1/9 Expediente Nº: E/05966/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la FUNDACIÓN DE INVESTIGACIÓN HM HOSPITALES, y la FUNDACIÓN JIMÉNEZ DIAZ, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de agosto de 2015, se recibió en esta Agencia un escrito remitido por Don B.B.B., como letrado de Don A.A.A., hijo y heredero de Doña C.C.C., en el que declara lo siguiente: En la Unidad de Fase 1 START del Hospital Sanchinarro, están realizándose ensayos clínicos, recabándose datos personales y de salud. Los resultados de tales ensayos se comparten en una red mundial de centros. En el consentimiento informado que se facilita a los participantes en los ensayos clínicos, se indica lo siguiente: <<¿Qué ocurrirá con la información que se recoja sobre mí? De conformidad con la normativa vigente en materia de protección de datos, Usted consiente expresamente la inclusión de los datos de su historia clínica así como los resultantes de su participación en este estudio en un fichero de datos personales bajo la responsabilidad del Centro. El acceso a su información personal quedará restringido al médico del estudio y sus colaboradores, autoridades sanitarias, Comité Ético de Investigación Clínica, y a los monitores y auditores del estudio, quienes estarán sometidos al deber de secreto inherente a su profesión, cuando lo precisen, para comprobar los datos y procedimientos del estudio, pero siempre manteniendo la confidencialidad de los mismos de acuerdo a la legislación vigente. Firmando este documento, Usted está permitiendo el acceso directo a su historia clínica a las personas mencionadas en este mismo párrafo, acreditadas para ello. El Promotor de este estudio en ningún caso tendrá acceso a sus datos personales ni conocerá su identidad. El tratamiento, la comunicación y la cesión de sus datos de carácter personal se ajustará en todo momento a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y a su normativa de desarrollo. Usted podrá solicitar a su médico que le permita ver la información recogida sobre Usted, así como ejercer en cualquier momento los derechos de acceso, rectificación, cancelación y oposición de datos, para lo cual deberá dirigirse al Centro donde se haya desarrollado el estudio (Centro Integral Oncológico Clara Campal. Hospital Madrid Norte Sanchinarro) o también puede dirigirse a su médico, que le indicará a quién debe dirigirse en el Centro. Sólo excepcionalmente el acceso a sus datos podría no ser posible en el momento que Usted lo solicite, si fuera que este acceso interfiriera con el estudio en sí mismo. La información recogida sobre Usted se conservará en documentos de papel o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 electrónicos, sin identificarle por su nombre. Los datos recogidos para el estudio estarán disociados, esto es, Todos los datos clínicos recogidos que se vayan a enviar fuera del hospital se disociarán” o codificarán antes, lo que significa que en ellos solo se le identificará por un código, sin su nombre ni ningún otro dato que permita su identificación. El médico del estudio llevará una lista que vinculará los números de identificación de los pacientes con sus nombres, pero nunca facilitará dicha lista al promotor del estudio. Sin embargo, los documentos del estudio podrían contener otra información sobre usted, como su edad, sexo e historia médica. Es posible que esta otra información pudiera utilizarse para identificarle aunque no aparezca su nombre en ella. Entre los datos disociados (codificados) de la información médica se encontrarán los resultados de los exámenes del ensayo, que podrán comunicarse al promotor o sus representantes (incluido Puma Biotechnology Límíted, que es el representante legal del promotor en la Unión Europea, u otros representantes que pueda designar el promotor). Estos datos disociados (codificados) se procesarán y analizarán para conocer los resultados del ensayo y para otros fines de investigación. Salvo en la medida exigida legalmente, el promotor y sus representantes no harán pública ninguna información que permita la identificación individual de los participantes en este estudio. Estos datos disociados (codificados) también podrán facilitarse a las Autoridades Sanitarias españolas, los Comités Éticos, los monitores, auditores y/o inspectores, empleados y contratistas del promotor (o de su representante) y las agencias sanitarias de otros países en los que también se esté llevando a cabo el estudio. Si/a información derivada de este estudio se presentara públicamente o se publicara en una revista médica, no se le identificará usted por su nombre, imagen o ninguna otra característica que permita conocer su identidad. Algunos de los receptores de sus datos disociados (codificados) podrían encontrarse en países fuera de la Unión Europea, en particular en Estados Unidos, que no ofrezcan el mismo nivel de protección de los datos personales que la Unión Europea. No obstante, el promotor, las organizaciones de investigación clínica autorizadas y sus representantes autorizados adoptarán, dentro de los límites de las legislaciones locales, las medidas razonables adecuadas para mantener confidencial su información personal de acuerdo a las leyes aplicables» (subrayado del denunciante).>> (subrayado en negrilla de la Agencia Española de Protección de Datos) Indica el denunciante que en el consentimiento informado se explica que los datos pueden ser objeto de transmisión internacional pero siempre de forma disociada. Sin embargo, añade, que “según parece”, los datos recabados por el Hospital Universitario Sanchinarro, son comunicados a la empresa South Texas Accelerated Research Therapeutics, LLC <START>, domiciliada en Texas. Junto con su escrito de denuncia, acompaña una noticia, en la que se trata la puesta en marcha, por parte de la Fundación Jiménez Díaz, de una unidad de ensayos clínicos oncológicos conectada a una red mundial de centros, pertenecientes a START. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 1 de octubre de 2015, se solicitó información al Hospital Universitario Sanchinarro sobre la forma de envío de los datos personales de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 participantes a la entidad START. La respuesta indica que los proyectos de investigación clínica son gestionados por la Fundación de Investigación HM Hospitales, que es la responsable de los ficheros; los ensayos clínicos se llevan a cabo en el Centro Integral Oncológico Clara Campal. START es un encargado del tratamiento, a los efectos de la normativa de protección de datos, dado que presta un servicio directo a la Fundación: es titular de una aplicación informática para la gestión de ensayos clínicos en Fase I, donde se van cargando el conjunto de la información de los pacientes durante el ensayo, con carácter previo a ser disociados y cargados en los Cuadernos de Recogida de Datos, que se proporcionan a los distintos Promotores de cada proyecto de investigación. La información no se envía a START sino que se va almacenando. La Fundación acompaña copia del contrato de prestación de servicios suscrito entre la Fundación Hospital de Madrid y South Texas Accelerated Research Therapeutics, LLC, conforme al artículo 12 de la LOPD, obligándose la compañía americana a incorporar las medidas de seguridad adecuadas al tipo de datos que van a almacenar y a guardar la confidencialidad legalmente exigida. 2. Se solicitó aclaración a lo expuesto referente al lugar de ubicación de los servidores de START en los que se aloja la información de los pacientes participantes en los Estudios en Fase I; copia del documento de seguridad del fichero en el que se registran los datos de los pacientes participantes en los Estudios en Fase I; y copia del contrato de prestación de servicios suscrito entre la Fundación de Investigación HM Hospitales y START. La Fundación señaló que la colaboración con TEXAS se basa en una Joint Venture para la creación de una Unidad de Ensayos Clínicos en Fase I, en el Centro Clara Campal, gestionado por la Fundación. START aporta una plataforma de gestión de ensayos clínicos, de la que es titular, convirtiéndola en un encargado del tratamiento. La Fundación ha procedido a realizar una Auditoría de verificación de cumplimiento de las medidas de seguridad, verificando la existencia de datos personales en la plataforma START. Cuando la Fundación comenzó a usar la plataforma, START les informó que no recogía datos personales, dado que no era preciso que los contuviese, no siendo así como se ha comprobado en la Auditoria. A raíz de ese hecho, se ha iniciado un procedimiento de incidencia, recogido en su documento de seguridad. Con carácter adicional se considera la mejor solución reubicar el servidor de almacenamiento de información en España. Acompañan copia del documento de seguridad y del contrato de prestación de servicios entre la Fundación y START. 3. Solicitada información a la Fundación Jiménez Díaz sobre los servidores START y los ensayos clínicos oncológicos en Fase I que realizan en ese Centro, esta entidad indica expresamente: “El funcionamiento de la Unidad de Fase I START de la Fundación Jiménez Díaz, se basa en el uso de un sistema informático de Varian Medical Systems (Aria v 11.0) en el que se introduce la información médica de los pacientes que son tratados dentro de un ensayo clínico. Esta información es introducida por el médico responsable a modo de historia clínica electrónica que cumple con todos los requisitos legales para ser auditada por los monitores del ensayo clínico en cuestión. Este programa permite la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 monitorización por parte de las personas designadas por el promotor del estudio, de forma que puedan acceder a los datos directamente, siempre de forma presencial en el Hospital y asegurando la confidencialidad de los pacientes de otros ensayos, esto es, un monitor solo puede acceder a la información de los pacientes que han consentido para ese ensayo en particular. Toda la información médica, por tanto, tiene un control de acceso registrado y un registro de cambios que se realizan en el historial. Es, en resumen, un programa informático destinado a asegurar la correcta monitorización de los datos médicos de los pacientes incluidos en ensayos clínicos. Este programa cuenta con la autorización para su utilización en la Unión Europea: Varian Medical Systems UK, ltd. (Gatwick Road, Crawley West Sussex, RH102RG, Reino Unido).” Acompañan un consentimiento muy similar al transcrito por el denunciante, si bien el último párrafo difiere, quedando redactado de la siguiente forma: “Sepa, en cualquier caso, que el Promotor del estudio podrá enviar a otros miembros del grupo de compañías Johnson & Johnson, a los contratistas que colaboran con el grupo y a las autoridades sanitarias de otros países la información que se recoja de usted en el estudio, por lo que su información podría enviarse a algunos países localizados fuera de Europa que pueden no tener el mismo nivel de protección de datos que en Europa. … Con la firma de este documento, usted está autorizando la transferencia internacional de datos.” Exponen que los servidores de START se ubican en San Antonio, Texas, EEUU. Aportan una respuesta de START en la que se indica que la información se traslada encriptada; así como el contrato de prestación de servicios con START y copia de los consentimientos de varias participantes en ensayos clínicos oncológicos en Fase I. En los consentimientos entregados a las participantes en el Ensayo Clínico aportado se les indica que la información se facilitara a los Promotores disociada, y que estos la podrán enviar a otros miembros del grupo farmacéutico o a sus contratistas y que si no estuviese bien codificada, todos ellos mantendrán la confidencialidad. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II De conformidad con lo establecido en el Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos, el ensayo clínico se define como: “Un estudio clínico que cumpla cualquiera de las siguientes condiciones: 1.º Se asigna de antemano al sujeto de ensayo a una estrategia terapéutica determinada, que no forma parte de la práctica clínica habitual del Estado miembro implicado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 2.º La decisión de prescribir los medicamentos en investigación se toma junto con la de incluir al sujeto en el estudio clínico. 3.º Se aplican procedimientos de diagnóstico o seguimiento a los sujetos de ensayo que van más allá de la práctica clínica habitual. Entre los requisitos generales de los ensayos clínicos está que “Se respeten los derechos del sujeto a su integridad física y mental, y a su intimidad, y se protegen los datos de carácter personal que le conciernen, de acuerdo con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, así como con la normativa europea vigente en la materia.” Por tanto, el tratamiento de datos de los sujetos participantes en un ensayo clínico deberá cumplir las obligaciones establecidas en la LOPD. III El Reglamento de ensayos clínicos obliga a que los sujetos del mismo presten consentimiento para participar en el ensayo tras ser informados de los beneficios y riesgos que se esperan. Igualmente, la normativa de protección de datos prevé el mismo principio relacionado con el tratamiento de los datos personales. El artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. IV El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. Por último, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. V La denuncia se concreta en que en el consentimiento informado facilitado a los participantes en ensayos clínicos en Fase I START del Hospital Sanchinarro se indica que los datos personales podrán ser objeto de transferencia internacional disociados; sin embargo parece que son comunicados a una empresa domiciliada en Texas. Para que los datos personales recogidos en España pudieran transferirse a Estados Unidos, debería haberse obtenido la previa autorización de la Directora de la Agencia Española de Protección de Datos, o bien que dicha transferencia se encontrase en uno de los supuestos establecidos en el artículo 34 de la LOPD. En particular, el apartado
- e)de dicho artículo permitiría la transferencia internacional de datos a Estados que no otorguen un nivel adecuado de protección si se hubiese contado con el consentimiento de los afectados. En el último párrafo del consentimiento transcrito por el denunciante, que parece corresponder a una versión del año 2013, se indica que los datos pueden ser transferidos a Estados Unidos y que adoptarán las medidas razonables para garantizar la confidencialidad de la información personal. Si bien se refieren a datos codificados (a lo largo de todo el consentimiento informado) puede entenderse que se trata, en algunas ocasiones, de datos personales, ya que en caso contrario no debería aplicarse la normativa de protección de datos ni tendría porque garantizarse la confidencialidad de los mismos al no ir asociados a un dato personal. No obstante, en el consentimiento actualizado que ha facilitado la Fundación Jiménez Díaz a esta Agencia, este apartado ha sido aclarado de forma expresa al establecer: Sepa, en cualquier caso, que el Promotor del estudio podrá enviar a otros miembros del grupo de compañías Johnson & Johnson, a los contratistas que colaboran con el grupo y a las autoridades sanitarias de otros países la información que se recoja de usted en el estudio, por lo que su información podría enviarse a algunos países localizados fuera de Europa que pueden no tener el mismo nivel de protección de datos que en Europa. … Con la firma de este documento, usted está autorizando la transferencia internacional de datos.” En el Código Tipo de Farmaindustria, relativo al tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 en investigación clínica, se expone que, en general, el Promotor de un ensayo clínico no tiene interés en conocer los datos personales de los participantes en los ensayos clínicos que promocionan; pudiendo optar por ser Promotores del ensayo clínico sin conocer datos personales (circunstancia que se da en los ensayos oncológicos START). No obstante, la prestación de servicios suscrita con START por los Promotores de los ensayos clínicos realizados por la Fundación de Investigación HM Hospitales y la Fundación Jiménez Díaz, supone utilizar un servidor ubicado en Texas y un sistema/programa informático destinado a asegurar la correcta monitorización de los datos médicos de los pacientes incluidos en ensayos clínicos. En resumen, la información facilitada en el consentimiento informado transcrito por el denunciante (que suponemos conoce porque su madre fallecida participó en un ensayo clínico en el Hospital Sanchinarro, pero que no tenemos copia del mismo) ya informaba de que los datos personales pueden ser transferidos a terceros países, pero aunque ya contenía la información, se ha mejorado la redacción del consentimiento que se está facilitando a los participantes en los ensayos clínicos cuyos datos se recogen en el servidor ubicado en Texas, al pedir el consentimiento escrito para la transferencia internacional de sus datos a EEUU. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a FUNDACIÓN DE INVESTIGACIÓN HM HOSPITALES, FUNDACIÓN JIMÉNEZ DIAZ, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es