PS-00488-2016

1/9 Procedimiento Nº PS/00488/2016 RESOLUCIÓN: R/01179/2017 En el procedimiento sancionador PS/00488/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/11/15 tiene entrada en esta Agencia un escrito de A.A.A., en adelante la denunciante, en el que manifiesta la siguiente: 1. El 2 de noviembre de 2015 ORANGE ESPAGNE, S.A.U., en adelante ORANGE, realiza una llamada al teléfono que figura en un contrato de telecomunicaciones para reclamar una supuesta deuda. Al no encontrarse ella en casa respondió su hijo. 2. El 4 de noviembre de 2015 vuelve a llamar ORANGE y en esta ocasión informa a su hijo sobre el importe de la deuda, la fecha de la factura e incluso le piden a él que la pague. 3. Entiende que ORANGE ha vulnerado el deber de secreto al proporcionar esa información a su hijo. SEGUNDO: Se aporta la siguiente documentación junto al escrito de denuncia: A) Certificado emitido por CALLSTAMP COMMUNIUCATIONS SL sobre la grabación de las llamadas. B) Una transcripción de la conversación contenida en las grabaciones. C) Las llamadas se recibieron en la línea ***TEL.1 siendo la línea origen la ***TEL.2 y las fechas horas exactas en las que se recibieron las llamadas el 02/11/2015 a las 18:02:09 y el 04/11/2015 a las 09:11:13 horas.

1. d)ORANGE es la operadora que presta servicio a la línea ***TEL.1, de la que es titular su hijo B.B.B. con NIF ***NIF.1. TERCERO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/07957/2015. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 14/10/16 <<<<< * LOGALTY SERVICIOS DE TERCERO DE CONFIANZA SL, es una sociedad que proporciona entre sus servicios uno de grabación certificada de llamadas. El escrito de denuncia viene acompañado de dos certificados de dicho servicio. - El certificado indica que los ficheros que conservan corresponden con grabaciones de comunicaciones establecidas entre el número ***TEL.2 (llamante) y el número ***TEL.1 (llamado) los días 2 de noviembre de 2015 a las 18:03:12 y 4 de noviembre de 2015 a las 09:13:09. - Los certificados tienen un control de integridad basado en aplicar una función resumen sobre el fichero de audio almacenado, denominados Call_******.flc y Call_*****1.flac, pero no se indica qué función resumen se utiliza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 - Se han calculado distintas funciones (MD5, SHA1, SHA256) y no se ha podido encontrar coincidencia con los ficheros aportados, pero ello puede ser debido a que los ficheros aportados en el disco compacto utilizan un formato distinto al original. - En cualquier caso, no es posible asegurar que la grabación aportada sea la custodiada por el servicio de certificación . - En la primera de las grabaciones aportadas, alguien que dice llamar de “ORANGE telefonía móvil”, pregunta por la denunciante y cuando la persona que le atiende, que se identifica posteriormente como “***NOMBRE.1”, le informa de que no está disponible solicita que se le facilite un número en el que pueda localizarla. El interlocutor le indica que puede contactar con ella en ese mismo número pero más tarde, a las nueve o nueve y cuarto. - En la primera de las grabaciones aportadas, quien se identifica como ***NOMBRE.2 del “departamento de cobros de ORANGE” pregunta por la denunciante y es informada de que no se encuentra disponible. - A continuación la persona del departamento de cobros requiere a su interlocutor, que se identifica posteriormente como “***NOMBRE.1”, la letra final del DNI de la denunciante para “poderle informar con respecto a las facturas”. Cuando este niega conocer tal dato le pregunta en qué banco abona la denunciante sus facturas y éste nuevamente niega saberlo. - Es en ese momento cuando la persona del departamento de cobros informa a su interlocutor de que la denunciante tiene pendiente de pago una factura de 16 de septiembre por un importe que inicialmente describe como de 141,6 y después como de 107,87 euros y pregunta a su interlocutor si dispone de una tarjeta para abonar esa factura. El interlocutor dice desconocer nada sobre la deuda y se niega a pagarla, momento en el cual se le requiere un teléfono de contacto de la denunciante y nuevamente se indica a la persona del departamento de cobros que puede contactar con ésta en ese mismo número de teléfono pero a las nueve de la noche o, a mediodía, a eso de las dos. * Según la información facilitada por ORANGE: - A 4 de noviembre de 2015 la denunciante mantenía una deuda de 107,87 euros correspondiente a parte de la factura de 16 de septiembre de 2015, cuyo importe total ascendía a 141,63 euros y del que se habían abonado el 1 de octubre de 2015 33,76 euros. - El titular de la línea ***TEL.1 en el momento de los hechos y a fecha del presente informe es B.B.B.. - El titular de la línea ***TEL.2 en el momento de los hechos es TRANSCOM WORLDWIDE SPAIN SLU. - En el sitio web de TRANSCOM WORLDWIDE SPAIN SLU se informa de que presta servicios de centro de llamadas para distintos clientes, entre los que se encuentra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 ORANGE. - El 13 de octubre de 2016 ORANGE notifica por correo electrónico a esta Agencia que no les consta registro de que se hayan realizado llamadas con origen en la línea ***TEL.2 y destino en la línea ***TEL.1 en el periodo del 2 al 4 de noviembre de 2015. >>>>> CUARTO: Por la Directora de la Agencia Española de Protección