1/9 Expediente Nº: E/04163/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE SANTIAGO DE COMPOSTELA en virtud de denuncia presentada por Doña E.E.E., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de enero de 2017, tuvo entrada en esta Agencia un escrito remitido por Doña E.E.E., solicitando que se investigasen los hechos denunciados referidos al tratamiento de datos que realiza el Ayuntamiento de Santiago de Compostela en relación con el Proyecto de Presupuestos Participativos. Esta denuncia fue inadmitida a trámite. En fecha 24 de marzo, la denunciante interpuso recurso de reposición solicitando que se realizasen actuaciones de investigación de los hechos denunciados; el recurso fue estimado y se iniciaron las actuaciones mencionadas. Los hechos denunciados son los siguientes: Durante el último trimestre del año 2016, el Ayuntamiento de Santiago puso en marcha un proyecto sobre PRESUPUESTOS PARTICIPATIVOS contratando a la empresa CIDADANIA REDE DE APLICACIONS SOCIAIS. SOCIEDAD COOPERATIVA GALEGA. En noviembre de 2016, la denunciante recibe una llamada de la empresa citada relacionada con el alta de sus datos de nombre y apellidos y DNI en la plataforma digital relacionada con el proyecto, sin que hubiera aportado dichos datos. En el escrito de recurso de reposición, la denunciante aporta un CD-ROM con una grabación de una conversación que ha mantenido con la empresa y en las que se pone de manifiesto que una tercera persona aportó los datos de la denunciante a través de la plataforma digital para el Proyecto del Ayuntamiento, facilitando la dirección IP ***IP.1 como IP desde la que se realizó el alta de los datos. La denunciante manifiesta que si bien la empresa alertó de la utilización de sus datos por terceros, solo realiza estas alertas cuando desde una dirección IP se realizan un número elevado de altas, por lo que se pueden estar tratando datos sin conocimiento y por tanto sin consentimiento de los titulares. Con fechas 11 y 20 de octubre de 2017, se recibieron nuevos escritos de la denunciante de ampliación de la denuncia, en los que pone de manifiesto que: No existe contrato de prestación de servicios entre el Ayuntamiento de Santiago y la empresa CIDADANIA REDE DE APLICACIONS SOCIAIS. SOCIEDAD COOPERATIVA GALEGA para el proyecto de Presupuestos Participativos del año
- Tampoco existe contrato para el proyecto de Presupuestos Participativos del año 2017 que ha sido adjudicado a la misma empresa. La empresa utiliza los datos obtenidos en el año 2016 para el proyecto del año 2017 ya que los relativos al año 2016 no fueron devueltos ni destruidos al finalizar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 servicio. El procedimiento de recogida de datos de los ciudadanos no prevé medidas para acreditar la identidad y el consentimiento de los participantes, ya que únicamente se solicita el DNI y la fecha de nacimiento. Las alertas instauradas por la empresa tampoco son eficaces ya que en algunos casos se puede remitir confirmación a la dirección email incorporadas en el momento de recabar los datos en la web. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: RESPECTO DEL PROYECTO DE PRESUPUESTO PARTICIPATIVOS 2016 Con fecha 31 de julio de 2017 se requirió al Ayuntamiento de Santiago de Compostela para qué aportase información respecto de los presupuestos participativos del año 2016 y de la respuesta recibida, en fecha 7 de septiembre de 2017, se desprende:
- CIDADANIA REDE DE APLICACIONS SOCIAIS. SOCIEDAD COOPERATIVA GALEGA (en adelante CIDADANIA) fue la empresa adjudicataria del contrato de servicios para la realización del proceso de Presupuestos Participativos COMPOSTELA DECIDE llevado a cabo en el año
- A este respecto, el Ayuntamiento ha aportado expediente completo sobre la adjudicación en el que consta, entre otra, la siguiente documentación: Pliego de condiciones para la contratación mediante procedimiento negociado de los Proyectos participativos, de fecha 29 de abril de
- Oferta Económica de la empresa CIDADANIA, de fecha 19 de mayo de 2016, en el que figura un apartado de confidencialidad y Protección de Datos haciendo referencia a lo estipulado en el artículo 12 de la LOPD. Adjudicación a la empresa CIDADANIA, en fecha 9 de junio de
- Contrato de prestación de servicio entre el Ayuntamiento y la empresa de fecha 17 de junio de
- El proceso de los Presupuesto Participativos constaba de una aplicación web denominada “Participare” (***URL.1) en la que los ciudadanos podían participar haciendo propuestas, consultando y votando. La aplicación está ubicada en un servidor externo al Ayuntamiento siendo accesible a través del dominio municipal ***URL.
