1/8 Procedimiento E/07274/2020 180-100519 - RESOLUCIÓN DEL RECURSO DE REPOSICIÓN Nº- RR/00540/2020 Examinado el recurso de reposición interpuesto por D. A.A.A., (en adelante, “el recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 02/10/20, en el procedimiento, E/07274/2020, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/03/20, tuvo entrada en esta Agencia escrito presentado por el recurrente, en los que indicaba, entre otras, lo siguiente: “Que un responsable de la entidad escribe un correo con copia a mis compañeros citando dolencias que tengo en relación con mi salud, los datos de mi salud no representan un peligro ni para la empresa ni para mis compañeros, (...), ni tampoco son un peligro para mi actividad profesional (...), por lo que no veo necesario que una persona ajena al servicio de prevención de riesgos laborales tenga que escribir un correo publicando estos datos a mis compañeros. Aunque la empresa puede solicitar pruebas médicas a los empleados hay un procedimiento que cumplir que tiene que ser mediante responsable de prevención de riesgos laborales , la persona que me los solicita no es la adecuada para solicitar estos datos, y mucho menos para ponerlo en conocimiento de mis compañeros, no es la primera vez que se entrega documentación en RRHH y acaba en manos de compañeros jefes que nada tienen que ver con el departamento de recursos humanos o prevención de riesgos laborales”. En el correo electrónico denunciado por el reclamante, dirigido a su dirección de correo con copia a otros 6 destinatarios de la misma empresa (mismo dominio o extensión), se puede leer: “ (…) Hace más de un mes te remití un correo electrónico (leer más abajo) a través del cual te solicitaba que me enviaras un correo electrónico indicándome las dolencias que padeces (…) que te impiden realizar trabajos de campo relacionados con la actividad para el cual se te contrato. La finalidad es solicitar al responsable de prevención de riesgos laborales de nuestra entidad, un reconocimiento médico que acredite los problemas de salud que te impiden subir (…) y realizar los trabajos de campo”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Así, con fecha 01/06/20 y número de referencia E/7274/2020 se dirigió escrito de requerimiento de información a la entidad reclamada, (INSTITUTO TECNOLÓGICO DE ENERGÍAS RENOVABLES, S.A.) TERCERO: Con fecha 09/07/20, tiene entrada en esta Agencia escrito de contestación de la entidad reclamada en la que, entre otras, indica: “Que algunos de los receptores del correo eran previamente conocedores de los datos de carácter personal del denunciante, dado que el interesado los había comunicado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 por ser superiores jerárquicos. Hablamos de 6 destinatarios, 2 superiores jerárquicos del denunciante, 3 personas del departamento de recursos humanos que debido a sus funciones estaban relacionados con el procedimiento en el que se enmarca el correo, y el técnico de prevención de riesgos laborales. Cabe destacar, los señalado por la AEPD en el procedimiento E/02769/2010: “se ha de tener en consideración, que el correo es comprensivo de un limitado número de direcciones, cuatro en concreto, que probablemente alguna de ellas es conocida por otros vecinos, además de que las direcciones se difunden en el ámbito interno de la Comunidad y, en todo caso, que la conducta después del correo de la denunciante oponiéndose no se ha vuelto a producir". Por lo expuesto en el punto anterior, no existe impedimento para que los receptores del correo conocieran la existencia del mismo, no pudiendo derivarse ninguna responsabilidad en el envío de los datos incluido en el correo adjunto por el denunciante. Es importante recalcar que los datos fueron comunicados y puestos en copia a estas personas, debido al procedimiento tan sensible que se estaba llevando a cabo en ese momento, y en medio del cual, toda la comunicación entre las partes del conflicto, eran relevantes para la investigación, y los implicados, por motivo de su cargo, en ella. Por otra parte, es crítico resaltar que son personas autorizadas dentro de la organización, y que en ningún momento los datos fueron accedidos por terceros fuera de ella, ni por terceros fuera del ámbito de los involucrados, directa o indirectamente, en la gestión del procedimiento por presunto acoso que en ese momento estaba en curso. Señalaba la AEPD en el procedimiento E/02769/2010 que, “El deber de secreto profesional … comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto”. Que el denunciante mantiene una posición de conflicto, encargándose no solo de haber divulgado estos y otra serie de datos suyos, asociados al procedimiento a algunos de los receptores, sino a terceros. Aludir a la resolución