de Datos se acordó, con fecha 26/10/16 iniciar procedimiento sancionador a ORANGE ESPAGNE por la por la presunta infracción del artículo 10 de la LOPD. QUINTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, manifestando que no existen pruebas que acrediten la supuesta infracción, en primer lugar por que en las propias actuaciones de inspección se advierte, ante la prueba aportada por la denunciante, que no es posible garantizar la integridad de la grabación aportada (al no quedar acreditada la función que asegura su control) e, incluso, la propia autenticidad de la grabación (puesto que no es posible asegurar que la grabación aportada sea la custodiada por Logalty); junto a ello hay que afirmar que las propias llamadas que la denunciante afirma haber recibido no constan en el registro de llamadas del operador de telecomunicaciones Orange. HECHOS PROBADOS 1º Consta denuncia presentada por A.A.A., manifestando que ORANGE ha vulnerado el deber de secreto al proporcionar información a su hijo, en concreto el importe de una deuda, la fecha de la factura e incluso le piden a él que la pague. En relación a dos llamadas efectuadas con fechas 2/11 y 4/11 en que se alega que ORANGE, realizó una llamada al teléfono que figura en un contrato de telecomunicaciones para reclamar una supuesta deuda, y que al no encontrarse la denunciante en casa respondió su hijo. 2º Consta la siguiente documentación aportada en el escrito de denuncia: * Certificado emitido por CALLSTAMP COMMUNIUCATIONS SL sobre la grabación de las llamadas. * Una transcripción de la conversación contenida en las grabaciones. * Las llamadas se recibieron en la línea ***TEL.1 siendo la línea origen la ***TEL.2 y las fechas horas exactas en las que se recibieron las llamadas el 02/11/2015 a las 18:02:09 y el 04/11/2015 a las 09:11:13 horas. *) ORANGE es la operadora que presta servicio a la línea ***TEL.1, de la que es titular su hijo B.B.B. con NIF ***NIF.1. 3º Constan los siguientes hechos verificados en el informe de los servicios de inspección de esta Agencia: A) Que LOGALTY SERVICIOS DE TERCERO DE CONFIANZA SL, es una sociedad que proporciona entre sus servicios uno de grabación certificada de llamadas. El escrito de denuncia viene acompañado de dos certificados de dicho servicio. Dicho certificado indica que los ficheros que conservan corresponden con grabaciones de comunicaciones establecidas entre el número ***TEL.2 (llamante) y el número ***TEL.1 (llamado) los días 2 de noviembre de 2015 a las 18:03:12 y 4 de noviembre de 2015 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 las 09:13:09. B) Que lLos certificados tienen un control de integridad basado en aplicar una función resumen sobre el fichero de audio almacenado, denominados Call_******.flc y Call_*****1.flac, pero no se indica qué función resumen se utiliza. Que se han calculado distintas funciones (MD5, SHA1, SHA256) y no se ha podido encontrar coincidencia con los ficheros aportados, pero ello puede ser debido a que los ficheros aportados en el disco compacto utilizan un formato distinto al original. C) Que en cualquier caso, no es posible asegurar que la grabación aportada sea la custodiada por el servicio de certificación D) En la primera de las grabaciones aportadas, alguien que dice llamar de “ORANGE telefonía móvil”, pregunta por la denunciante y cuando la persona que le atiende, que se identifica posteriormente como “***NOMBRE.1”, le informa de que no está disponible solicita que se le facilite un número en el que pueda localizarla. El interlocutor le indica que puede contactar con ella en ese mismo número pero más tarde, a las nueve o nueve y cuarto. En la primera de las grabaciones aportadas, quien se identifica como ***NOMBRE.2 del “departamento de cobros de ORANGE” pregunta por la denunciante y es informada de que no se encuentra disponible. - A continuación la persona del departamento de cobros requiere a su interlocutor, que se identifica posteriormente como “***NOMBRE.1”, la letra final del DNI de la denunciante para “poderle informar con respecto a las facturas”. Cuando este niega conocer tal dato le pregunta en qué banco abona la denunciante sus facturas y éste nuevamente niega saberlo. - Es en ese momento cuando la persona del departamento de cobros informa a su interlocutor de que la denunciante tiene pendiente de pago una factura de 16 de septiembre por un importe que inicialmente describe como de 141,6 y después como de 107,87 euros y pregunta a su interlocutor si dispone de una tarjeta para abonar esa factura. El interlocutor dice desconocer nada sobre la deuda y se niega a pagarla, momento en el cual se le requiere un teléfono de contacto de la denunciante y nuevamente se indica a la persona del departamento de cobros que puede contactar con ésta en ese mismo número de teléfono pero a las nueve de la noche o, a mediodía, a eso de las dos. E) Que por parte de ORANGE se ha aportado la siguiente documentación: - A 4 de noviembre de 2015 la denunciante mantenía una deuda de 107,87 euros correspondiente a parte de la factura de 16 de septiembre de 2015, cuyo importe total ascendía a 141,63 euros y del que se habían abonado el 1 de octubre de 2015 33,76 euros. - El titular de la línea ***TEL.1 en el momento de los hechos y a fecha del presente informe es B.B.B.. - El titular de la línea ***TEL.2 en el momento de los hechos es TRANSCOM WORLDWIDE SPAIN SLU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 - En el sitio web de TRANSCOM WORLDWIDE SPAIN SLU se informa de que presta servicios de centro de llamadas para distintos clientes, entre los que se encuentra ORANGE. - El 13 de octubre de 2016 ORANGE notifica por correo electrónico a esta Agencia que no les consta registro de que se hayan realizado llamadas con origen en la línea ***TEL.2 y destino en la línea ***TEL.1 en el periodo del 2 al 4 de noviembre de 2015. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
