1/11 Procedimiento Nº: E/06863/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician como consecuencia de la publicación, en diversos medios de comunicación y en Twitter, de noticias sobre la convocatoria de la Consejería de Educación y Juventud de la Comunidad de Madrid para la realización de pruebas serológicas a docentes y otro personal de Centros Educativos con anterioridad al comienzo del curso escolar. En las noticias, de fecha ***FECHA.1, se informa que la convocatoria fue remitida a los Directores de los Centros y la Dirección de Área Territorial (DAT) ***ÁREA.1, adjuntando, junto a la citación, un fichero en formato Excel con datos personales de todos los convocados pertenecientes a dicha área. Con fecha ***FECHA.1, la Asociación de Consumidores y Usuarios en Acción de Madrid (FACUA) presentó una reclamación sobre estos mismos hechos indicando que el fichero Excel contiene los datos de nombre y apellidos, sexo y el carácter de docentes y no docentes de 16.720 trabajadores del Área Territorial ***ÁREA.
- Con fecha 3 de septiembre se recibió en la AEPD una reclamación de la Federación de Enseñanza de Madrid de Comisiones Obreras por los mismos hechos. Por último, con fecha ***FECHA.2, se ha recibido una notificación de brecha de seguridad de la Consejería de Educación y Juventud de la Comunidad de Madrid en relación con los hechos mencionados en la que se pone de manifiesto que, con fecha 1 de septiembre de 2020, con ocasión de la convocatoria para la realización de los test de detección de anticuerpos del virus COVID-19 al personal docente y de administración y servicios, la Dirección Área Territorial ***ÁREA.1 ha remitido correos electrónicos a directores de centros de su ámbito territorial en los que se adjuntaba un documento en formato Excel que contiene datos personales relativos a la totalidad del personal de dicha Área, difundiéndose la información entre docentes y redes sociales. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.
- ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: CONSEJERÍA DE EDUCACIÓN Y JUVENTUD, con CIF S7800001E, y con domicilio en calle General Diaz Porlier 35, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha ***FECHA.1, desde la Subdirección General de Protección de Datos se accede a las siguientes direcciones de Twitter: ***URL.1 ***URL.2 ***URL.3 ***URL.4 comprobando que en todas ellas figura la convocatoria de la Comunidad de Madrid de docentes y no docentes e incorporado un listado con datos de 16.720 personas. 2.- En esta misma fecha se accede a diversos medios de comunicación en Internet: ***URL.5 ***URL.6 ***URL.7 en los transcritos enlaces figura la noticia en relación con la mencionada convocatoria y el envío de un fichero con los datos 16.720 personas. En estas noticias también consta que FACUA y Comisiones Obreras van a solicitar una investigación a la AEPD. 3.- Con fecha 4 de septiembre de 2020 se ha solicitado información a la Consejería de Educación y Juventud de la Comunidad de Madrid y de la respuesta recibida se desprende lo siguiente: RESPECTO DE LA BRECHA DE SEGURIDAD Respecto del envío de la convocatoria. La Consejería manifiesta que en el marco de las actuaciones para la realización de pruebas de detección del virus SARS-COV-2, a todos los profesionales docentes, de administración y servicios de los centros educativos, el día 1 de septiembre de 2020 a las 12:45 la Viceconsejera de Organización Educativa trasmitió, en Comité de Dirección, instrucciones al Director General de Recursos Humanos y a los directores de área territorial para que se procediera a la citación para la realización de los test al personal que constaban en la Dirección General de Recursos Humanos. La Dirección General de Recursos Humanos generó un único listado con la relación del personal de todos los centros y la Viceconsejería indicó a las cinco direcciones de área territorial que debían dirigir una comunicación a los centros educativos, teniendo en cuenta las franjas de llamamientos que se establecerían en cada una de las sedes de realización de test, así como el número total de llamamientos que podían realizar desde cada dirección de área y las fechas en las que debían producirse. Asimismo, la Dirección General de Recursos Humanos había facilitado una lista con información seudonimizada eliminando del listado el personal cuya identidad debía ser preservada por motivos de seguridad. Cada Dirección de Área recibiría de la Viceconsejería el listado con el personal asociado a su área a fin de que pudieran proceder a un conteo de