1/10 Expediente Nº: E/00274/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Ayuntamiento de ***LOC.1, Forus Deporte y Ocio, S.L. (Grupo Forus), y Homsa Sport, S.L., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de diciembre de 2017, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: Hace unos años se hizo socio del gimnasio del Ayuntamiento de ***LOC.1, gestionado por Homsa Sport, para lo cual dio sus datos personales al gestor pero no fue informado de que sus datos se enviarían al Ayuntamiento. Hace un tiempo la empresa Grupo Forus adquirió el paquete de acciones de Homsa Sport, sin embargo no se comunicó a los socios. Al ir a renovar el abono mensual, le comunican que ha se firmar en una tableta digitalizadora y que deben recoger la huella dactilar, ya que se va a realizar la entrada mediante pulsera con dicha identificación. Después de firmar el abono en la tableta, recibió en su correo las condiciones del contrato, en el mismo dice que es Homsa el responsable de los datos, pero quien firma es Forus. Con fecha 9 de octubre solicitó información al Ayuntamiento, el cual le dio respuesta, con fecha 27 de noviembre de 2017, informándole de los siguientes términos: El Área Fitness y Salud CDM Siglo XXI, se rige mediante concesión a la empresa HOMSA SPORT, S.L., habiéndose producido una compra de las acciones de Homsa por parte de Forus, pero el titular de la concesión sigue siendo Homsa. Los datos no han cambiado de Empresa, ya que Homsa sigue siendo la Empresa gestora. Actualmente hay que firmar la conformidad del cliente para cualquier alta o cambios, con la ventaja de que le es remitido al correo electrónico aportado, junto con todas las condiciones. Con relación a la huella dactilar, se realiza la toma de 12 puntos de dicha huella. No es captada a ningún otro nivel ni tampoco se incorpora a la ficha de cliente. Sólo queda esta imagen grabada en la pulsera del cliente y es responsabilidad del mismo su cuidado. Al realizar el acceso, la pulsera muestra la foto de su huella y es comparada en ese momento con la de su dedo en el lector de entrada. De esta forma la información no es guardada en ningún fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Homsa Sport no cede los datos a ninguna empresa. Anexa la siguiente documentación: Copia de la contestación remitida por el Ayuntamiento de ***LOC.1, con el que se adjunta un Informe de Homsa. Hoja de inscripción/Abono, donde figura en la parte de arriba “Forus”, y en la parte de abajo el anagrama del Ayuntamiento de ***LOC.1, con el que se adjunta copia del contrato, donde figura que “los datos pasaran a formar parte de un fichero titularidad de Grupo Forus”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 28 de febrero de 2018, tiene entrada en esta Agencia, escrito del Ayuntamiento de ***LOC.1, en el que pone de manifiesto que: 1.1. La relación existente entre Homsa Sport, S.L., y el Ayuntamiento de ***LOC.1 es un contrato administrativo especial para la Explotación de Fitness y Salud del CDM Siglo XXI, así como del CDM B.B.B.. 1.2. La relación existente en el Ayuntamiento de ***LOC.1 y el Grupo Forus es la existente con Homsa Sport, ya que éste vendió sus acciones a la Grupo Forus. 1.3. Se adjunta contrato de explotación CDM Siglo XXI con Homsa Sport, de fecha 10 de octubre de 2007; así mismo se adjunta la Autorización de cesión de contrato de explotación CDM Siglo XXI a dicha empresa, de fecha 7 de marzo de 2012. 1.4. Se adjunta la comunicación al Jefe de Servicio de las instalaciones Deportivas de la compraventa de participaciones sociales de la entidad Homsa Sport, S.L., a favor de Forus Deporte y Ocio, S.L., así como Solicitud de informe del Servicio de Contratación del Ayuntamiento, sobre la adecuación del cambio accionarial a los contratos existentes, de fecha 21 de septiembre de 2017. 1.5. El procedimiento establecido para la solicitud de los servicios ofertados se estableció en el marco del contrato, tanto por parte de la empresa en su oferta como por ese Ayuntamiento, en base al Pliego de Prescripciones Técnicas y Administrativas. 1.6. Los datos que ese Ayuntamiento tiene de los clientes de Homsa Sport, son los que se encuentran en la base de datos de la aplicación informática de la empresa, a la que tienen acceso para poder controlar la gestión de las Áreas fitness y de salud de CDM Siglo XXI, que se encuentra regulado en los Pliegos, en el marco de la relación contractual. 