PS-00291-2022

1/9  Expediente N.º: EXP202103884 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8/09/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, reclamado). Los motivos en que basa la reclamación son que para participar en la carrera “Gomera Paradise Trail” se recogen datos personales asociados a vacunas y pruebas diagnósticas COVID, Aporta: 1) Impresión de un mensaje al reclamante, de “XXXXXXXXX”, 19/08/2021, con el logo de “XXXXXXXXXX”, “certificado de vacunación o test antígenos o PCR”. Se informa: “tras analizar la situación actual derivada de la pandemia COVID-19, la organización ha decidió solicitar a los participantes, tal y como nos recomiendan los diferentes organismos públicos, lo siguiente: - “Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19.” (quizás se refiera a haber pasado la enfermedad) - “En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo.” “El formato a llevar a cabo será a través de la página web gomeraparadise.com en el que la organización habilitará una zona privada de participante, a través de la cual accederán mediante la ID de inscripción y el email que apuntaron a la hora de formalizar la inscripción-archivo adjunto de la confirmación de la inscripción- En su cuenta dispondrán de un apartado donde puedan adjuntar vía PDF o JPG dicho certificado”. SEGUNDO: La Subdirección General de Inspección de Datos comprobó lo siguiente:

1. a)Impresión de 21/10/2021, de la página gomeraparadise.com/reglamento/, que contiene el reglamento de la carrera: “XXXXXXXXXXXX”, del que destaca: -Carrera de montaña organizada por “XXXXXXXXXXX” que se celebrará el 10 y 11/09/2021. -De acuerdo con sus modalidades, pueden participar personas a partir de 14 años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 -Para participar, entre otros requisitos a cumplir, deben formalizar la inscripción cumplimentando un formulario publicado en la página web oficial. El plazo para ello va de 14/05 a 15/08/2021. -En el apartado 14 de “recogida de dorsales”, que se realiza una vez inscrito, del 6 al 10/09/2021, figura que “el participante deberá entregar un documento de protocolo covid19 en el que se compromete a haber cumplido las medidas que en él se estipulan”.
2. b)A 21/10/2021, en la página gomeraparadise.com, figura: “Política de Privacidad y Protección de Datos”, indicando que: “B.B.B.”, el reclamado, como responsable del tratamiento, “garantiza la protección y confidencialidad de los datos personales de cualquier tipo que nos proporcionen nuestros clientes, de acuerdo con lo dispuesto en el RGPD” y que dispone de un registro de actividades de tratamiento de datos de carácter personal “en el que serán incluidos los datos facilitados por nuestros clientes o visitantes en la web del responsable del tratamiento o a su personal, para prestar los servicios solicitados por los usuarios o para resolver las dudas o cuestiones planteadas por nuestros visitantes”, que no elaboran perfiles, los destinatarios, no realizan transferencias internacionales y el periodo de conservación. Se informa de: “Legitimidad del tratamiento: ¿Por qué necesitamos sus datos? 1.
3. a)Relación contractual: Es la que aplica cuando compra uno de nuestros productos o contrata alguno de nuestros servicios.
4. b)Interés legítimo: Para atender a las consultas y reclamaciones que nos plantee y para gestionar el cobro de las cantidades adeudadas.
