1/10
Expediente Nº: PS/00324/2021
- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a
los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de febrero de 2021
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra IZA OBRAS Y PROMOCIONES, S.A. con NIF
A48820229 (en adelante, la parte reclamada).
El motivo en que se basa la reclamación es que la entidad reclamada ha revelado
datos de salud del reclamante a otra empresa, así como su dirección de correo
personal, y todo ello sin el consentimiento del reclamante.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 16 de marzo de 2021 se dio traslado de dicha reclamación a
la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
Con fecha 13 de abril de 2021, se recibe en esta Agencia escrito de respuesta
indicando lo siguiente:
1.- El 14 de noviembre de 2018 la Entidad Pública Empresarial de Vivienda-
Donostiako Etxegintza, adjudicó a IZA un contrato de obras de construcción en
Intxaurrondo.
2.- El reclamante, empleado de IZA, actúa en dicha obra desempeñando
temporalmente la función de jefe de obra.
3.- El reclamante, manteniendo su condición de empleado, denunció a IZA ante la
Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza el 14 de julio y 9 de
septiembre de 2020 por falta de adscripción de medios humanos y materiales, entre
otros.
4.- En cumplimiento de su poder de control, la Entidad Pública Empresarial de
Vivienda-Donostiako Etxegintza requirió a IZA, conforme al artículo 55 de la Ley
39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas,
información relativa a las denuncias interpuestas.
5.- IZA recibiendo dicha comunicación, y en cumplimiento de la obligación de
colaboración con la Administración, manifestó los hechos relevantes que explicarían
las faltas de adscripción de medios materiales y humanos de la obra, contestando a
las denuncias del reclamante. En dicha información se incluía información sobre el
reclamante, justificando su remisión en el cumplimiento de la obligación legal (Ley
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/10
39/2015) así como en las prerrogativas de la Ley 9/2017 de contratos del sector
público.
6.- La remisión de dicha información se consideró como confidencial, siguiendo los
cauces de Registro Electrónico de Entrada, conforme a la Ley. Encontrándose esa
información en poder de Entidad Pública Empresarial de Vivienda-Donostiako
Etxegintza, y fuera de los canales de protección de IZA, la misma llegó al reclamante,
tal y como manifiesta en su denuncia.
7.- A raíz de este, se activó el protocolo de brechas, no se detectó fuga de datos
desde IZA, solicitando aclaración al respecto a Entidad Pública Empresarial de
Vivienda-Donostiako Etxegintza, solicitud que no ha obtenido respuesta.
8.- Respecto a la información que indica el reclamante, IZA exclusivamente la aportó al
procedimiento administrativo, en el ejercicio de la competencia y control de la Entidad
Pública.
9.- Respecto a la utilización del correo electrónico personal del denunciante, se
informa que su uso deriva de la previa remisión por el mismo desde hace 2 años como
medio para comunicarse con la empresa. Se adjuntan cabeceras de los mensajes y
asuntos para corroborarlo, y que en caso de necesitar los contenidos serían remitidos
a la Autoridad de Control.
TERCERO: Con fecha 18 de junio de 2021 la Directora de la Agencia Española de
Protección de Datos acordó admitir a trámite la reclamación presentada por la parte
reclamante.
CUARTO: Con fecha 13 de octubre de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 5.1.c) del RGPD, tipificada en el
artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, el 25 de octubre de 2021, el reclamado
presentó escrito de alegaciones en el que, en síntesis, manifiesta que no ha revelado
información de carácter personal del reclamante a la Entidad Pública Empresarial de
Vivienda-Donostiako Etxegintza.
Además manifiesta su confusión y solicita a esta Agencia que se le indique qué
información especialmente sensible ha sido objeto de tratamiento.
Y finalmente solicita que se requiera al Ayuntamiento de Donostia/San Sebastián la
grabación de la sesión incorporada al diario de sesiones de la Comisión de Desarrollo
y Planificación del Territorio de fecha 9 de diciembre de 2020, donde presumiblemente
se vertieron y manifestaron los datos del reclamante.
SEXTO: Con fecha 27 de octubre de 2021 el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/10
actuaciones previas de investigación, E/02987/2021, así como los documentos
aportados por el reclamado.
SEPTIMO: Con fecha 31 de octubre de 2021, se dicta propuesta de resolución
proponiendo que la Directora de la Agencia Española de Protección de Datos sancione
a IZA OBRAS Y PROMOCIONES, S.A., con NIF A48820229, por una infracción del
artículo 5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de
50.000 € (cincuenta mil euros).
