AAPP-00043-2018

1/9 Procedimiento Nº AP/00043/2018 RESOLUCIÓN: R/01625/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00043/2018, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE AVILÉS, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 13 de marzo y 4 de abril de 2018, tienen entrada en la Agencia Española de Protección de Datos sendos escritos remitidos por Don A.A.A. (en lo sucesivo el denunciante), poniendo de manifiesto que, con fecha 9 de marzo de 2018, el Ayuntamiento de Avilés, (en lo sucesivo el denunciado), ha remitido a su cuenta de correo electrónico <***EMAIL.1> un mensaje en el que las direcciones de correo electrónico de todos los destinatarios, incluida la suya, aparecen visibles para todos ellos, lo que a su juicio, constituye una revelación de datos de carácter personal que vulnera la normativa de protección de datos. El denunciante aporta copia impresa del correo electrónico recibido, así como de las cabeceras de Internet del mismo SEGUNDO: A la vista de la documentación presentada por el denunciante, se constata que el correo electrónico aportado, de fecha 9 de marzo de 2018, con asunto: “listas curso electricidad”, fue enviado desde la cuenta B.B.B. ***EMAIL.2 a un total de doce destinatarios titulares de las cuentas de correo electrónico que se muestran en el campo “para” de la cabecera del envío, y entre las que se encuentra el correo electrónico <***EMAIL.1> del denunciante. El cuerpo del mencionado correo electrónico tiene el siguiente contenido: “Buenos días. Me gustaría comunicaros el listado final del curso de “Operaciones auxiliares de montaje de redes eléctricas”. Ha habido unos errores en las reservas, ya que algunos habéis presentado a las dos selecciones, así que os comunico a día de hoy 9 de marzo como quedaría la lista. Las listas se suelen mover por bajas. Por encontrar empleo etc En breve os llamaré a los seleccionados para concretar documentación Un saludo y disculpar por el error. SELECCIONADOS (Aparece una lista con el nombre y apellidos de los seleccionados) RESERVAS (Aparece una lista con el nombre y apellidos de las personas en lista de reserva, entre ellos los del denunciante en penúltimo lugar) B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Departamento de (...), Ayuntamiento de Avilés, Avd. Oviedo 9, 33402, AVILES (ASTURIAS) Teléfono ***TELEFONO.1 Correo electrónico: ***EMAIL.2” TERCERO: Con fecha 7 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE AVILÉS por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado

1. d)del artículo 44.3 de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 22 de mayo de 2018, el Ayuntamiento de Avilés presentó escrito de alegaciones en el que, en síntesis, expone lo siguiente: Si bien no pueden negarse los hechos objeto de denuncia, si puede matizarse la presunta violación de la LOPD. Es necesario el tratamiento de los datos de los desempleados en una oferta formativa dirigida a ese colectivo. Para recibir el curso debían participar en un proceso selectivo público, transparente y en el que prima la igualdad de condiciones. Los interesados que debían participar en el curso se les informaba puntualmente, por medio del correo electrónico. El envío del correo sin copia oculta pudo deberse a un error humano o a un error en el procedimiento. No obstante, se accede a muy pocos correos electrónicos. La AEPD ha sancionado la remisión de muchos correos o aquellos referidos a datos sensibles. Se trata de un hecho puntual, con muy pocos datos expuestos; el Ayuntamiento cumple las medidas de seguridad, no ha habido beneficios; no se volverá a producir en las próximas convocatorias. El Ayuntamiento de Avilés ha recordado a los trabajadores de la necesidad de utilizar la copia oculta cuando se remitan correos a múltiples destinatarios. En consideración a lo alegado, solicitan el archivo del expediente. QUINTO: Con fecha 4 de julio de 2018, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/01548/2018, así como todos los procedimientos referenciados por el Ayuntamiento de Avilés en su escrito de alegaciones y el criterio interpretativo del Consejo de Transparencia y la AEPD, de fecha 24 de junio de 2015. SÉXTO: Con fecha 3 de septiembre de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el Ayuntamiento de Avilés ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma. Dicha propuesta de resolución fue notificada con fecha 26 de septiembre de 2018. SÉPTIMO: En fecha 19 de octubre de 2018, el Ayuntamiento de Avilés presentó escrito de alegaciones a la propuesta de resolución, en el que, en síntesis, expone lo siguiente: No se ha incurrido en la infracción descrita al no resultar cierto que se haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 producido una revelación a terceros de los nombres y apellidos de los participantes en el proceso selectivo que figuran en el correo electrónico de fecha 9 de marzo de 2018 recibido por el denunciante, dado que dicha información ya se conocía en esa fecha al ser pública desde la fecha de exposición de la lista de admitidos. Alegan que resultan de aplicación los criterios interpretativos establecidos por la AEDP en forma conjunta con la transparencia y el derecho a la información pública, citándose a estos efectos el Criterio Interpretativo CI/002/2015, de 4 de junio de 2015. Se incide en que la publicidad, transparencia e interés público que rigen dicho proceso selectivo regulan que la publicidad se llevará a cabo a través de tablones de edictos en los que figuran dichos nombres y apellidos. A este respecto se señala que en el informe de la unidad administrativa que gestiona el procedimiento selectivo se indicaba: “Cuarto.