de la AEPD E/Oll44/2018, en la que se indica: “no se aprecia, en este caso, incumplimiento del deber de secreto, máxime cuando la calificación de minusvalía que se acompañaba a la denuncia era algo que se había hecho público en numerosos medios de comunicación". Nuestra entidad cumple plenamente con todas las exigencias en materia de salud laboral y prevención de riesgos laborales, contando dentro de su plantilla con un técnico de gestión de riesgos, así como, con un servicio de Prevención ajena que garantiza la independencia y confidencialidad del tratamiento de los datos de salud. En casos de la complejidad que reviste este caso —el procedimiento por presunto acoso inició el 03/09/19- las personas receptoras del correo, ya conocedoras del procedimiento participaron de la gestión de la incidencia entre las partes, habiéndose decidido por la empresa que alguno de ellos, hayan mediado ante el mismo. Todo acto u omisión que, por la intención de su autor, por su objeto o por las circunstancias en que se realice sobrepase manifiestamente los límites normales del ejercicio de un derecho, con daño para tercero, dará lugar a la correspondiente indemnización y a la adopción de las medidas judiciales o administrativas que impidan la persistencia en el abuso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 La Audiencia Nacional, en Sentencia 1695/2011 expresa: “La importancia y trascendencia de la normativa de protección de datos y la relevancia de los derechos constitucionales que se encuentran en juego, aconsejan que no se pongan al servicio de rencillas particulares que deben solventarse en ámbitos distintos que deben tener relevancia solo en el ámbito doméstico que le es propio y no un ámbito como el jurisdic cional. La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos. Tal circunstancia no concurre en el caso presente". Señala la sentencia del TS de 20/05/2002 que “De esta forma, para los tribunales de esta jurisdicción, el abuso del derecho o el ejercicio antisocial del mismo que la ley no ampara (art. 7.2 del CC), supone que aun respetando los límites formales con la actuación desarrollada por los que son titulares de los derechos se produce una vulneración de los valores o de la idea axiológica que forma parte del contenido del derecho subjetivo o de la norma cuyo objetivo se trata”. Por tanto, en el presente caso, la denunciante, aún ejercitando los derechos que el ordenamiento jurídico le reconoce y actuando de conformidad con lo señalado en la LOPD, su ejercicio se produce de una forma que resulta finalmente abusiva en relación con los fines pretendidos en el ejercicio de los citados derechos, utilizándose de manera anormal con ausencia de una finalidad o un interés serio y legítimo y un exceso en el ejercicio de su derecho”. Indica la AEPD en resoluciones que “Es pacifico, por lo demás, que el principio general de buena fe no sólo debe guiar la actuación de la Administración con respecto a los administrados, así dispone el art. 3 LRJ—PAC, sino que también ha de presidir el ejercicio de toda clase de derechos por los particulares por imperativo del art. 7 CC.”. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 04/08/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. QUINTO: Con fecha 02/10/20 la Directora de la AEPD dictó resolución de archivo en el expediente E/07274/2020, argumentándolo en los siguientes términos: “la normativa de protección de datos habilita el tratamiento de datos de salud en el ámbito laboral cuando sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento y del afectado, de acuerdo con lo previsto en una disposición legislativa o en el convenio colectivo, con garantías adecuadas del respeto de los derechos fundamentales y de los intereses del afectado. La Ley del Estatuto de los Trabajadores atribuye facultades específicas a la empresa que posibilitan la vigilancia y control del desarrollo de la prestación laboral, particularmente para verificar el cumplimiento por el trabajador de sus obligaciones y deberes. El empresario podrá asimismo verificar el estado de enfermedad o accidente del trabajador que sea alegado por este para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico, estando previsto que la negativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones. Por tanto, la normativa permite expresamente el acceso a datos personales por terceros que, para la prestación de un determinado servicio, regulado en un contrato u otro acto jurídico válido, han recibido el encargo de actuar por cuenta del empleador. En estos supuestos, estas personas tendrán, respecto de los datos de salud que conozcan la consideración de responsables del tratamiento. En todo caso, deberán existir distintos perfiles y facultades de acceso a los datos