cuántas personas debían realizarse el test serológico por centro y, con el número total, proceder al relleno de las franjas de llamamiento respetando siempre el principio de citación única C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 por centro. A este respecto, la Consejería ha aportado copia de los correos remitidos a las 5 áreas donde figura un fichero Excel en cada uno de ellos con el personal asociado a cada Centro Educativo. En el correo correspondiente al área 5 consta un fichero en Excel con datos de nombre y apellidos, NIF, sexo, fecha de nacimiento y tipo de personal de 16.720 asociadas a los datos del Centro (nombre del Centro, localidad y teléfono). La Consejería manifiesta que en ningún caso el listado de nombres individualizados debía comunicarse a la comunidad educativa, sino que éste sólo debía ser utilizado por la dirección de área para proceder al conteo y el aglutinamiento por franjas horarias y, posteriormente, comunicar a los directores de los Centros la asignación de día y hora. La Consejería manifiesta que en el proceso de envío de información de citación a los centros no participó ninguna empresa. Respecto de la cronología de los hechos El 1 de septiembre a las 15:58 h. se remitió por correo electrónico a las Direcciones de Área Territoriales (DAT) un documento Excel con el listado total del personal asociado a su área, cuya finalidad era que los centros directivos pudieran trasladar a su personal, la fecha, hora y lugar donde debían acudir para la realización de las pruebas. Desde la Viceconsejería de Organización Educativa de la Consejería se facilitó la información completa, incluido el consentimiento, que debía ser remitido al correo institucional de docentes y personal de administración y servicios, indicando el lugar de realización de los test, la comunicación individual que iban a recibir de su director de centro y las normas para la realización del test. A este respecto, han aportado copia de un correo electrónico donde se informa de las ubicaciones de las pruebas en cada DAT, la obligación de entrega del consentimiento y las instrucciones para la realización de los tests así como la dirección web donde poder consultar los resultados. Las especificaciones facilitadas por la Viceconsejería de Organización Educativa a las DAT señalaban que debía trasladarse la información a los directores de centros para que comunicaran al personal destinado en ellos, el lugar, fecha y hora concreta a la que tenían que acudir los empleados públicos. La DAT ***ÁREA.1, antes de proceder al envío a los directores de los centros eliminó del listado recibido el DNI, la fecha de nacimiento y la dirección de correo electrónico y lo remitió a los Centros con el fichero Excel completo que contenía los datos de nombre y apellidos, sexo y tipo de personal junto con día y hora de citación de los 16.720 asociados a todos los Centros del DAT ***ÁREA.
- La Dirección General de Recursos Humanos recibe el día ***FECHA.1, a través de los medios de comunicación, información sobre el posible envío del listado del personal adscrito a los Centros Educativos de la DAT ***ÁREA.
- Se confirman estos hechos y se verifica que se trata del listado que la DAT ***ÁREA.1 ha enviado a los correos institucionales de los Directores de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Centros Educativos con los datos de todo el personal adscritos a su Área y al que han podido tener acceso diversas personas que constaban en él. La Consejería manifiesta que el DAT ***ÁREA.1 ha remitido incorrectamente el correo con el fichero del personal de toda el Área y algunos Centros reenviaron el fichero completo sin realizar la comunicación individual prevista. La información que debía haber sido remitida a los directores, era exclusivamente la referida al personal concreto de su centro, de forma que pudieran mandar correo individualizado con la información de la cita en fecha y hora. En relación con estos hechos, la Consejería manifiesta que era necesario difundir la convocatoria de forma rápida (comenzaba la realización de test el día ***FECHA.1) y por la urgencia la DAT ***ÁREA.1 no procedió a realizar bien el filtrado. De forma similar, algunos Directores reenviaron el fichero al personal de su centro, sin realizar la comunicación individualizada prevista. Medidas de minimización del impacto de la brecha El día ***FECHA.1, la Dirección General de Recursos Humanos, remitió un comunicado a la DAT ***ÁREA.1 en el que se solicita: El envío de un correo electrónico a cada uno de los directores de los centros