- El registro de datos en la plataforma Participare se realiza a través de un formulario disponible en la web del Ayuntamiento ***URL.2 y se recaban los datos de: nombre y apellidos, código de usuario, contraseña, DNI, fecha de nacimiento, sexo, correo electrónico, teléfono, dirección postal y aceptación de la política de privacidad. La aplicación comprueba la identidad del registrante cruzando los datos de DNI y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 fecha de nacimiento introducidos con los datos que constan en el fichero del Padrón Municipal. En caso de producirse un error se remite un correo electrónico o se contacta telefónicamente con la persona.
- La aplicación dispone de una serie de “alertas” para evitar la suplantación de personalidad: Una IP con tres o más registros en el periodo de 30 minutos Una IP con más de 100 registros. Una IP con diez registros sospechosos, entendiendo como sospechoso aquellos que coinciden entre el nombre y apellidos, nombre de usuario y dirección de correo electrónico. En estos casos, se contacta telefónicamente o por mail con el participante con el objeto de comprobar la identidad, validándose únicamente en el caso de que éste lo confirme.
- El Ayuntamiento ha aportado listado de las incidencias detectadas en el que figura los datos de la denunciante, registrados desde la dirección IP ***IP.2, asociados a un contacto efectuado en fecha 19 de octubre de 2016 con la anotación de confirmación “Negativa (indica no estar al corriente)”. Asimismo ha aportado impresión de pantalla de los datos recabados en el formulario: nombre y apellidos, DNI, fecha de nacimiento, sexo, teléfono, dirección, código postal y localidad. En el listado de Incidencias consta que desde esa dirección IP se realizaron 17 registros con datos de ciudadanos en la misma fecha, 19 de octubre de 2016 y otro al día siguiente.
- El Ayuntamiento manifiesta que se contactó telefónicamente con la denunciante en fecha 19 de octubre de 2016 a las 13:40 y al no confirmar los datos se rechazó de la base de datos Participare. Asimismo, manifiesta que se recibió una llamada de la denunciante, el 21 de octubre a las 11:30, en la que solicitaba explicaciones sobre el uso indebido de su identidad, solicitando la dirección IP desde la que se habían proporcionado sus datos a la Plataforma de Participare, facilitándole la mencionada dirección IP.
- Tal y como consta en el escrito de contestación de R CABLE Y TELECOMUNICACIONES GALICIA, S.A., operador titular de la dirección IP ***IP.2, en fechas 19 y 20 de octubre de 2016 esta dirección estaba asignada a la empresa B.B.B.., empresa dedicada al comercio al por mayor de aparatos electrodomésticos que consta actualmente de 20 empleados RESPECTO DEL PROYECTO DE PRESUPUESTO PARTICIPATIVOS 2017 Con fecha 23 de octubre de 2017 se requiere nuevamente al Ayuntamiento de Santiago de Compostela para qué aportase información respecto de los presupuestos participativos del año 2017 y de la respuesta recibida, en fecha 13 de noviembre de 2017, se desprende:
- El Ayuntamiento manifiesta que CIDADANIA fue la empresa adjudicataria del contrato de servicios para la realización del proceso de Presupuestos Participativos COMPOSTELA DECIDE llevado a cabo en el año 2016 y en el
- Y aporta expediente completo en el que consta, entre otra, la siguiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 documentación: Pliego de condiciones para la contratación mediante procedimiento negociado de los Proyectos participativos, de fecha 7 de abril de
- Documentación de la empresa CIDADANIA, de fecha 9 de mayo de 2017, en el que figura un apartado de confidencialidad y Protección de Datos haciendo referencia a lo estipulado en el artículo 12 de la LOPD Adjudicación a la empresa CIDADANIA en fecha 12 de mayo de
- Contrato de prestación de servicio entre el Ayuntamiento y la empresa de fecha 19 de mayo de
- El Ayuntamiento manifiesta que la prestación de servicio y el procedimiento de recogida de datos para el proyecto de Presupuestos Participativos 2017 son iguales que la realizada en el año
- El Ayuntamiento expone que al finalizar el contrato de prestación de servicios para el año 2016, la empresa ha remitido un CD-ROM con los diez ficheros utilizados. A este respecto, el Ayuntamiento ha aportado certificado emitido por CIDADANIA de la devolución de los mismos.
- El Ayuntamiento manifiesta que los datos de las personas que participaron en el proyecto del año anterior pasan a formar parte del censo de los participantes en el año 2017, salvo que hayan solicitado la baja o no mantengan la condición de empadronados. Este fichero es responsabilidad del Ayuntamiento y se hace entrega a la empresa de este fichero y de los otros necesarios para realizar la prestación de servicio contratada.
