B.B.
con número de identificación fiscal ***NIF.1 y domicilio fiscal en calle ***DIRECCIÓN.1
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
Se imputa al reclamado la vulneración del artículo 13.1 del RGPD, en relación
con los artículos 6.1.a, y 8 del citado Reglamento 2016/679. Infracción tipificada en el
artículo 83.5 del RGPD y, a los efectos de prescripción, calificada por la LOPDGDD
como infracción muy grave (artículo 72.1.h).
El artículo 13 del RGP, bajo la rúbrica “Información que deberá facilitarse cuando
los datos personales se obtengan del interesado”, establece:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que éstos se obtengan, le facilitará
toda la información indicada a continuación:
a La identidad y los datos de contacto del responsable y, en su caso, de su
representante;
a Los datos de contacto del delegado de protección de datos, en su caso;
a) Los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento;” (El subrayado es de la AEPD)
A tenor del precepto transcrito el responsable del tratamiento está obligado a
informar al interesado cuyos datos personales se recaban de cuál es la “base jurídica
del tratamiento” que va a realizar; lo que implica informar de la legitimación que tiene
la entidad que recoge los datos para el específico tratamiento que pretende llevar a
cabo. A ese respecto, el artículo 5.1.a) del RLOPD menciona entre los principios que
rigen el tratamiento de datos personales el de “licitud”.
La “Licitud del tratamiento” se regula en el artículo 6 del RGPD que señala:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos.
(…) (El subrayado es de la AEPD)
La disposición transcrita se complementa con el artículo 8 del mismo texto legal
-RGPD- que versa sobre las “Condiciones aplicables al consentimiento del niño en
relación con los servicios de la sociedad de la información”:
“1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta
directa a niños de servicios de la sociedad de la información, el tratamiento de los
datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años.
Si el niño es menor de 16 años, tal consentimiento únicamente se considerará lícito si
el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño,
y sólo en la medida en que se dio o autorizó.
Los Estados miembros podrán establecer por ley una edad inferior a tales fines,
siempre que ésta no sea inferior a 13 años.
2. El responsable del tratamiento hará esfuerzos razonables para verificar en
tales casos que el consentimiento fue dado o autorizado por el titular de la patria
potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
3. El apartado 1 no afectará a las disposiciones generales del Derecho
contractual de los Estados miembros, como las normas relativas a la validez,
formación o efectos de los contratos en relación con un niño”. (El subrayado es de la
AEPD)
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter
Personal y Garantía de los Derechos Digitales (en adelante, LOPDGDD), que entró en
vigor el 7 de diciembre (Disposición Final decimosexta) ha hecho uso de la habilitación
que el artículo 8.1., inciso último, del RGPD otorga a los Estados miembros para que
determinen la edad en la que es lícito que un menor de 16 años otorgue su
consentimiento al tratamiento de sus datos en relación con la oferta directa de
servicios de la sociedad de la información.
La LOPDGDD, dentro de los límites del Reglamento 2016/697, fija la edad para
consentir el tratamiento de datos en los 14 años cumplidos. El artículo 7 de la
LOPDGDD bajo la rúbrica “Consentimiento de los menores de edad”, dice:
“1. El tratamiento de los datos personales de un menor de edad únicamente
podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Se exceptúan los supuestos en los que la ley exija la asistencia de los titulares
de la patria potestad para la celebración del acto o negocio jurídico en cuyo contexto
se recaba el consentimiento para el tratamiento.
2. El tratamiento de los datos de los menores de catorce años, fundado en el
consentimiento, sólo será lícito si consta el del titular de la patria potestad o tutela, con
el alcance que determinen los titulares de la patria potestad o tutela.” (El subrayado es
de la AEPD)
III
La página web ***URL.1 oferta la venta telemática de diversos productos y
ofrece la posibilidad a quienes lo deseen de suscribirse a su boletín comercial o
newsletter con la finalidad de recibir comunicaciones informativas y publicitarias sobre
sus productos o servicios; comunicaciones que -dice- se recibirán también a través de
medios electrónicos “(Correo electrónico, SMS, etc)”.