5. c)Su consentimiento: Si es usuario de nuestra web, mediante la marcación de la casilla que figura en el formulario de contacto, nos autoriza a que le remitamos las comunicaciones necesarias para dar respuesta a la consulta o solicitud de información planteada.” También se informa del ejercicio de derechos, la sede ante la cual se han de ejercitar y la forma y la opción de reclamar ante la AEPD. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado el 4/11/2021 de dicha reclamación al reclamado para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos y que informara sobre varios aspectos concretos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16/11/2021, como consta en el acuse de recibo que obra en el expediente. No se recibió respuesta CUARTO: Con fecha 8/12/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. 1.- Con fecha 25/01/2022, se envió un escrito de solicitud de información al reclamado mediante correo postal que fue entregado el día 4/02/2022, según consta en la prueba de entrega del servicio de Correos. En concreto, se trataba de: “1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. 2.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento. 3.- Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas. 4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información facilitada a éstos sobre el tratamiento de los datos. Número de interesados a los que se ha recabado los datos y descripción de los datos recabados. 5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, puede consultar la herramienta “Gestiona EIPD” en ***URL.1. 6.- La decisión adoptada a propósito de esta reclamación. 7.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 8.- Cualquier otra que considere relevante.” Transcurrido el plazo dado sin obtener respuesta al requerimiento, con fecha de 29/03/2022, se reiteró la solicitud de información, teniendo entrada en esta Agencia con fecha ***FECHA.1 escrito del reclamado en el que pone de manifiesto lo siguiente: - El evento para el que se solicita la PCR o el certificado de vacunación es de carácter privado, “el cual está organizado por él como autónomo y persona responsable del mismo” y se rige por un reglamento que los que participen en la carrera han de aceptar. Su artículo 24 indica que puede ser rectificado, modificado, mejorado en cualquier momento por la organización. - “Todas las inscripciones y todos los datos relevantes captados de los participantes se encuentran alojados en una plataforma online de inscripciones de eventos deportivos, la cual se rige por la siguiente política de privacidad, y a través de la cual se vuelca toda la información relevante de todos y cada uno de los participantes, incluyendo tanto el certificado de pauta de vacunación o test.” Aporta transcripción en copia-pega en página de “NORMAS DE USO Y CONDICIONES ACEPTADAS AL REALIZAR UNA INSCRIPCIÓN”, “texto vigente desde el 18/11/ 2021”, que contiene entre otras, las siguientes cláusulas: 1ACEPTACION C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 1.1. Está realizando una inscripción a través del sistema de AVAIBOOK SPORTS, que es una solución tecnológica contratada por el gestor de inscripciones del evento y prestada por AVAIBOOK ON-LINE S.L 1.2. Al realizar la inscripción usted acepta expresamente estas Condiciones Generales (CG) en su integridad. 2.CONTRATO 2.1 “Al inscribirse en el evento a través del sistema AVAIBOOK Sports, la relación jurídica que se genera es exclusivamente entre usted -en adelante el inscrito- y el GESTOR de inscripciones del evento- en adelante GESTOR. AVAIBOOK simplemente proporciona la herramienta tecnológica que permite gestionar las inscripciones al evento, por lo que carece de responsabilidad alguna sobre la celebración o suspensión del evento, la información facilitada por el GESTOR sobre el mismo, posibles fallos de organización, cualquier daño o perjuicio que pueda sufrir el inscrito o sus pertenencias durante la celebración del evento o por cualquier otro motivo no relacionado con su solución tecnológica. (…) 6. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL 6.1. De acuerdo con lo previsto en el artículo 33, de la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales, AVAIBOOK tendrá la consideración de “Encargado del Tratamiento “y, por tanto, no se considerará comunicación ni cesión de datos al acceso por AVAIBOOK a los datos de carácter personal de los INSCRITOS, a los únicos fines de la prestación del servicio de inscripción en el evento.” - Dada la situación epidemiológica derivada por la pandemia COVID-19, “tras haber obtenido la autorización de Sanidad para la celebración del evento, consideró oportuno solicitar una de las dos opciones explicadas anteriormente, simplemente con el único y exclusivo motivo de garantizar la seguridad lo máximo posible de todos los participantes del evento y, en caso de aparecer un brote de dicha enfermedad en el evento, poder tener un mayor control y acotamiento de posibles contagios graves del mismo, todo ello exponiendo toda la información a los entes públicos competentes del mismo.” - “El día 19/08/2021, se envió un mail a los participantes, a través de la plataforma online de inscripciones y solicitando que esa información sea volcada a la plataforma online de inscripción, a través de la cual solamente se puede acceder habiendo formalizado la inscripción y