2. Con fecha 12 de abril de 2018, se recibe escrito de la entidad Forus Deporte y Ocio, S.L., en el que se pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 2.1. La totalidad de las participaciones de Homsa Sport, S.L., fueron adquiridas por Forus Deporte y Ocio, S.L., en junio de 2017. Por tanto Homsa Sport, S.L., se ha incorporado al Grupo de Sociedades de Forus Deporte y Ocio, S.L., a los efectos del artículo 42 del Código de Comercio. Homsa Sport, S.L. sigue manteniéndose como responsable de los ficheros de los usuarios; no obstante, en las comunicaciones con ellos se utiliza ahora la marca Forus. Se adjunta copia de la Escritura de Compra-Venta. 2.2. Homsa Sport, S.L., cuenta con 12 ficheros inscritos en el Registro General de Protección de Daos, entre los que se encuentra el fichero de USUARIOS, en el cual no consta que contenga datos biométricos 2.3. La información de las nuevas condiciones y promociones del Grupo Forus a los usuarios de Homsa Sport, S.L., se realiza vía SMS previo al vencimiento de abono (se adjunta un pantallazo de mensajes enviados, donde figura un literal “Reactivaciones SXXI”, de fecha 13/12/207 a las 16:39, figurando 100% entregados y el mensaje es enviado por Forus, donde les informan cómo realizar la renovación y la página de contacto. No obstante no hay evidencias de la información de la venta de las acciones a Grupo Forus. 2.4. Una vez vencido el plazo si el usuario está conforme con la renovación, se formaliza la inscripción con el modelo de contrato del Grupo Forus, donde consta la información sobre el art. 5 de la LOPD, indicando que los datos serán incluidos en un fichero responsabilidad de Homsa Sport Así mismo manifiesta que consta la siguiente información: Homsa Sport, S.L., utiliza la marca comercial del Grupo FORUS para su publicidad por lo que todas las comunicaciones que reciba aparecerá dicha nomenclatura. Este texto fue incluido a raíz de que los usuarios recibían todas las comunicaciones con la marca Forus y no identificaban con la razón social de Homsa Sport, S.L., que era la marca que gestionaba con anterioridad a la entrada del Grupo Forus. 2.5. Se adjunta copia de un ejemplar, no obstante no coincide con la remitida por el denunciante, ya que el titular del fichero es diferente. 2.6. Con relación a la Huella dactilar: Se aporta certificado de seguridad de la empresa proveedora del lector grabador. Se aporta una Nota Informativa sobre captura y tratamiento de los datos, donde figura, entre otros aspectos, lo siguiente C/ Jorge Juan, 6 28001 – Madrid o Los centros Forus disponen de lectores-grabadores suministrados en instalados por la empresa T-Innova. o Existe un fichero en cada una de las entidades del Grupo Forus, dado de alta en la Española de Protección de Datos, con la finalidad de uso y tratamiento seguro de los datos de los clientes. o No obstante, según consta en el escrito remitido con fecha registro 20 de abril de 2018, se ha eliminado dicha nota informativa, ya que el almacenamiento de la información se realiza únicamente en la pulsera inteligente propiedad del interesado, cifrado por medio de tramas de datos hexadecimal a través de un algoritmo matemático. www.agpd.es sedeagpd.gob.es 4/10 El interesado es el único portador de sus datos biométricos de forma permanente. o La finalidad de la toma de datos biométricos es la aplicación de medidas adecuadas para proteger los datos personales contra accesos no autorizados al centro deportivo. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denuncia se concreta en que al renovar el contrato que mantenía con el Centro Municipal deportivo al que acude recogieron su huella dactilar; además al enviarle el contrato firmado comprobó que los datos los tenía la entidad Homsa y firmaba el contrato Forus. Pidió explicaciones al Ayuntamiento de ***LOC.1 que le contestó que tenía sus datos pero desconocía su origen. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado contrato entre el Ayuntamiento de ***LOC.1 y la entidad Homsa Sport, S.L., cuyo administrador único es Don C.C.C.. Homsa Sport, S.L., vendió todas sus participaciones a Forus, Deporte y Ocio, S.L., en el mes de junio de 2017, incorporándose al Grupo de Sociedades de Forus, a los efectos del artículo 42 del Código de Comercio. Por ello, no se producen cesiones de datos entre responsable del fichero y encargado del tratamiento, tal y como se especifica en el apartado 1 del mencionado artículo 12 de la LOPD. IV En cuanto a la información del artículo 5 de la LOPD, los apartados 1 y 2 del mismo establecen, en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La cláusula informativa que facilitaron al denunciante recoge la información requerida, si bien se hace mención al Grupo Forus, grupo empresarial en el que se encuentra la Sociedad Homsa Sport, S.L., por lo que se ha