La página web detalla que la base jurídica del tratamiento de datos personales
mediante el envío de los boletines comerciales es el consentimiento que presta el
usuario cuando se suscribe a estos envíos. La web dice a continuación:
“Obligación de facilitar sus datos personales y consecuencias de no hacerlo.
El suministro de datos personales requiere una edad mínima de 13 años o, en
su caso, disponer de la capacidad jurídica suficiente para contratar.
Los datos personales solicitados son necesarios para gestionar sus solicitudes
y/o prestarle los servicios que pueda contratar, de manera que, si no nos los facilita,
no podremos atenderle correctamente ni prestarle el servicio que nos ha solicitado…”
Parece conveniente recordar -a efectos de aplicar el artículo 8 del RGPD- que
los boletines comerciales enviados a través de medios electrónicos constituyen un
servicio de la sociedad de la información. Nos remitimos en ese sentido a la definición
que la ley 34/2002, de Servicios de la Sociedad de la Información (LSSI) ofrece en su
Anexo:
“A los efectos de esta Ley, se entenderá por:
a. Servicios de la sociedad de la información o servicios: todo servicio prestado
normalmente a título oneroso, a distancia o por vía electrónica y a petición individual
del destinatario. (…)Son servicios de la sociedad de la información, entre otros y
siempre que representen una actividad económica, los siguientes:
La contratación de bienes y servicios por vía electrónica
(...)
4. El envío de comunicaciones comerciales.
(…)” (El subrayado es de la AEPD)
La Política de Privacidad de la página web banderacatalana.cat., en
cumplimiento de la obligación que impone el artículo 13.1 del RGPD, facilita
información sobre la identidad y los datos de contacto del responsable del tratamiento
(apartado a, del precepto). Responsable que en la fecha de apertura del acuerdo de
inicio del expediente sancionador era Grup BC, S.L., con NIF B65880916.
Informa también -como exige el apartado b, del artículo 13.1, del RGPD- de los
fines del tratamiento de datos y de la legitimidad para el tratamiento que realiza. Esta
información se facilita distinguiendo tres hipótesis que se corresponden con las tres
formas a través de las cuales la Política de Privacidad de la página prevé que se
recojan datos de terceros: los formularios de contacto, el envío de correos electrónicos
o la suscripción a la revista de novedades (newsletter).
La Política de Privacidad examinada identifica siempre como origen o causa de
la legitimación para el tratamiento de los datos -para los tres supuestos o hipótesis que
contempla- el “consentimiento”. Afirma por ello, respectivamente para cada uno de
esos supuestos, que la legitimación se basa en el consentimiento “al solicitarnos
información a través del formulario de contactos”, o “al solicitarnos información a
través de su dirección de correo electrónico” o bien “al suscribirse a sus envíos
comerciales”.
Resulta así que la licitud del tratamiento de los datos personales de terceros
tiene su amparo en el artículo 6.1.a) del RGPD.
Llegados a este punto se ha de subrayar que el artículo 6 del RGPD está en
relación con el artículo 8 del citado texto legal que advierte que cuando se aplique el
consentimiento del interesado (apartado a, del artículo 6.1 RGPD) en relación con la
oferta directa de servicios de la sociedad de la información a niños, el tratamiento es
lícito sólo si el menor tiene 16 años cumplidos, pudiendo los Estados miembros fijar
una edad inferior siempre que se hubieran cumplido los 13 años. Recordemos que la
LOPDGDD ha fijado esa edad en 14 años (artículo 7 de la LOPDGDD).