solicitándoles que se abstengan de hacer uso del documento en formato Excel indebidamente difundido, indicando que la gestión debe ser individualizada y exclusivamente para los docentes de su centro y que en ningún caso puede difundirse ningún otro dato. La remisión de un informe explicativo y detallado de las circunstancias en las que se produjo la difusión de datos. A este respecto ha aportado copia del escrito remitido a la DAT ***ÁREA.1 donde figuran las solicitudes mencionadas. Se ha solicitado a la Agencia para la Administración Digital de la Comunidad de Madrid (Agencia MadridDigital), entidad a la que corresponde la prestación de los servicios informáticos y de comunicaciones a la Comunidad de Madrid, la realización de actuaciones de comprobación de buzones de correo electrónico, a fin de intentar esclarecer qué posibles receptores de la información realizaron la difusión de datos mediante el envío del listado en formato Excel con la totalidad de los datos. Respecto de los datos afectados. La Consejería manifiesta que Dirección General de Recursos Humanos no ha recibido ningún tipo de información de la que pueda deducirse que esos datos han sido utilizados por terceros. Desde esta Dirección ha sido solicitada información sobre si hubieran tenido conocimiento de dicha utilización a la DAT ***ÁREA.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 La Consejería manifiesta que la información contenida en el listado y difundida básicamente a través de grupos de docentes en redes sociales y por WhatsApp, no aporta información relevante para los empleados, ya que esa información es conocida de forma parcial por vías diversas (resoluciones de los concursos de traslados, asignaciones para personal docente sin destino, concurso de traslados…) La Consejería manifiesta que la posibilidad de alguna incidencia concreta con motivo del conocimiento de la ubicación de un empleado público en un lugar y fecha concreta, en los casos específicos de los que tienen protección de datos, no se podía producir, ya que o bien fueron objeto de eliminación previa en el listado remitido desde la Viceconsejería o bien figuran con nombre distinto del real. La Consejería manifiesta que la información localizada en internet es la obtenida a través de la visualización de conversaciones de grupos de Facebook, de los cuales se ha tenido conocimiento los relativos a: profesores y maestros interinos de Madrid y profesores y maestros interinos de Madrid. A este respecto manifiestan que evaluadas las conversaciones se hacía referencia al listado y la visualización del mismo se borraba de las redes, al difundirse en éstas que no era conforme a la normativa de protección de datos. Por ello, no hay constancia de la utilización por terceros de la información incluida en el listado, ni tampoco de la indexación de su contenido en ningún buscador de Internet. Desde la Subdirección General de Inspección de Datos, con fecha 14 de octubre de 2020, se accede a las direcciones de Facebook aportadas por la Consejería comprobando que ambas son grupos privados. Respecto de las medidas de seguridad implantadas con anterioridad a la brecha La Consejería ha aportado copia del Análisis de Riesgo del tratamiento Pruebas Covid-19 profesionales de centros educativos públicos C. de Madrid en cuyo resultado consta Requiere EIPD. En este documento se detallan las medidas técnicas y organizativas adoptadas para garantizar un nivel de seguridad adecuado a los riesgos detectados. La Consejería manifiesta que está prevista la realización de la Evaluación de impacto. La Consejería ha aportado el documento denominado “Información sobre protección de los datos de carácter personal recogidos en la realización de pruebas serológicas y PCR al personal docente y de administración y servicios que presta sus servicios en los Centros Educativos públicos de la Comunidad de Madrid” y ***URL.
- Con fecha 15 de octubre de 2020, desde la Subdirección General de Inspección de Datos se ha accedido a la dirección mencionada verificando que figura información sobre la política de privacidad en pruebas serológicas de fecha 1 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 2020 y un enlace a Consulta de resultados pruebas serológicas y PCR de fecha ***FECHA.
- Al pulsar sobre dicho enlace, el sistema solicita el número de test y el NIF. La Consejería dispone de un procedimiento para la gestión de brechas, que ha sido difundido a todas las Direcciones Territoriales y centros educativos. Está accesible en las direcciones de Internet ***URL.9 y ***URL.