OCTAVO: Con fecha 15 de noviembre de 2021, se presentan alegaciones a dicha
propuesta de resolución, reiterando las alegaciones anteriormente señaladas a lo largo
del procedimiento y en concreto manifiesta lo siguiente:
“No ha cedido el dato del correo electrónico personal del reclamante, que además se
encontraba legitimada para la cesión de datos -incluso si hubiera categorías de datos
especialmente protegidos-, y que todo este procedimiento se desata por la fuga de
información producida desde la Entidad Pública Empresarial de Vivienda-Donostiako
Etxegintza, su Consejo de Administración así como desde la Comisión de Desarrollo y
Planificación del Territorio del Ayuntamiento de Donostia/San Sebastián.”
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El reclamante manifiesta que la entidad reclamada ha revelado datos de
salud del reclamante (en concreto fechas de bajas médicas, motivos, y permisos) a
otra empresa, así como su dirección de correo personal, y todo ello sin su
consentimiento.
La entidad reclamada facilitó no solo las ausencias, sino también las fechas de las
bajas y permisos con sus respectivas causas, entre ellas COVID.
Ello se constata en la carta remitida por la entidad reclamada a la Entidad Pública
Empresarial de Vivienda-Donostiako Etxegintza, el 18 de noviembre de 2020, obrante
en este expediente junto a la documentación aportada por el reclamante en su escrito
de reclamación.
SEGUNDO: La entidad reclamada fue requerida por la Entidad Pública Empresarial de
Vivienda-Donostiako Etxegintza, para que les facilitase información relativa a las
denuncias interpuestas por el reclamante el 14 de julio y 9 de septiembre de 2020 por
falta de adscripción de medios humanos y materiales.
La entidad reclamada dio respuesta a tal requerimiento aportando información
personal (correo electrónico personal del reclamante, así como fechas de bajas
médicas, las causas de estas, y permisos) lo cual llegó a conocimiento de este último y
causó la presente reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/10
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
II
El RGPD en su artículo 5, “Principios relativos al tratamiento” dice que “Los datos
personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no
más tiempo del necesario para los fines del tratamiento de los datos personales; los
datos personales podrán conservarse durante períodos más largos siempre que se
traten exclusivamente con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1,
sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que
impone el presente Reglamento a fin de proteger los derechos y libertades del
interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”
La infracción de la que se responsabiliza al reclamado está prevista en el artículo 83.5
del RGPD que establece:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/10
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
A su vez, la LOPDGDD en su artículo 72.1.a) califica de infracción muy grave, a
efectos de prescripción, “a) El tratamiento de datos personales vulnerando los
principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
III
En el presente caso, se han revelado datos personales del reclamante, como la
dirección de correo electrónico personal y datos de salud a la Entidad Pública
Empresarial de Vivienda-Donostiako Etxegintza, sin contar con el consentimiento del
reclamante.
Aunque a la parte reclamada se le reconoce legitimación para remitir los datos
necesarios para defenderse de un procedimiento sancionador o de las penalidades
que se le pudieran imponer derivadas del incumplimiento de un contrato
administrativo, no debe olvidarse que el RGPD recoge la salud como una categoría de
los datos personales especialmente protegidos, de conformidad con el artículo 9.1 del
RGPD, donde se indica lo siguiente:
“Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o
racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar
de manera unívoca a una persona física, datos relativos a la salud o datos relativos a
la vida sexual o las orientación sexuales de una persona física”.
En este sentido, la entidad reclamada presenta escrito de alegaciones a la propuesta
de resolución indicando que de conformidad con el artículo 9.2 f) del RGPD los datos
personales del reclamante fueron cedidos para su defensa ante una reclamación.
Ha de indicarse que el tenor literal de dicho precepto es el siguiente:
“El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;”
En este sentido ha de señalarse que aunque ciertamente el considerando 52 del
RGPD in fine establece respecto de esa excepción que “debe autorizarse asimismo a
título excepcional el tratamiento de dichos datos personales cuando sea necesario
para la formulación, el ejercicio o la defensa de reclamaciones, ya sea por un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/10
procedimiento judicial o un procedimiento administrativo o extrajudicial”; sin embargo,
ha de tenerse en cuenta que el uso de datos de salud, aún cuando se cuente con esta
excepción, no queda amparado si violenta el artículo 5.1.c) del RGPD y los datos
cedidos son excesivos en relación con la finalidad, pues no se ha justificado la
necesidad de explicitar todas las vacaciones, permisos y, especialmente por ser datos
de salud, las bajas con sus causas para procurar su defensa.
Por otro lado, la entidad reclamada alega además en su escrito de alegaciones a la
propuesta de resolución que se han rechazado pruebas por parte de este Organismo.