Sin embargo, la Política de Privacidad de la página web afirma que el suministro
de datos personales requiere una edad mínima de 13 años o si procede, disponer de
capacidad jurídica suficiente para contratar (el subrayado es de la AEPD). A tenor de
tal afirmación, aparentemente, el mayor de trece años y menor de 14 años puede
consentir que sus datos personales sean objeto de tratamiento. Información que es
contraria a la previsión del artículo 8 del RGPD, en relación con su artículo 6.1.a, y el
artículo 7.1 de la LOPDGDD.
La información que facilita la página web viene a coincidir con el criterio que
inicialmente había adoptado el proyecto de Ley Orgánica de protección de datos y
que, finalmente, no se plasmó en la Ley. Más al contrario, la LOPDGDD, de 5 de
diciembre, que entró en vigor el 7 de diciembre, fija el límite inferior para que el menor
de edad consienta el tratamiento de sus datos en 14 años cumplidos.
Se ha de añadir a lo expuesto que el reclamado, además de no haber formulado
alegaciones al acuerdo de inicio del expediente, pese a que consta acreditada su
recepción (ver Hechos Probados) no ha rectificado la información que ofrece en su
Política de Privacidad.
En definitiva, en tanto el artículo 13.1.c) del RGPD exige que el responsable del
tratamiento de los datos, cuando éstos se obtengan directamente del interesado,
informe acerca de la base jurídica del tratamiento y, habida cuenta de que la
información que la Política de Privacidad de la página web banderacatalana.cat facilita
en relación a la base jurídica del tratamiento de los datos personales con fines
comerciales -datos que se recaban al cumplimentar el formulario de la newsletter-
contraviene el RGPD -artículos 6.1.a en relación con el artículo 8.1- y la LOPDGDD
-artículo 7-, la información que ofrece la página web ***URL.1, cuyo responsable en la
fecha en la que se notificó el acuerdo de inicio era GRUP BC, S.L., vulnera el artículo
13.1.c) del RGPD.
IV
El artículo 58.2 del RGPD dice:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
a Sancionar a todo responsable o encargado de tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el
presente Reglamento.
(…)
Imponer una multa administrativa con arreglo al artículo 83, además o en lugar
de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular,
(…)”
Sobre la procedencia de optar, en el presente caso, por la sanción de multa
prevista en el artículo 83.5 RGPD o por la sanción de apercibimiento del artículo
58.2.b, ha de traerse a colación el Considerando 148 del Reglamento 2016/679 que
ofrece la siguiente reflexión:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante” (El subrayado es de
la AEPD)
Analizadas las circunstancias que concurren en el supuesto que nos ocupa, toda
vez que del examen de la Política de Privacidad de la reclamada se constata que en
diciembre de 2018, con carácter general, había sido actualizada a los términos del
RGPD y que la información equivocada que facilitó respecto a la edad en la que un
menor de edad podía consentir el tratamiento de sus datos personales pudiera estar
originada por el hecho de que adoptó el criterio que el proyecto de Ley Orgánica de
Protección de Datos fijó inicialmente -a tenor del cual el límite de edad eran 13 años-
y no lo llegó a rectificar posteriormente -cuando la LOPDGDD fue aprobada y cambió
el criterio del proyecto estableciendo como edad mínima 14 años-, se estima
procedente sancionar por la infracción del RGPD de la que es responsable con
apercibimiento y no con la multa prevista en el artículo 83.5 RGPD, por ser más
acorde esta decisión con el espíritu del RGPD a la luz del Considerando 148.
Por lo tanto, de acuerdo con la legislación aplicable,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a GRUP BC S.L. (BANDERACATALANA.CAT), con NIF
B65880916, por una infracción del artículo 13.1, en relación con los artículos 6.1.a y 8
del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y con el
artículo 7 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD, una sanción de
apercibimiento prevista en el artículo 58.2.b, del RGPD)
SEGUNDO: NOTIFICAR la presente resolución a GRUP BC S.L.
(BANDERACATALANA.CAT).
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos