1/10
Procedimiento Nº: PS/00058/2020
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 13 de noviembre de
2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra Caja Rural San José de Nules S. Cooperativa de Crédito
de la Comunidad Valenciana con NIF F12013140 (en adelante, Caja Rural).
Los motivos en que basa la reclamación son que la Caja Rural es propietaria
de un bar situado en la planta baja de las oficinas donde se encuentra su domicilio
social, es un establecimiento público que es punto de reunión de costumbre arraigada
en Nules.
Manifiesta que en el comedor de dicho bar la Caja Rural tiene instalado un
tablón de anuncios, en éste se ha publicado un listado de socios a que se refiere dicho
anuncio (en total 76) figuran los datos personales de la reclamante claramente
identificable, con sus apellidos y nombre (por orden alfabético), (…).
Añade que con dicha publicación se han cedido sus datos personales, de
manera que cualquier vecino de Nules le ha identificado como uno de los expulsados
por haber incumplido obligaciones económicas con la Caja Rural.
Así las cosas, Caja Rural además de ceder a cualquier persona sus datos
personales han informado públicamente de cuál es su situación económica.
Además, manifiesta que dicho anuncio se encuentra publicado al menos desde
el pasado día 25 de octubre, si bien el Consejo Rector adoptó dicho Acuerdo el día 21
de octubre de 2019.
Junto a la reclamación, la reclamante aporta además de una fotografía del
tablón de anuncios de la Caja Rural, copia de los requerimientos dirigidos por una
parte al Consejo Rector de fechas 4 y 5 de noviembre de 2019 y por otra el de 6 de
noviembre de 2019 dirigido al Delegado de Protección de Datos para que se retirara el
anuncio.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un
mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante
la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos
designados por los responsables o encargados del tratamiento, a los efectos previstos
en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/10
traslado de la reclamación a la entidad reclamada para que procediese a su análisis y
diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes.
Como resultado de este trámite, con fecha 11 de febrero de 2020 Caja Rural
manifiesta que el propio Consejo acordó llevar a cabo la notificación de su acuerdo
mediante edicto en el tablón de anuncios del domicilio social de la Entidad, en
ejecución de lo cual, el día 21de octubre de 2019, con intervención notarial para dar fe
de lo actuado, la Entidad publicó su decisión mediante edicto en dicho tablón, que es
el de su centro social ubicado en su domicilio social.
Además de haber sido el medio de notificación concretamente acordado por el
Consejo en este caso para la publicación de su acuerdo, el tablón de anuncios del
centro social es el medio del que se han dotado los propios socios de la Entidad para
la publicación de cualesquiera noticias e informaciones de su interés y es, por tanto,
conocido por todos ellos y empleado desde siempre a tal fin.
Una vez transcurrido el plazo de 15 días de audiencia a que obligan los
artículos 17.2 de los Estatutos y 22.5 del Decreto, la Entidad procedió a la retirada del
anuncio el día 5 de noviembre de 2019.
En cuanto al local en el que se ubica el tablón de anuncios, se trata, del centro
social de la Entidad, destinado a sus socios, tal como se informa en el cartel situado a
su entrada y en sus propias normas de uso y disfrute.
La reclamante se dirigió al Consejo Rector de la Entidad, mediante escritos de
fecha 4 y 5/11/2019, al DPD, mediante correo electrónico de fecha 6/11/2019.
En contestación a dichos escritos y correo electrónico, el día 22/11/2019 la
Entidad entregó en mano a la persona autorizada por la reclamante la contestación a
su reclamación.
Y, aporta la siguiente documentación:
Estatutos de la Caja Rural.
Acta de la sesión del Consejo Rector y Acta notarial dando fe de lo actuado.
Foto del cartel de entrada al centro social.
Copia del cartel de las normas de uso y disfrute de dicho local.
Copia del contrato regulador del servicio de cafetería.
Contestación a la reclamante.
El 19 de febrero de 2020 la Directora de la Agencia Española de Protección de
Datos, acuerda admitir a trámite la presente reclamación.
TERCERO: Con fecha 11 de marzo de 2020, la Directora de la Agencia Española de
Protección de Datos, acordó iniciar procedimiento sancionador a Caja Rural, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante
LPACAP), por la presunta infracción del artículo 5.1f) del RGPD en relación con el
artículo 5 de la LOPDGDD, tipificada en el artículo 83.5 a) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/10
CUARTO: Notificado el citado acuerdo de inicio, Caja Rural presentó escrito de
alegaciones en el que, en síntesis, manifiesta que es una cooperativa de crédito, que,
en su propio domicilio social cuenta con un centro social a disposición exclusiva de sus
socios.
Añade, que el tablón de anuncios utilizado por Caja Rural a efectos de informar
y notificar a sus socios se encuentra en su centro social, no es un bar.