- Respecto de las “alertas”, el Ayuntamiento manifiesta que han rebajado el límite de activación de los 100 registros sospechoso grabados desde una misma dirección IP a
- FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo la Ley Orgánica 15/1999 de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 III La denuncia se concreta, en primer lugar en que el Ayuntamiento de Santiago de Compostela ha contratado a una empresa para la recogida y tratamiento de datos de vecinos relacionados con el Proyecto de Presupuestos Participativos sin que exista contrato de prestación de servicios entre el mencionado Ayuntamiento y la empresa que lo realiza: Cidadania rede de aplicacions sociais, Sociedad Cooperativa Galega, ni para el año 2016 ni para el
- En segundo lugar, denuncia que la empresa contratada utiliza los datos obtenidos en el año 2016 para el proyecto del año 2017 ya que los relativos al año 2016 no fueron devueltos ni destruidos al finalizar el servicio. En tercer lugar, denuncia que el procedimiento de recogida de datos de los ciudadanos no prevé medidas para acreditar la identidad y el consentimiento de los participantes, ya que únicamente se solicita el DNI y la fecha de nacimiento y las alertas instauradas por la empresa para evitarlo tampoco son eficaces ya que en algunos casos se puede remitir confirmación a la dirección email incorporadas en el momento de recabar los datos en la web. En relación al primero de los hechos denunciados, el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado contrato de prestación de servicios firmado por el Ayuntamiento de Santiago de Compostela y la entidad Cidadania, firmado el día 17 de junio de 2016, para desarrollar el Proyecto del Presupuesto Participativo 2016, en el que constan los requisitos establecidos por el citado artículo 12 de la LOPD y que se ha venido desarrollando de conformidad con lo detallado en los Antecedentes de esta Resolución. En fecha 19 de mayo de 2017 se firmó un nuevo contrato de prestación de servicios entre el Ayuntamiento de Santiago de Compostela y la entidad Cidadania, que fue nuevamente la adjudicataria del Proyecto del Presupuesto Participativo para el año
- En segundo lugar, la denunciante señala que la empresa contratada utiliza los datos obtenidos en el año 2016 para el proyecto del año 2017 ya que los relativos al año 2016 no fueron devueltos ni destruidos al finalizar el servicio. Hay que señalar que durante estas actuaciones previas de investigación el Ayuntamiento de Santiago de Compostela ha informado que al finalizar el primer contrato, Cidadania remitió un CD-ROM al Ayuntamiento con los diez ficheros que habían gestionado. El censo de personas participantes en el Proyecto del año 2016 continúa con los datos personales para el año siguiente, salvo que los afectados hubiesen solicitado la baja del censo o no estén empadronados ya en Santiago de Compostela. IV En tercer lugar, se ha denunciado que el procedimiento de recogida de datos de los ciudadanos no prevé medidas para acreditar la identidad y el consentimiento de los participantes, ya que únicamente se solicita el DNI y la fecha de nacimiento y las alertas instauradas por la empresa para evitarlo tampoco son eficaces ya que en algunos casos se puede remitir confirmación a la dirección email incorporadas en el momento de recabar los datos en la web. El artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En el supuesto denunciado, es el afectado el que cumplimenta el formulario con sus datos y es informado de la utilización de los mismos a partir de la política de privacidad que ha de aceptar. Por tanto, el afectado consiente de manera inequívoca al tratamiento de sus datos cuando los incluye en la plataforma Participare. Por otro lado, el Ayuntamiento ha incluido “alertas” para evitar la suplantación de la personalidad. Las “alertas” para evitar la suplantación de personalidad, existentes en el año 2016, eran contactar telefónicamente o por mail con el participante con el objeto de comprobar la identidad, validándose únicamente en el caso de que éste lo confirme cuando se producían estas circunstancias: Una IP con tres o más registros en el periodo de 30 minutos Una IP con más de 100 registros. Una IP con diez registros sospechosos, entendiendo como sospechoso aquellos que coinciden entre el nombre y apellidos, nombre de usuario y dirección de correo electrónico. Los datos de la denunciante se registraron desde la dirección IP ***IP.2, el día 19 de octubre de
- Ese mismo día se realizaron 17 registros con datos de ciudadanos desde esa dirección IP. Por ello, se contactó telefónicamente con la denunciante en fecha 19 de octubre de 2016 a las 13:40 y al no confirmar los datos se rechazó de la base de datos Participare. Dos días después, el Ayuntamiento recibió una llamada de la denunciante, a las 11:30, en la que solicitaba explicaciones sobre el uso indebido de su identidad, solicitando la dirección IP desde la que se habían proporcionado sus datos a la Plataforma de Participare, facilitándole la mencionada dirección IP. En el año 2017 y para mejorar el sistema de alertas, se ha rebajado el límite de activación de 100 registros grabados desde una misma dirección IP a 20 registros. En consecuencia, tras las investigaciones realizadas y estudiada la documentación aportada por el Ayuntamiento de Santiago de Compostela se ha constatado que ese Consistorio firmó contratos de prestación de Servicios con la entidad Cidadania para la realización del Programa de Presupuestos Participativos, verificando la autenticidad del consentimiento de cada formulario presentado conteniendo datos personales. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE SANTIAGO DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 COMPOSTELA y a Doña E.E.E. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es