habiendo, previamente, aceptado la política de privacidad de la misma”. El email incluía el mismo texto de impresión de mensaje que aportó el reclamante, faltando el literal: “En su cuenta dispondrán de un apartado donde puedan adjuntar vía PDF o JPG dicho certificado. Esta opción estará habilitada desde el lunes 23 de agosto hasta el domingo 5 de septiembre para la opción del Certificado de Vacunación. En caso de test PCR o Antígenos, deberá aportarlo a la Organización a la hora de la recogida de dorsales.” - El día 24/08/2021, “se envía otro email”, literal: “Ya tienes disponible en tu Zona Privada del Participante la casilla para poder volcar el certificado de vacunación o Certificado pertinente en base a COVID19 (disponer de inmunidad, disponer de, al menos, una dosis, etc.). Con respecto a las dudas y/o sugerencias que nos han hecho llegar con respecto a dicho certificado, ACLARAMOS: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 • En ningún momento hemos remitido la obligatoriedad, o se presenta documentación o se elimina al participante del evento. • Dicho certificado se solicita con el fin de poder disponer de las máximas garantías de seguridad en materia COVID-19. Ya que en una época de alerta sanitaria como la que estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de seguridad y ser solidarios. • Entendemos que entre tod@s debemos ser solidarios, con el fin de poder celebrar eventos de forma segura y responsable. Por ende, apelamos a la responsabilidad, solidaridad y sentido común para poder hacer de la XXXXXXXXX un evento seguro y con garantías. “ “…, el procedimiento a llevar a cabo es el siguiente: Accede a tu Zona Privada: ***URL.2. • Introduce tu ID de inscripción (la puedes encontrar en tu justificante de inscripción). • introduce el mail. • Volcar (de forma solidaria) el certificado de vacunación o certificado que garantice el disponer de anticuerpos, etc.” “Lo que hemos hecho ha sido ponernos en contacto con la plataforma on line de inscripciones, concretamente con la gestora de la plataforma, para regular y conocer más a fondo la ubicación y normas de la protección de datos de carácter personal para que no vuelva a ocurrir en un futuro lo mismo”. Finaliza indicando que: “Con respecto a la decisión tomada a propósito de esta reclamación, al no saber el remitente de esta reclamación, entre 1200 participantes, no podemos confirmar si se tomó una decisión con respecto a la persona denunciante”. 2.- Con fecha 22/04/2022, la Inspección de datos envió un nuevo escrito de solicitud de información al reclamado mediante el servicio de Dirección Electrónica Habilitada Única (DEHÚ) que fue aceptado por el destinatario el día 25/04/2022. Se requirió al reclamado para que aportara la siguiente información y documentación, sin obtener respuesta, de: “1.- Copia del contrato de encargado del tratamiento suscrito entre el titular de la página web “gomeraparadise.com” y AvaiBook On-Line S.L. 2.- Número total de informes sobre pruebas PCR o antígenos y certificados de la pauta de vacunación completa recogidos de los interesados. Período de conservación de los mismos. 3.- La base jurídica del tratamiento de dichos datos relativos a la salud y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. 4.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento. 5.- La Evaluación de Impacto realizada, o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, puede consultar la herramienta “Gestiona EIPD” en ***URL.1.” Él envió fue aceptado el 25/04/2022 sin recibirse respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 SEXTO: Con fecha 23/09/2023, la Directora de la AEPD, acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a B.B.B., con NIF ***NIF.1, por la presunta infracción del RGPD, en los siguientes artículos: -9 del RGPD, de conformidad con el artículo 83.5.
6. a)del RGPD y a efectos de prescripción en el artículo 72.1.
7. e)de la LOPDGDD. -13 del RGPD, de conformidad con el artículo 83.5.
8. b)del RGPD y a efectos de prescripción en el artículo 72.1.
9. h)de la LOPDGDD -30 del RGPD, de conformidad con el artículo 83.4.
10. a)del RGPD y a efectos de prescripción en el artículo 73.
11. n)de la LOPDGDD.” “A los efectos del artículo 64.2
12. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de tres sanciones de multa administrativa, por la infracción del: -artículo 9 del RGPD, podría imponerse una sanción de multa, por importe de 8.000 euros. -artículo 13 del RGPD, podría imponerse una sanción de multa, por importe de 6.000 euros. -artículo 30 del RGPD, podría imponerse una sanción de multa, por importe de 1.000 euros.” SÉPTIMO: Frente al acuerdo de inicio, no se recibieron alegaciones. OCTAVO: Con fecha 30/05/2023, se emitió propuesta de resolución en la que se indicaba: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, por - una infracción del artículo 9 del RGPD, de conformidad con el artículo 83.5.
13. a)del RGPD, y a efectos de prescripción, tipificada como muy grave en el artículo 72.1.
14. e)de la LOPDGDD, con 8.000 euros. - una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.
15. b)del RGPD, y a efectos de prescripción, tipificada como muy grave en el artículo 72.1.
16. h)de la LOPDGDD, con 6.000 euros. - una infracción del artículo 30 del RGPD, de conformidad con el artículo 83.4
17. a)del RGPD y a efectos de prescripción, tipificada como grave en el artículo 73.