Asimismo, señala que los acuerdos adoptados por el Consejo Rector de Caja
Rural han cumplido, en todo caso, con lo previsto en las disposiciones normativas y
estatutarias que como cooperativa de crédito le son de aplicación.
Por último, indica que la actuación de Caja Rural en ningún caso ha sido
negligente, sino diligente, cumplidora y cuidadosa en el mejor interés de los propios
sancionados y sus demás socios.
QUINTO: Con fecha 9 de julio de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/00091/2020, así como los documentos
aportados por Caja Rural.
SEXTO: El 8 de septiembre de 2020 se formula propuesta de resolución en los
siguientes términos:
Que por la Directora de la Agencia Española de Protección de Datos se sancione
a Caja Rural San José de Nules S. Coop. de Crédito de la Comunidad Valenciana, con
NIF F12013140, por una infracción del Artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 del RGPD, una multa de 5.000 euros (cinco mil euros).
La propuesta de resolución se notificó electrónicamente a la reclamada siendo la
fecha de puesta a disposición el 18 de septiembre de 2020 y la fecha de aceptación
ese mismo día.
SÉPTIMO: El 2 de octubre de 2020 tienen entrada en la sede electrónica de esta
Agencia las alegaciones de la reclamada a la propuesta de resolución en las que
solicita que se proceda al archivo del procedimiento por haber actuado, dice, conforme
a Derecho.
En defensa de su pretensión la reclamada reitera las alegaciones hasta ahora
formuladas al acuerdo de inicio y, en síntesis, aduce los argumentos siguientes: “Caixa
Rural de Nules lleva a cabo su actividad en su domicilio social, establecido en Nules,
provincia de Castellón, en la calle Mayor nº 66, tal como se prevé en el artículo 6 de
sus Estatutos.
La utilización y disfrute del centro social queda destinado única y exclusivamente
a socios de la Caja Rural San José de Nules.
Permitir la colocación de carteles informativos de la Entidad en el tablón de
anuncios del local social.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/10
La única realidad es que se trata de un establecimiento privado, destinado única
y exclusivamente a los socios.
Las personas que adquieren la condición de socio de Caixa Rural de Nules,
como fue el caso de la Reclamante, quedan sujetas a los derechos y obligaciones
previstos en los Estatutos de la Entidad.
Acerca del inicio del expediente sancionador a los socios de la Entidad, de forma
que de acuerdo con el artículo 17 de los Estatutos, los socios dispondrán desde el
momento de la comunicación del inicio del expediente sancionador, que se realizará
mediante publicación de edicto en el tablón de anuncios del domicilio social de la
Entidad, de un plazo de 15 días naturales para que los interesados puedan realizar las
correspondientes alegaciones.
De acuerdo con ello, la Entidad publicó su decisión mediante edicto en dicho
tablón que es el de su centro social ubicado en su domicilio social, sito en la calle
Mayor, número 66 del municipio de Nules, provincia de Castellón.
Los datos personales que se incluyeron en el acuerdo del Consejo, entre ellos
dos de la reclamante, eran datos básicos, constaba el nombre y apellidos y sólo cuatro
números del NIF, el resto de los números fueron ocultados con asterisco de forma
aleatoria.
En nuestro caso, del mismo modo, al publicar los datos, lo hicimos en un ámbito
de uso exclusivo para nuestros socios y por la vía por la que también llevamos a cabo
las demás publicaciones similares y conocidas por nuestros socios, como es la lista de
socios con derecho a voto, y tal y como se contempla en la disposición adicional
tercera de los Estatutos.
Caixa Rural no ha actuado de forma negligente, lo ha hecho siguiendo los
procedimientos legales y estatutarios a los que está sujeta como cooperativa de
crédito”.
De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El 13 de noviembre de 2019, la reclamante, manifiesta que Caja Rural es
propietaria de un centro social con cafería situado en la planta baja de las oficinas
donde se encuentra su domicilio social, es un establecimiento público que es punto de
reunión de costumbre arraigada en Nules.
En el comedor de dicho centro social con cafetería, Caja Rural, tiene instalado
un tablón de anuncios, en éste se publicó un listado de socios y figuran los datos
personales de la reclamante claramente identificable, con sus apellidos y nombre (por
orden alfabético), (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/10
Con dicha publicación se han cedido sus datos personales, de manera que
cualquier vecino de Nules le ha identificado como uno de los expulsados por haber
incumplido obligaciones económicas con Caja Rural.
SEGUNDO: El anuncio se encuentra publicado al menos desde el pasado día 25 de
octubre, si bien el Consejo Rector adoptó dicho Acuerdo el día 21 de octubre de 2019.
TERCERO: Se constata en la fotografía del tablón de anuncios de la Caja Rural, los
datos personales de la reclamante.
CUARTO: Constan los requerimientos efectuados por la reclamante por una parte al
Consejo Rector de fechas 4 y 5 de noviembre de 2019 y por otra el de 6 de noviembre
de 2019 dirigido al Delegado de Protección de Datos para que se retirara el anuncio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
Se imputa a Caja Rural la comisión de una infracción por vulneración del
Artículo 5.1.f) del RGPD, que señala que:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).