- La selección del alumnado se realiza teniendo en cuenta el resultado de la prueba de conocimientos básicos y la adecuación del itinerario formativo-laboral al perfil solicitado. La relación provisional de las personas admitidas en cada acción formativa, así como la información acerca del periodo de reclamación, se publica el día 8 de marzo en el tablón de anuncios del Centro de Empleo “Europa”.” Con arreglo a lo anterior, se arguye vulneración del principio de tipicidad recogido en el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, ya que al no haberse incumplido al obligación descrita no resulta de aplicación el tipo descrito en el artículo 10 de la LOPD. HECHOS PROBADOS PRIMERO: Con fecha 9 de marzo de 2018, el Ayuntamiento de Avilés remitió a la cuenta de correo electrónico del denunciante ***EMAIL.1, un mensaje en el que las direcciones de correo electrónico de todos los destinatarios, incluida la suya, aparecen visibles para todos ellos, lo que a su juicio, constituye una revelación de datos de carácter personal que vulnera la normativa de protección de datos. SEGUNDO: En fecha 9 de marzo de 2018, con asunto: “listas curso electricidad”, fue enviado desde la cuenta B.B.B. ***EMAIL.2 a un total de doce destinatarios titulares de las cuentas de correo electrónico que se muestran en el campo “para” de la cabecera del envío, y entre las que se encuentra el correo electrónico <***EMAIL.1> del denunciante. El cuerpo del mencionado correo electrónico tiene el siguiente contenido: “Buenos días. Me gustaría comunicaros el listado final del curso de “Operaciones auxiliares de montaje de redes eléctricas”. Ha habido unos errores en las reservas, ya que algunos habéis presentado a las dos selecciones, así que os comunico a día de hoy 9 de marzo como quedaría la lista. Las listas se suelen mover por bajas. Por encontrar empleo etc En breve os llamaré a los seleccionados para concretar documentación Un saludo y disculpar por el error. SELECCIONADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 (Aparece una lista con el nombre y apellidos de los seleccionados) RESERVAS (Aparece una lista con el nombre y apellidos de las personas en lista de reserva, entre ellos los del denunciante en penúltimo lugar) B.B.B. Departamento de (...), Ayuntamiento de Avilés, Avd. Oviedo 9, 33402, AVILES (ASTURIAS) Teléfono ***TELEFONO.1 Correo electrónico: ***EMAIL.2” TERCERO: El Ayuntamiento de Avilés indica que el envío sin copia oculta se ha debido a un error humano. Asimismo, señala que ha recordado a sus trabajadores la obligación de utilizar la funcionalidad “Con copia oculta” cuando un correo electrónico se remite a numerosos destinatarios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “Artículo 1. Objeto. La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “Artículo 2. Ámbito de aplicación. 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.(…)” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El tratamiento de datos se define en la letra
5. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que el nombre y apellidos de las personas físicas, considerando que contienen información acerca de sus titulares, o en la medida en que permita proceder a la identificación de los mismos, han de ser consideradas como datos de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. IV El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este mismo sentido, la Audiencia Nacional también ha señalado lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, ha quedado acreditado en el expediente que el denunciante recibió un correo electrónico con fecha 9 de marzo de 2018 desde una dirección de correo del Ayuntamiento de Avilés, en el que además de visualizarse en el cuerpo del mensaje el nombre y apellidos de terceras personas que habían resultado “seleccionados” o figuraban, como el denunciante, en lista de “reservas”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 también aparecían visibles en el campo “Para” del encabezamiento del mensaje las direcciones de correo electrónico de los doce destinatarios a los que se remitió el envío, y que también incluían la cuenta de correo electrónico del denunciante, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. Hay que tener en consideración que el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad y datos personales concernientes a los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. V En el presente caso, cuando el Ayuntamiento de Avilés presentó alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción de Administraciones Públicas indicó que se había tratado de un error humano, puntual y que si se notificó a todos los participantes fue para que fuesen informados del curso en el que debían participar en un proceso selectivo público, transparente y en el que prima la igualdad de condiciones. Añadía que el Ayuntamiento de Avilés había recordado a los trabajadores de la necesidad de utilizar la copia oculta cuando se remitan correos a múltiples destinatarios. Sin embargo, el mismo Ayuntamiento de Avilés al presentar alegaciones en contestación a la propuesta de resolución defiende que no se ha incurrido en la infracción del artículo 10 de la LOPD, habida cuenta que los nombres y apellidos de los participantes del curso de electricidad que figuran detallados en el correo electrónico de fecha 9 de marzo de 2018 ya eran conocidos por haberse publicado, con fecha 8 de marzo de 2018, la relación de provisional de las personas admitidas en el tablón de anuncios del Centro de Empleo “Europa”. Por lo que no era una información desconocida para los destinatarios del envío al haberse hecho ya públicos los nombres y apellidos de los participantes admitidos, no produciéndose, por tanto, una revelación de los datos identificativos del resto de participantes entre los destinatarios del envío, también admitidos. A este respecto, conviene señalar que cuando el Ayuntamiento de Avilés contestó el acuerdo de inicio alegando lo siguiente: “Segunda.