En este sentido ha de señalarse que esta Agencia no ha rechazado ninguna prueba
presentada por la parte reclamada, únicamente se ha considerado que con las
pruebas obrantes en este procedimiento, no es necesario requerir al Ayuntamiento de
Donostia/San Sebastián la grabación de la sesión incorporada al diario de sesiones de
la Comisión de Desarrollo y Planificación del Territorio de fecha 9 de diciembre de
2020.
Esto es así porque ha quedado probado que se han cedido por parte de la entidad
reclamada, datos de salud del reclamante, en concreto fechas de bajas médicas,
motivos de las mismas y permisos, y por lo tanto, la entidad reclamada se ha
extralimitando en el tratamiento de los datos personales del reclamado, aunque tenga
legitimidad para su uso interno en sus relaciones con el trabajador o reclamante, pero
no tiene legitimidad para utilizarlos más allá de su relación laboral con el reclamante,
sin su consentimiento expreso.
En otro orden de cosas, ha quedado constatado, además, que en respuesta al
requerimiento de la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza,
como consecuencia de las denuncias interpuestas por el reclamante el 14 de julio y 9
de septiembre de 2020 por falta de adscripción de medios humanos y materiales, la
entidad reclamada facilitó el correo electrónico del reclamante sin contar con su
consentimiento.
En este sentido la entidad reclamada alega conocer el correo electrónico del
reclamante, porque era la forma de comunicación empresa-trabajador, por lo que al
facilitar el correo electrónico personal del reclamante, a una tercera entidad, ha
excedido la finalidad para la cual se facilitó dicho dato personal, vulnerando con ello el
principio de limitación de la finalidad, regulado en el artículo 5.1 b) del RGPD,
señalado en el fundamento de derecho II.
Por lo tanto, al cederse datos de salud del reclamante, (fechas de bajas médicas,
motivos de las mismas y permisos con sus respectivas causas, entre ellas COVID) y el
correo electrónico personal del reclamante, esta Agencia considera por un lado que se
están tratando datos especialmente protegidos, de conformidad con el artículo 9 del
RGPD (datos de salud), y por otro que se están tratando datos de carácter personal
(correo electrónico personal) para una finalidad distinta a la mera comunicación entre
el trabajador y la empresa, de conformidad con el artículo 5.1 b) del RGPD.
Todo ello redunda en una utilización excesiva de datos personales por parte de la
entidad reclamada, ya que pese a que la normativa de protección de datos exige que
el tratamiento de los datos personales sea adecuado, pertinente y limitado a lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/10
estrictamente necesario en relación con los fines para los que son tratados, como
consecuencia de la denuncia presentada por el reclamante contra la entidad
reclamada ante la Entidad Pública Empresarial de Vivienda-Donostiako Etxegintza por
falta de adscripción de medios humanos y materiales, la entidad reclamada ha
vulnerado el principio de minimización de datos, al facilitar a dicha entidad pública
empresarial para su defensa, datos de salud y el correo electrónico personal del
reclamante, lo que hace que nos encontremos ante una presunta vulneración del
artículo 5.1 c) del RGPD, indicado en el fundamento de derecho II.
Por ello, se considera conveniente reiterar que no se considera necesario requerir al
Ayuntamiento de Donostia/San Sebastián la aportación de la grabación de la sesión
incorporada al diario de sesiones de la Comisión de Desarrollo y Planificación del
Territorio de fecha 9 de diciembre de 2020, tal y como sugiere la entidad reclamada,
ya que con la documentación obrante en este expediente quedan acreditados los
hechos denunciados, que son en definitiva, un exceso de datos personales aportados
por parte de la entidad reclamada para justificar su actuación, en perjuicio del
reclamante, al tratar datos especialmente sensibles, y por ello especialmente
protegidos, como son los datos de salud, de conformidad con lo establecido en el
artículo 9 del RGPD.
IV
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
V
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/10
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y
medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/10
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción
del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a IZA
OBRAS Y PROMOCIONES, S.A. con NIF A48820229 como responsable de una infracción
tipificada en el artículo 83.5.a) del RGPD, en una valoración inicial, se estiman concurrentes
en el presente caso, en calidad de agravantes, los siguientes factores:
- Se ha producido el tratamiento de una categoría especial de datos personales, como son
los datos de salud, de conformidad con el artículo 9 del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a IZA OBRAS Y PROMOCIONES, S.A., con NIF A48820229,
por una infracción del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD,
una multa de 50.000 € (cincuenta mil euros).
SEGUNDO: NOTIFICAR la presente resolución a IZA OBRAS Y PROMOCIONES,
S.A.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/10
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es