de salud, que serán plenos para el personal sanitario y limitados para la gerencia, que conocerá tan solo las condiciones de aptitud o no aptitud del trabajador. Es posible que el empleador deba acceder incidentalmente, de modo específico, a otra información personal del trabajador que permita adaptar las condiciones de su puesto de trabajo, debiendo limitarse a los datos estrictamente necesarios”. SEXTO: Con fecha 04/11/20, tiene entrada en esta Agencia, escrito de recurso de reposición del recurrente, en el cual, entre otra, se indica: “Que entendiendo que por parte de la empleadora INSTITUTO TECNOLÓGICO DE ENERGÍAS RENOVABLES S.A. (ITER) se había procedido a revelar datos de carácter personal y sensible del trabajador, en concreto, de su estado de salud y padecimientos, de manera pública vía correo electrónico dirigido a 6 compañeros, contraviniendo así lo dispuesto en el artículo 9 apartado 1 del RGPD. En el caso presente, el trabajador, había comunicado a su superior jerárquico un padecimiento que le impedía la realización de determinadas funciones dentro de su puesto de trabajo, en la confianza de que dichos datos no trascenderían de la relación entre el trabajador y su superior jerárquico, y que servirían de justificación para la evitación de dichas funciones que le resultan incompatibles y perjudiciales para su salud. Entiende este organismo que, tras las averiguaciones pertinentes conforme dispone la normativa de aplicación a estos casos, una vez denunciada la presunta vulneración de derechos de protección a los datos del trabajador, esto es, recabar la información detallada de la empresa presuntamente vulneradora, procede el archivo de las actuaciones, frente a lo cual no puedo más que mostrar mi disconformidad. De las averiguaciones llevadas a cabo, informe redactado por la empresa ITER S.A., se deducen las siguientes alteraciones e irregularidades: Los responsables y encargados del tratamiento de datos, conforme dispone el art. 5 de la LO3/2018, en concordancia con lo dispuesto en el Régimen que se recoge en los arts. 24 y ss del RGPD UE 2016/679, deberán guardar confidencialidad de acuerdo a lo establecido en el art 5.1. letra
- f)del propio RGPD UE 2016/679: “
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Sin embargo, en la resolución que ahora se impugna, se expone el contenido del informe del supervisor de la empresa (principal afectado por ser la persona que envía el correo electrónico con copia a 6 compañeros), y se desprende del mismo que no son más que manifestaciones por cuanto, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 se aporta ningún soporte documental/digital que acredite que las personas a quienes envió el correo electrónico fueran responsables del tratamiento de datos en la empresa, designados con anterioridad, por lo que el valor probatorio no puede tener carácter de “acreditado”. No es cierto que las personas que recibieron el correo fueran todas pertenecientes al departamento de Recursos Humanos, ni mucho menos que estuvieran designadas como autorizadas para el tratamiento de datos de los trabajadores de carácter sensible (salud). Por lo tanto, las personas en copia en el correo, que tuvieron acceso a mi estado de salud, no eran personas autorizadas conforme habilita la LO 3/2018, PDPGDD, en conformidad con el Reglamento UE 2016/679. Y por lo tanto en este sentido debe entenderse que sí se procedió a divulgar mi estado de salud al resto de compañeros que, en cadena y abiertamente trascendieron los mismos, hasta tal punto que mis compañeros no me incluyen en el equipo de la empresa de fútbol por entender que estoy enfermo y limitado para participar en dicha actividad, situación que no es cierta. Tal y como se expone en el párrafo 5º de la página 3/9 de la Resolución recurrida, si bien es cierto que la empresa cuenta con un Servicio de Prevención Ajenos, y que he presentado denuncias por conflicto en el seno del trabajo, no es menos cierto que, nada tiene que ver esta situación con el tratamiento de datos de carácter privado de salud, por cuanto los mismos deben ser llevados a cabo por el médico de medicina de la salud, no por el técnico de prevención de riesgos que, a mayores no estará nunca informado, ni la empresa tampoco, de mis padecimientos sino de la aptitud o no al puesto de trabajo, y en todo caso, del deber de adaptar el puesto para el caso de que no se pueda llevar a cabo como consecuencia de padecimientos de salud que son absolutamente confidenciales, nuevamente de conformidad con lo dispuesto en el art. 9 apartado 1 del Reglamento UE 2016/679, y bajo el protocolo contenido en el art. 22 de la L 3/1995 PRL. Si bien es cierto que en la propia resolución se determina (página 4/9) que la trascendencia del acto de vulneración