3. a)como: “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
4. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)” En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> En el presente caso ha quedado acreditado que la entidad denunciada reveló a un tercero no titular de los datos información de una deuda que la denunciante mantiene con esa entidad, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. IV A pesar de la no concurrencia de una prueba directa -al no ser posible asegurar de forma indubitada que la grabación de 4/11/2015 aportada sea la custodiada por el servicio de certificación- ha de valorarse la prueba indiciaria que ha sido aportada, en línea con la jurisprudencia que viene siendo mantenida tanto por el Tribunal Constitucional como el Tribunal Supremo que avala la posibilidad de que los hechos imputados se prueben a través de prueba indiciaria o indirecta, sin perjuicio de la cautela con que debe ser utilizada y estableciendo los requisitos indispensables para su eficacia incriminatoria. Así, el Tribunal Constitucional ha señalado, en su Sentencia 202/2000, de 24 de julio, lo siguiente: “Pues bien, según venimos sosteniendo desde la STC 174/1985, a falta de prueba directa de cargo también la prueba indiciaria puede sustentar un pronunciamiento de condena sin menoscabo del derecho a la presunción de inocencia siempre que los hechos constitutivos del delito se establezcan no sobre la base de simples sospechas, rumores o conjeturas, sino a partir de hechos plenamente probados o indicios, mediante un proceso mental razonado y acorde con las reglas del criterio humano que se explicite en la Sentencia condenatoria (STC 157/1998, de 13 de julio; 120/1999, de 28 de junio, por otras). O, de otro modo, cuando -como aquí ocurre- la culpabilidad de la acusada se infiera de prueba indiciaria, «el engarce entre el hecho base y el hecho consecuencia ha de ser "coherente, lógico y racional, entendida la razonabilidad, por supuesto, no como mero mecanismo o automatismo, sino como comprensión razonable de la realidad normalmente vivida y apreciada conforme a los criterios colectivos vigentes". Por su parte, y en la misma línea jurisprudencias se pronuncia el Tribunal Supremo en su Sentencia de 26/10/1998, estableciendo que el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción -de inocencia- debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En el caso que nos ocupa, concurren los requisitos exigidos por el Tribunal Constitucional y el Tribunal Supremo para que la prueba indiciaria pueda ser tenida por válida para enervar la presunción de inocencia alegada por la denunciada, pues de los elementos probatorios existentes en el presente procedimiento cabe colegir que quedan constatadas las llamadas realizadas en nombre de ORANGE desde la línea ***TEL.1 a la línea ***TEL.2, pues así consta en la certificación aportada por la denunciante. También queda acreditado el contenido de las conversaciones pues del análisis de los Certificados emitidos por la entidad acreditada para ello LOGALTY SERVICIOS DE CONFIANZA S.L. -que ha sido acompañado a la denuncia presentada ante esta Agencia- y las grabaciones aportadas se constata que en ambos casos la grabación de 4 de noviembre de 2015 coincide en el tiempo y duración con la certificada, sin que dichos hechos queden debidamente desvirtuados por las alegaciones y el documento aportados por la entidad denunciada. V El artículo 44.3.
5. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. La denunciada ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales del denunciante. VI El artículo 45 de la LOPD, en sus aparatados 1 a 5, establece que: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros . 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En el presente caso, hay que tener en cuenta a la hora de fijar la sanción, como circunstancias agravantes que la entidad denunciada es una gran empresa en su sector que trata un elevado volumen de datos y como atenuantes que se trató de un hecho puntual, que si bien se informó sobre una deuda a un tercero que no era titular de la misma se realizó a la persona que atendió las llamadas, realizadas al teléfono que constaba en el contrato. Teniendo en cuenta los citados criterios de graduación de las sanciones previstos en el artículo 45.4 se impone una sanción en la cuantía de 40.001 euros por la infracción del art 10 de la LOPD. Por lo tanto, de acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: IMPONER a ORANGE ESPAGNE por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
21. d)de la LOPD, una multa de 40.001 € (cuarenta mil un euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 4 de la citada LOPD SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, Aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es