mejorado la cláusula mencionada indicando: “Homsa Sport, S.L., utiliza la marca comercial del Grupo FORUS para su publicidad por lo que todas las comunicaciones que reciba aparecerá dicha nomenclatura”. V Por último, en relación con la huella dactilar, la Agencia Española de Protección de Datos ha emitido varios informes referidos, algunos de ellos, a la proporcionalidad de la medida. El informe 0065/2015 recoge el criterio de la Agencia y el cambio que se ha ido produciendo acerca del control de acceso al comedor escolar de los niños mediante huella. Se indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 “Por otra parte, debe también tenerse en cuenta que, con independencia de cuál es el marco normativo actualmente vigente, la regulación del derecho fundamental a la protección de datos va a ser objeto de una profunda reforma como consecuencia de la adopción de un Reglamento General de Protección de Datos, que será de aplicación directa, como todo Reglamento de la Unión Europea, a la totalidad de los Estados Miembros. Si bien dicha norma no ha sido aún objeto de aprobación final, es preciso clarificar que en el momento de emisión de este informe existe ya un texto final de compromiso, aceptado en principio tanto por el Parlamento Europeo como por el Consejo, en que, como una de las muchas novedades del texto, se incluye a los datos biométricos que permitan la identificación unívoca de una persona dentro de la categoría de los denominados datos sensibles, equivalentes a los regulados en la Ley Orgánica 15/1999 como datos especialmente protegidos. El propio Reglamento define los datos biométricos, en traducción no oficial, como “cualesquiera datos personales, obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. El régimen de los datos sensibles en el Reglamento queda sometido a especiales restricciones para su tratamiento, no siendo posible, entre otras Gabinete Jurídico c. Jorge Juan 6 www.agpd.es 28001 Madrid cosas, proceder al mismo sobre la mera base del interés legítimo prevalente del responsable ni amparar dicho tratamiento directamente en la existencia de una relación jurídica entre el afectado y el responsable del tratamiento. Al propio tiempo, el tratamiento de datos sensibles implica, según el Reglamento, obligaciones adicionales a las impuestas con carácter general, tales como la realización de evaluaciones de impacto en protección de datos o la implantación de medidas de seguridad reforzadas. La consecuencia de todo lo que ha venido indicándose es la necesidad de que, dada la naturaleza de los datos biométricos que serían objeto de tratamiento mediante la implantación de un sistema como el que se describe en la consulta, se extremen las medidas que garanticen que ese tratamiento resulta conforme a los principios contenidos en la Ley Orgánica 15/1999 y que, en la práctica, no se ve lesionado el derecho fundamental a la protección de datos de los alumnos, máxime si se tiene en consideración su condición mayoritaria de menores de edad, respecto de los que el texto del Reglamento, en su versión de compromiso ya aludida, extrema las exigencias en lo referido al tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Todo ello conduce nuevamente a la necesidad de valorar si en el supuesto planteado se cumplirían los presupuestos necesarios para apreciar la existencia de proporcionalidad en el tratamiento. A tal efecto, es preciso recordar que la citada proporcionalidad exige, según la doctrina del Tribunal Constitucional, siguiendo a tal efecto la sentada por el Tribunal Europeo de Derechos Humanos, la superación de un triple juicio, en el sentido de determinar si la medida adoptada es susceptible de conseguir el objetivo propuesto (juicio de idoneidad), si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad) y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto), es decir, si la injerencia producida en el titular del derecho objeto de restricción por la medida es la mínima en aras al logro del fin legítimo perseguido con aquélla. Para la realización de la valoración a la que acaba de hacerse referencia, la consulta pone de manifiesto que el sistema cuya implantación se pretende es idóneo para el cumplimiento de la finalidad de control de asistencia al comedor que se persigue, indicándose que el mismo sirve a tal finalidad. Del mismo modo, se indica que el tratamiento permite atender a esa finalidad con un resultado más adecuado a los que hasta ahora habían sido objeto de implantación, que como se señala “se han mostrado tanto ineficaces como ineficientes para la finalidad perseguida”. No obstante, para concluir el juicio de