debe servir de baremo para determinar la cuantía de la indemnización que corresponde a tal vulneración, lo cual nos parece que dado que, habiendo un protocolo de acoso abierto, y una demanda laboral presentada ante el Juzgado de lo Social Nº 6 de Santa Cruz de Tenerife, sobre acoso, es más que claro que como mínimo, debió la empresa proceder de manera sensible en la divulgación de los datos del trabajador, que se suman a una serie de actitudes que han llevado al trabajador al aislamiento laboral, separándolo de sus compañeros, dándole de baja de las conversaciones compartidas en la aplicación de Whatsapp, y otros, que ponen de manifiesto al total ausencia de buena fe contractual a la que se refiere el artículo 7.2 del CC, por lo que la ponderación de la vulneración alegada inicialmente y que fue origen del presente procedimiento debería tenerse en cuenta para graduar la indemnización que en su día pudiera corresponder, así como para determinar los actos de la empresa de mala fe contractual en la emisión del correo masivo con contenido de estado de salud del trabajador. Por lo que, en el caso de incongruencia de manifestaciones de las partes en el proceso, debería de estarse a prueba en soporte documental, que la empresa no aportó. Muestro así mismo, disconformidad con los Fundamentos de Derecho expresados en la Resolución por entender que los mismos implican una infracción del art. 22 del la L C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 3/1995 PRL, y que sirvieron de base para archivar mis pretensiones por cuanto: En el Fundamento de Derecho II se da por ciertas las alegaciones de la empresa que tendrá la carga de demostrar que las personas incluidas en el correo eran autorizadas, y no lo hizo, sin más medio documental que una mera manifestación. Pero es que, es más, no es baladí en este punto reseñar que, si bien es cierto que el art. 9 apartado 2 letra b), del se dispone una alteración del régimen de responsabilidades autorizando el tratamiento de datos a personas de la empresa, cuando sea necesario para el cumplimiento de las obligaciones y el ejercicio de derechos específicos, no es menos cierto que la interpretación que se da en la resolución en su Fundamento II de Derecho, por cuanto: El referido art. 22 aparatado 4 de la L 3/1995 PRL, determina que los datos relativos a la vigilancia de la salud (sobre los que debe prestar consentimiento expreso el trabajador para realizarse) deberán ser usados en exclusiva por personal médico y autoridades sanitarias. Sin embargo, lo anterior, en ningún momento la empresa inició el protocolo de obtención de certificado de aptitud al departamento de vigilancia de la salud, único competente para conocer el estado y datos de salud de los trabajadores, y absolutamente independiente de la parte de prevención de riesgos laborales, en aras de garantizar la confidencialidad del trabajador y los datos relativos a su salud. Pero es que, es más, la empresa nunca llega a conocer datos relativos a padecimientos de los trabajadores, tal y como expone precisamente el referido art. 22 de la LPRL. Esto es, como ya hemos referido anteriormente, sólo podrá conocer la empresa o el técnico de prevención, o la persona responsable del tratamiento de datos, de las “conclusiones sobre la aptitud/ falta de aptitud o necesidad de adaptación”, en ningún caso de los padecimientos, precisamente en aras de evitar situaciones de discriminación. Entiendo por lo expuesto que la empresa procedió a revelar datos de salud que eran confidenciales con el fin de discriminarme, en el seno del proceso de acoso que estoy reclamado ante la Jurisdicción Social, por cuanto no había necesidad alguna de participar a mis compañeros de mis datos de salud, que influyeron en marginarme como he dejado expresado en el cuerpo de este escrito, y que conforme se ha expuesto, no eran personal autorizado por no ser ni médicos, ni autoridad sanitaria alguna, ni haber mostrado yo mi consentimiento expreso para dicha divulgación, todo ello conforme a lo expresado en el art. 22 de la Ley 3/1995 LPRL, en concordancia con el art. 9 apartado 1 de la Ley 3/2018 PDCD, y el art. 9.1 del Reglamento UE 2016/679. Entiendo que la empresa ha procedido a vulnerar la confidencialidad de datos sensibles debiendo reponer el daño ocasionado, que no es otro que contribuir al aislamiento laboral, al vacío de mis compañeros y en definitiva, contribuye al acoso denunciado”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II En el presente caso, se debe tener presente, sobre el tratamiento de los datos relativos a la salud de los trabajadores que, como punto principal de partida, el empresario tiene la obligación de garantizar la seguridad y salud de sus trabajadores, según se establece en los artículos 4.2.