(…)”
El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), señala que:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de
los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun
cuando hubiese finalizado la relación del obligado con el responsable o encargado del
tratamiento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/10
Por otra parte, el artículo 83.5 a) del RGPD, considera que la infracción de “los
principios básicos para el tratamiento, incluidas las condiciones para el consentimiento
a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del
mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La regulación de las infracciones en la LOPDGDD es más precisa en cuanto a las
situaciones que dan lugar a una infracción y su consideración, de manera que es
mucho más sencillo conocer el plazo de prescripción de esa infracción (es decir, si es
considerada leve, grave o muy grave) y de cara a la sanción administrativa a imponer
por su incumplimiento.
La LOPDGDD en su artículo 72, a efectos de prescripción, señala que son:
“Infracciones consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
III
La documentación obrante en el expediente ofrece indicios evidentes de que
Caja Rural vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en
relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al considerar
probada la exposición pública de un documento en el tablón de anuncios de la
cafetería del local de la Caja Rural un listado de socios (entre ellos figura la
reclamante), mostrando sus datos personales, y por ello se entiende que la entidad
reclamada vulneró el artículo 5.1 f) del RGPD, que rige los principios de integridad y
confidencialidad de los datos personales, así como la responsabilidad proactiva del
responsable del tratamiento de demostrar su cumplimiento.
Es importante resaltar que Caja Rural reconoce que el tablón de anuncios es
empleado siempre para tal fin, y que una vez transcurrido el plazo de quince días de
audiencia, la entidad procedió a la retirada del anuncio; y en este sentido hay que
señalar que el trámite de audiencia es solo para los interesados, no para todo el que
pase por la cafetería y no se vea afectado. Es por lo que se considera vulnerado el
artículo 5.1 f) del RGPD.
La reclamante aportó la fotografía del tablón de anuncios de Caja Rural, dónde
se constatan los datos de la reclamante, la cual es perfectamente identificable, donde
figuran sus apellidos y nombre (por orden alfabético) (…).
El deber de confidencialidad, con anterioridad deber de secreto, debe
entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no
consentidas por los titulares de los mismos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/10
Por tanto, ese deber de confidencialidad es una obligación que incumbe no
sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en
cualquier fase del tratamiento y complementaria del deber de secreto profesional.
Respecto a lo alegado por Caja Rural, está claro, que en este caso concreto,
actuó de forma contraría al principio de confidencialidad consagrado en el artículo
5.1.f) del RGPD, en relación con el artículo 5 de la LOPDGDD, toda vez que Caja
Rural reveló a través de la exposición pública de un documento en el tablón de
anuncios de los datos personales de la reclamante.
IV
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular.
En el presente caso, se tiene en cuenta que la exposición en el tablón de
anuncios de Caja Rural, de un documento con datos de carácter personal puede
suponer una omisión del deber de adoptar o de observar las medidas técnicas y
organizativas que garanticen la seguridad de dichos datos, evitando su sustracción
pérdida o acceso indebido; hecho que motivó el inicio del presente procedimiento
sancionador.
En este caso concreto, Caja Rural deberá acreditar que ha adoptado una serie
de medidas adecuadas para garantizar la seguridad y confidencialidad de los datos.
V
En la determinación de la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/10
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/10
VI
Al decidir la imposición de una multa administrativa y su cuantía, en cada caso
individual se tendrán en cuenta los factores agravantes y atenuantes que se señalan
en el art. 83.2 del RGPD, así como cualquier otro que pueda resultar aplicable a las
circunstancias del caso.
En consecuencia, se han tenido en cuenta, como agravantes:
En el presente caso estamos ante acción negligente no intencional, pero signifi-
cativa (artículo 83.2 b).
Se encuentran afectados identificadores personales básicos, según el artículo
83.2g).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a CAJA RURAL SAN JOSE DE NULES S COOP. DE CREDITO
DE LA COMUNIDAD VALENCIANA, con NIF F12013140, por una infracción del
Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000
euros (cinco mil euros).
SEGUNDO: ORDENAR a CAJA RURAL SAN JOSE DE NULES S COOP. DE
CREDITO DE LA COMUNIDAD VALENCIANA, que el documento con datos de
carácter personal objeto de este procedimiento; debe adoptar y observar las medidas
técnicas y organizativas que garanticen la seguridad de los datos, evitando su
sustracción pérdida o acceso indebido; hecho que motivó el inicio del presente
procedimiento sancionador; debiendo informar de ello a esta Agencia en el plazo de un
mes.
TERCERO: NOTIFICAR la presente resolución a CAJA RURAL SAN JOSE DE NULES
S COOP. DE CREDITO DE LA COMUNIDAD VALENCIANA, con NIF F12013140.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/10
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es