proporcionalidad necesario en este caso sería necesario que el sistema fuese el que produjese una menor intromisión en el derecho, de forma que no pudiera existir un sistema igualmente eficaz cuya implantación implicase una menor injerencia en el derecho de los alumnos. Y es en este punto donde nuevamente debe traerse a colación todo lo que se ha venido indicando en relación con la especial naturaleza que a los datos biométricos va a conferir en el futuro el derecho de la Unión Europea y que exige una especial atención no sólo a la proporcionalidad sino a la propia minimización del datos; es decir, que el dato sólo sea objeto de tratamiento en tanto éste resulte completamente imprescindible para el cumplimiento de la finalidad perseguida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Ciertamente, el sistema descrito implica la adopción de medidas reforzadas para garantizar la confidencialidad de los datos, tales como la conversión de la huella a su algoritmo, el cifrado de la información, la vinculación a un dato distinto de la identificación directa del alumno o la limitación de los protocolos de acceso a los datos. Sin embargo, cabría plantearse si no sería aún posible una menor injerencia en el derecho fundamental a la protección de datos de los alumnos que se produce como consecuencia del hecho de que el algoritmo de su huella digital se incorpora al sistema, permaneciendo en el mismo en tanto el alumno sea usuario del comedor del centro consultante, dado que en caso contrario no sería posible la verificación en tiempo real del uso de esas instalaciones. A nuestro juicio este objetivo podría lograrse si se estableciese un sistema de control del acceso al comedor que, sin perjuicio de aplicar medidas de control biométrico, permitiera que el propio dato biométrico, la huella dactilar del alumno, permaneciese bajo el control de aquél y no fuera incorporado al sistema. De este modo, sería posible que la verificación se llevase a cabo a partir de un dispositivo que portase el propio alumno, de forma que el sistema únicamente almacenase la información referida al uso o no uso del comedor, sin que en ningún momento reflejase el algoritmo de la huella. Así, sería posible que la información que según el sistema descrito sería recogida y almacenada en el propio sistema se incorporase a una tarjeta inteligente en poder del alumno que, para acceder a las instalaciones, hubiese de utilizar la tarjeta y al propio tiempo posicionar su huella sobre el lector. De este modo, en caso de que el algoritmo resultante del posicionamiento fuera coincidente con el que contuviera la tarjeta sería posible el acceso, no admitiéndose el mismo en caso de no producirse la citada coincidencia. El sistema así únicamente almacenaría la información identificativa del alumno y en ningún caso incluiría la relacionada con el algoritmo de la huella dactilar, lo que minimizaría la injerencia de la medida adoptada sin por ello perjudicar el resultado que la misma pretende conseguir, en los términos que se describen en la consulta. En consecuencia, esta Agencia considera que sólo sería ajustado al principio de proporcionalidad un sistema de reconocimiento dactilar que, por una parte, y como en el supuesto planteado, quede reducido a determinadas dependencias del centro, particularmente el comedor y, por otra permita que los medios de verificación, en este caso el algoritmo de la huella dactilar del alumno, permanezcan en su poder y no sean incorporados al sistema, que sólo incluiría los datos referentes a la identificación del alumno que accede al comedor, al producirse una verificación positiva del mismo.” En el supuesto denunciado, la entidad Forus ha aportado la nota informativa sobre captura y tratamiento de datos biométricos para control de accesos en los centros deportivos Forus, en el que se explican los pasos que se siguen, cumpliendo las recomendaciones del dictamen 3/2012 del grupo de trabajo 29, mediante el que se hace un registro previo con escaneo de tres lecturas del dedo. Se almacena exclusivamente en la pulsera inteligente propiedad del interesado mediante cifrado de datos hexadecimal a través de un algoritmo matemático. Se elimina el almacenamiento. El afectado lleva la pulsera y para entrar la pasa junto con el dedo. Los datos almacenados en la pulsera se encuentran protegidos mediante tecnologías de cifrados propias y exclusivas del fabricante. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al Ayuntamiento de ***LOC.1, a Forus Deporte y Ocio, S.L. (Grupo Forus), a Homsa Sport, S.L., y a Don A.A.A., De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es