- A este respecto, y con fecha 15 de octubre de 2020, desde la Inspección de Datos se ha accedido a las direcciones mencionadas verificando que figura información sobre la política de privacidad e instrucciones y recomendaciones sobre protección de datos personales para los centros públicos. La Consejería manifiesta que la Agencia MadridDigital realiza auditorías con la periodicidad que la normativa determina en cumplimiento del ENS sobre la infraestructura de servicios y comunicaciones, siendo la última la correspondiente a
- Respecto de las medias implementadas con posterioridad la brecha La Consejería manifiesta que se van a adoptar las siguientes medidas: o Aseguramiento de que en lo sucesivo las instrucciones se remitan por escrito, independientemente de que se anuncien verbalmente. o Reiteración de la política de uso del correo electrónico de la Comunidad de Madrid. o Puesta a disposición en páginas web específicas de la Consejería de Educación y Juventud de información esencial sobre protección de datos y confidencialidad de la información. o Recordatorio a los empleados públicos y especialmente a los equipos directivos de los cursos de formación en materia de protección de datos La Viceconsejería de Organización Educativa, como unidad jerárquica superior de la que depende tanto las Direcciones de Área Territoriales como la Dirección General de Recursos Humanos, procederá a dar instrucciones para que en lo sucesivo se realice siempre una gestión escrupulosa de toda aquella información que contenga datos personales, y en concreto: o C/ Jorge Juan, 6 28001 – Madrid Reiterar la necesidad de incorporar clave en archivos que salgan al exterior, facilitando la contraseña en correo independiente, www.aepd.es sedeagpd.gob.es 7/11 o Trasladar la obligación de facilitar los datos mínimos e imprescindibles para la correcta prestación del servicio o actuación que se precise en cada momento. o Señalar la obligación de profundizar en el conocimiento de la normativa de protección de datos y en las obligaciones para con terceros con el uso de la información. RESPECTO DE LOS TRATAMIENTOS DE DATOS RELATIVOS A LAS PRUEBAS COVID-19 El tratamiento de datos personales corresponde a la “Realización de test de seroprevalencia a los profesionales de los centros educativos de gestión directa de la Comunidad de Madrid” en relación con el virus SARS-COV-2, incluyendo tanto personal docente como de administración y servicios. El proceso de tratamiento de datos es el siguiente: Realización y segmentación del listado de profesionales desde las bases de datos de gestión de recursos humanos de la Consejería. Citación individualizada, realizada por la Consejería con recursos propios, y a continuación a cada persona que voluntariamente acudiese a la cita, la empresa Ribera Salud, en calidad de encargada del tratamiento, le realizó los test rápidos según el contrato y acuerdo de encargo suscritos con la Consejería de Educación y Juventud. El encargado del tratamiento recibió los listados de personal mediante correo electrónico en anexos cifrados, remitiéndose en mensaje independiente la contraseña para su descifrado. Dicho listado incluía únicamente la información necesaria para poder realizar el control de las pruebas realizadas. En caso de resultar la prueba positiva, la empresa lo comunicaba a la persona (a través del número de teléfono o correo electrónico aportado por el interesado) y se le citaba para una prueba PCR. Cada interesado podía consultar los resultados accediendo a una página web de acceso seguro mediante protocolo de cifrado en las comunicaciones (https), en la que se le solicitaba para poder acceder a la información su número de identificación (NIF o documento acreditativo de identidad) y un código personal que se le entregó en el momento de la primera prueba serológica. Con fecha 15 de octubre de 2020, desde la Subdirección General de Inspección de Datos, se ha accedido a la dirección ***URL.8 verificando que figura información sobre la política de privacidad en pruebas serológicas de fecha 1 de septiembre de 2020 y un enlace a Consulta de resultados pruebas serológicas y PCR de fecha ***FECHA.
- Al pulsar sobre dicho enlace, el sistema solicita el número de test y el NIF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 La Consejería ha aportado copia de la siguiente documentación: Propuesta de contratación del “Contrato para la realización de 100.000 tests serológicos al personal de Centros Educativos de la Comunidad de Madrid como medida de prevención contra el COVID-19”. Copia de orden de declaración de emergencia por la que se justifica por su carácter de necesaria la adquisición de 100.000 test masivos de serovalencia de COVID-19 para evitar un riesgo grave de salud según lo dispuesto en el artículo 120 de la Ley de Contratos del Sector Público (LCSP). Orden de Adjudicación a la empresa Ribera Lab, S.L.U.. Acuerdo de encargo de tratamiento de datos personales por cuenta de la Consejería de Educación y Juventud de la Comunidad de Madrid, de fecha ***FECHA.1 de 2020, por el que Ribera Lab va a realizar la siguiente actividad: “Realización de test de seroprevalencia a los profesionales de los centros educativos públicos no universitarios de la Comunidad de Madrid”. En dicho acuerdo figura que los datos personales que se facilitan para la prestación del servicio son: DNI, nombre y apellidos, Centro de servicio (código, denominación del Centro y número de teléfono), dirección de Área Territorial, fecha de nacimiento y sexo. El Anexo I del Acuerdo corresponde con la Cláusulas de Protección de Datos Personales y se añaden los datos de dirección de correo electrónico, teléfono de contacto y resultado de las pruebas médicas referenciadas. Formulario de autorización entregado a cada interesado incluyendo política de privacidad en el que se solicita los datos de DNI, teléfono y correo electrónico y autorización a la Comunidad de Madrid para que a través de Ribera Salud se contacte para concertar cita de prueba PCR en caso de obtener resultado de tes positivo. También incluye una autorización a la Comunidad de Madrid, en caso de que el resultado del test de anticuerpos y/o el PCR sea positivo y conforme a la normativa en materia de prevención de riesgos laborales, “a que tenga acceso, a través de Ribera Salud, del resultado del mismo y a que informe a los servicios de salud de la Comunidad de Madrid en un plazo de 24 horas, para asegurar el derecho a la protección de la salud del resto del personal y evitar los contagios en el centro de trabajo, así como permitir a mi entidad diseñar los planes de contingencia que sean necesarios y la correcta elaboración de los cuadrantes de trabajo”. Informe del Análisis de Riesgos del tratamiento Pruebas COVID-19 a profesionales de centros educativos públicos C. de Madrid con el resultado de que se requiere la elaboración de una evaluación de impacto. En el ciclo de vida de los datos está prevista su destrucción tanto de los datos identificativos como de los datos de resultado de las pruebas en el responsable y en el encargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 En este mismo documento se aportan las medidas de seguridad implantadas. Respecto de la conservación de datos, la Consejería manifiesta que los datos se conservarán bloqueados por parte del encargado hasta que se extingan los plazos en los que pueda ser necesario recurrir a dicha información por motivos legales, tales como una revisión de la ejecución del contrato. Al finalizar dichos plazos, tanto la Consejería como el encargado procederá a su destrucción segura y certificada. En relación con los derechos de los profesionales asociados a los Centros Educativos de la Comunidad de Madrid, en la Política de privacidad de la web figura el procedimiento para ejercitar los derechos haciendo referencia además a la posibilidad de interponer una reclamación ante la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, se debe señalar que el listado del personal docente, de servicios y de administración (afectados) difundido entre la comunidad docente adscrita al Área Territorial ***ÁREA.1 trae causa un error puntual en la interpretación de las medidas de seguridad dictadas por la Viceconsejería de Organización Educativa. Así, consta que los centros directivos limitaron el contenido de los datos personales de los afectados e impidieron la difusión de aquellos datos especialmente sensibles al ser eliminados o anonimizados con nombre ficticio. También consta que la difusión de los datos personales se realizó dentro del grupo de afectados y fueron terceras personas ajenas a la dirección territorial quienes lo extendieron a través de las redes sociales. No obstante, consta que tras la difusión del listado previamente limitado en su contenido de los afectados los propios receptores lo eliminaron al comprobar que tal tratamiento no era acorde con la normativa sobre protección de datos, lo que limitó su difusión. Asimismo, consta el responsable del tratamiento activó el procedimiento de notificación de brecha de seguridad, previamente implantado, y actuó conforme a los protocolos establecidos para minimizar su impacto. Por otro lado, consta que previamente el responsable del tratamiento disponía de las medidas razonables de seguridad debidamente sistematizadas y acordes con el Esquema de Seguridad Nacional (ENS) al que toda Administración Pública está obligada a fin de evitar brechas de seguridad. También consta que, una vez producida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 la brecha de seguridad se arbitraron las medidas oportunas para su contención, minimización de los posibles efectos negativos, así como las adecuadas para evitar la repetición de hechos similares. En concreto se aplicaron medidas de aseguramiento de que en lo sucesivo las instrucciones se remitan por escrito, reiteración de la política de uso del correo electrónico de la Comunidad de Madrid, puesta a disposición en páginas web específicas de la Consejería de Educación y Juventud de información esencial sobre protección de datos y confidencialidad de la información, se recordaron a los empleados públicos y especialmente a los equipos directivos de los cursos de formación en materia de protección de datos y se reiteró la necesidad de incorporar clave en archivos que salgan al exterior, facilitando la contraseña en correo independiente, y la obligación de facilitar los datos mínimos e imprescindibles para la correcta prestación del servicio o actuación que se precise en cada momento. Finalmente, se significa que no consta que se hayan difundido datos personales de categorías especiales de los afectados, toda vez que los posteriores tratamientos de datos personales relativos al resultado de las pruebas se encontraban debidamente protegidos mediante la implantación de las medidas de seguridad. En el supuesto objeto de investigación, se considera que se han tomado las medidas adecuadas para evitar que se vuelva a producir el incidente de seguridad referido, por lo que no se requiere al responsable de la adopción de nuevas medidas. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde y proporcionada con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a los reclamantes y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es