- En el caso del presente curso, los interesados debían participar en un proceso selectivo previo, proceso del que se les iba informando puntualmente, optando por el correo electrónico como medio de información menos invasivo a efectos de publicidad, que una publicación en tablones edictales municipales, teniendo en cuenta además que se trata de un escaso número de implicados.” (El subrayado es de la AEPD). Es decir, se produce una evidente contradicción en las manifestaciones efectuadas por dicho Ayuntamiento en los momentos procedimentales indicados. Por otra parte, el Ayuntamiento de Avilés no ha acreditado mediante ningún medio de prueba que con fecha 8 de marzo de 2018 se publicase la relación provisional de las personas admitidas en el curso de electricidad en el tablón de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 anuncios del Centro de Empleo “Europa”, de tal modo que no hay ninguna constancia del contenido de la información de carácter personal supuestamente publicada por ese medio. En esta línea, y en lo que afecta a este supuesto, además del nombre y apellidos de los participantes seleccionados, la información publicada debería de haber comprendido también las cuentas de correo electrónico de los mismos. Téngase en cuenta que esos datos de carácter personal de los afectados también se muestran en el encabezamiento del envío de fecha 9 de marzo de 2018 recibido por el denunciante, tal y como se hizo constar en el hecho probado nº 1 del antecedente sexto de la propuesta de resolución y figura en el Hecho Probado Primero de esta resolución. A mayor abundamiento, el Ayuntamiento de Avilés no ha remitido copia de las bases de la convocatoria o proceso selectivo de la acción formativa a la que se refiere el mensaje, como tampoco ha enviado copia del contenido íntegro del “informe de la unidad administrativa que gestiona el procedimiento selectivo”, limitándose a transcribir un párrafo de un informe supuestamente vinculado a la acción formativa que nos ocupa. En consecuencia, el citado Ayuntamiento no ha probado que la totalidad de los datos personales de los participantes incluidos en el mensaje recibido por el denunciante hubieran sido publicados en la forma alegada, y en cumplimiento de los principios de transparencia y publicidad de los procesos selectivos, con anterioridad al envío del mensaje. Así, ante la falta de constancia de que se tratara de datos ya conocidos por los destinatarios del envío debe rechazarse que no se produjera la revelación de sus respectivos nombres, apellidos y correo electrónico al resto de participantes también incluidos en el campo de los destinatarios. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
6. d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En definitiva, se ha producido por parte del Ayuntamiento de Avilés una difusión de los datos personales reseñados, como consecuencia del envío de un e-mail al denunciante, sin copia oculta, donde figura una lista con las direcciones de correo electrónico del resto de destinatarios del mensaje y los nombres y apellidos de los participantes seleccionados o en reserva, por lo que se entiende se ha vulnerado la LOPD. Aplicando la anterior doctrina, la Audiencia Nacional, en numerosas sentencias, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al Ayuntamiento de Avilés. VI La conducta de la denunciada se incardina en el artículo 44.3.
7. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ayuntamiento de Avilés, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal del resto de los destinatarios del envío, al menos al denunciante, lo que procede calificar la infracción como infracción grave. Asimismo, en función de lo razonado en el anterior Fundamento de Derecho debe rechazarse que se haya producido una vulneración del principio de tipicidad recogido en el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 En este supuesto concreto, el infractor es una administración pública, cuyo régimen sancionador se establece en el artículo 46 de la LOPD, precepto en el que se establece que la declaración de infracción no lleva aparejada la imposición de una sanción económica. Todo ello, justifica que la AEPD no haya acordado la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. En el presente supuesto, se estima que no procede requerir al Ayuntamiento de Avilés a la adopción de medidas que garantice que en el futuro no se vuelva a producir infracción como la declarada, ya que las mismas ya existían y se ha realizado un recordatorio para evitar errores humanos puntuales, como el denunciado. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE AVILÉS ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE AVILÉS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es