- d)y 19.1 del RDL 2/2015, del Estatuto de los Trabajadores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 (ET). Esta obligación se concreta en una serie de medidas preventivas y de protección, recogidas en la Ley 31/1995, de Prevención de Riesgos Laborales (LPRL). Estas medidas preventivas, como la vigilancia de la salud, la evaluación de los riesgos presentes en los centros de trabajo, en especial en aquellos puestos de trabajo ocupados por trabajadores especialmente sensibles o el cumplimiento de otras obligaciones preventivas como la investigación de los accidentes de trabajo y su comunicación a las autoridades competentes, conllevan el registro y la comunicación de datos relativos a la salud de los trabajadores. Por su parte, el RGPD, establece, en relación con los datos personales relativos a la salud como una categoría especial, (art.4.15), que prohíbe su tratamiento salvo cuando el mismo sea necesario, bien para, fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, entre otras. De este modo, los datos relativos a la salud de los trabajadores pueden recopilarse, almacenarse y consultarse, siempre que su tratamiento esté amparado en una norma con rango de ley y sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, pudiendo la norma que lo autorice, pero también la negociación colectiva, establecer garantías adicionales relativas a la seguridad y confidencialidad de esta categoría de datos personales. En materia de seguridad y salud laboral, la norma que autoriza el tratamiento de datos relativos a la salud de los trabajadores es la citada LPRL. Así lo reconoce la disposición adicional decimoséptima de la LO 3/2018, de 5 diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD), al manifestar que se encuentran amparados en el art.9.2.
- h)del RGPD, los tratamientos de datos relacionados con la salud que estén regulados en la LPRL y sus disposiciones de desarrollo. En relación con el tratamiento de los datos relativos a la salud de sus trabajadores, los sujetos responsables y encargados del tratamiento son distintos en función de la medida preventiva o de protección de la que se deriven dichos datos. En primer término, ha de recordarse que materia de seguridad y salud laboral el sujeto obligado al cumplimiento de las obligaciones contenidas en la LPRL, es el empleador. Sin embargo, la persona encargada de hacerlas efectivas es el técnico en prevención de riesgos laborales, que puede ser el propio empresario, un trabajador designado por éste, un miembro del servicio de prevención propio integrado en la estructura organizativa de la propia empresa u otra persona que trabaje para un servicio de prevención ajeno, contratado por el empresario para cumplir con sus obligaciones preventivas. De la regulación contenida en el RGPD y en la LOPDGDD se desprende que no se requiere el consentimiento del trabajador para recabar, registrar o comunicar los datos relativos a su salud física, cuando tales acciones se lleven a cabo en cumplimiento de las obligaciones preventivas que las normas sobre esta materia imponen al empresario o como consecuencia de las pruebas médicas que se practiquen para verificar el estado de salud del trabajador con ocasión de sus faltas de asistencia al trabajo. También indica la norma que, en su tratamiento se adoptarán todas aquellas medidas de seguridad que impidan su tratamiento no autorizado o ilícito, su pérdida, destrucC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 ción o daño accidental. Así, el responsable deberá adoptar medidas de seguridad como, por ejemplo, entre otras, el registro de acceso o la elaboración de un listado de personas autorizadas para el tratamiento de los datos de salud de los trabajadores dentro de la empresa. No obstante, dentro del grupo de trabajadores autorizados deberá existir distintos perfiles y facultades de acceso a dichos datos de salud, que serán plenos para el personal sanitario y limitados para la gerencia o el departamento de RRHH. Aunque en las alegaciones del recurso de reposición se afirme, por parte del recurrente que: “(…) No es cierto que las personas que recibieron el correo fueran todas pertenecientes al departamento de Recursos Humanos, ni mucho menos que estuvieran designadas como autorizadas para el tratamiento de datos de los trabajadores de carácter sensible (salud)”, no se aporta ningún medio de prueba que corrobore o identifique a las personas no autorizadas para recibir el correo electrónico en cuestión, ni prueba de la existencia de la divulgación de los datos al resto de los compañeros. Por tanto, como en las alegaciones presentada por el recurrente en el escrito de recurso de reposición no se han realizado nuevas aportaciones que pudieran hacer reconsiderar que la cuestión planteada fuera contraria o vulnerase la normativa vigente en materia de protección de datos respecto a la divulgación da datos personales relativos a la saludo a personal no autorizado de la empresa, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia dictada en fecha 02/10/20 y donde se acordó el archivo en el procedimiento nº. E/07274/2020. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos, Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es