18. n)de la LOPDGDD, con 1.000 euros.”” El envío se cursa por notificación postal y es notificado el 11/06/2023.al mismo tiempo, se intentó por vía electrónica el 2/06/2023, que dio como resultado “expirada”, por el transcurso del plazo de 10 días para el acceso a la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Llegado el último día del plazo para efectuar alegaciones, 23/06/2023, se recibe escrito del reclamado en el que solicita se amplie el plazo para efectuar alegaciones, de conformidad con lo señalado en el artículo 32 de la LPCAP, que señala: “1. La Administración, salvo precepto en contrario, podrá conceder de oficio o a petición de los interesados, una ampliación de los plazos establecidos, que no exceda de la mitad de los mismos, si las circunstancias lo aconsejan y con ello no se perjudican derechos de tercero. El acuerdo de ampliación deberá ser notificado a los interesados. … 3. Tanto la petición de los interesados como la decisión sobre la ampliación deberán producirse, en todo caso, antes del vencimiento del plazo de que se trate. En ningún caso podrá ser objeto de ampliación un plazo ya vencido. Los acuerdos sobre ampliación de plazos o sobre su denegación no serán susceptibles de recurso, sin perjuicio del procedente contra la resolución que ponga fin al procedimiento.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La caducidad es uno de los modos de extinción de los procedimientos administrativos que se produce por el transcurso del tiempo, con la finalidad de cumplir las exigencias derivadas de la seguridad jurídica. Acorde con esta naturaleza y con la obligación general de la Administración de dictar resolución expresa en todos los procedimientos, ex artículo 21 de la LPACAP, “obligación de resolver”, se establecen unos plazos cuyo transcurso, sin haberse dictado resolución expresa, determina la caducidad del procedimiento, con el tenor: “1 La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. En los casos de prescripción, renuncia del derecho, caducidad del procedimiento o desistimiento de la solicitud, así como de desaparición sobrevenida del objeto del procedimiento, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Se exceptúan de la obligación a que se refiere el párrafo primero, los supuestos de terminación del procedimiento por pacto o convenio, así como los procedimientos relativos al ejercicio de derechos sometidos únicamente al deber de declaración responsable o comunicación a la Administración. 2. El plazo máximo en el que debe notificarse la resolución expresa será el fijado por la norma reguladora del correspondiente procedimiento. Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea.” El artículo 64 de la LOPDGDD, párrafo dos, final, sobre forma de iniciación y duración del procedimiento, en vigor a la fecha de la firma del acuerdo de inicio, prescribe: “El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” Circunstancia que se hace constar en el acuerdo de inicio notificado al reclamado. Considerando que no procede la solicitud del reclamante de ampliación de plazo, al producirse el último día del mismo, se atiende sin embargo a que el acuerdo de inicio es dictado el 23/09/2022, y dado que el último día que disponía el reclamado para formular alegaciones a la propuesta fue el 23/06/2023, fecha en que debía estar dictada y notificada la resolución del procedimiento, ha transcurrido el período máximo que prevé la especifica norma aplicable citada, por lo que procede declarar dicha caducidad. III En cuanto a los efectos, el artículo 95 de la LPACAP señala: “3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” En este caso concreto, fue a los pocos días de cerrado el período de inscripción en la carrera, el 19/08/2021, cuando el reclamado envió a los participantes un email, indicando: “tras analizar la situación actual derivada de la pandemia COVID-19, la organización ha decidido solicitar a los participantes, tal y como nos recomiendan los diferentes organismos públicos, lo siguiente: -Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 -En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo.” Se añade que se ha de subir la citada documentación en la página web gomeraparadise.com, responsabilidad del reclamado, donde se habilita una “zona privada de participante, https://inscripciones.gomesporteventos.com/inscripcion/ixgomera-paradise/ zona privada/logeo/, introduce tu ID de inscripción (en el justificante de inscripción y el e mail con el que se inscribieron). Esta opción estará habilitada desde el lunes 23/08 hasta el domingo 5/09/2021, para la opción del certificado de vacunación. Según el reclamado, solicitó los datos de los certificados de vacunación, test PCR o antígenos, por la situación epidemiológica derivada de la pandemia COVID 19 con el fin de garantizar la seguridad de los participantes, por considerarlo oportuno, y dada la situación. Manifiesta que “obtuvo autorización de Sanidad para la celebración del evento”, sin aportar documento alguno de lo que expresa. En el e mail de 19/08/2021 indicaba que “la organización ha decidido solicitar a los participantes, tal y como nos recomiendan los diferentes organismos públicos, lo siguiente,” para referirse al certificado de vacunación, de haber pasado ya la enfermedad o test PCR o de antígenos 48 horas antes de la prueba. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR por caducidad el procedimiento sancionador EXP202103884, actuaciones PS/00291/2022, por las infracciones de los artículos 9, 13 y 30 del RGPD imputadas a B.B.B. con NIF ***NIF.1 SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es