A-00102-2015

1/10 Procedimiento Nº: A/00102/2015 RESOLUCIÓN: R/01322/2015 En el procedimiento A/00102/2015, instruido por la Agencia Española de Protección de Datos a la entidad COMPAÑIA OPERADORA DE CORTO Y MEDIO RADIO IBERIA EXPRES S.A. (IBERIA EXPRES), vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 29 de abril de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que indica que al realizar un cambio de vuelo le envían, por correo electrónico, dos billetes que no son suyos. Desconoce si su billete y el de su hijo han sido comunicados a terceros. SEGUNDO: Tras la recepción de la denuncia se efectuaron las comprobaciones siguientes: 1. Los representantes de la entidad realizan las siguientes manifestaciones en relación con la reserva efectuada por la reclamante: 1.1. Doña B.B.B. contrató con la entidad tres billetes de avión, uno para ella misma, otro para un bebé que no ocupaba asiento y un tercero para su hijo. 1.2. Por razones operativas se realizó un cambio involuntario de billetes motivado por un retraso en el vuelo contratado, en conformidad con lo especificado en el Reglamento 261 de Pasajeros; se contactó por correo electrónico con la cliente ofreciéndole la posibilidad de efectuar el cambio sin cargo o el reembolso de los billetes. 1.3. Como consecuencia de este correo electrónico, la afectada se puso en contacto con el departamento de atención al cliente de la compañía y solicitó un cambio en los billetes facilitando para ello uno de los siguientes datos: localizador, tarjeta de crédito con la que se pagaron los billetes o número de éstos. 1.4. Una vez modificados los billetes se genera una nueva numeración para cada uno de los tres. Cuando cada billete está asociado a una plaza del avión, la numeración de cada uno de los billetes de una misma reserva es consecutiva. En este caso concreto, en el que la cliente volaba con un bebé, se generaron dos números consecutivos para los dos billetes que ocupan una plaza y un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 número distinto para el billete que no ocupa plaza (el del bebé). 1.5. Una vez emitidos los nuevos billetes para este cliente, el operador procede a enviarlos utilizando para ello una transacción del sistema denominado Resiber. Hay dos procedimientos para el envío de los billetes a través del correo electrónico que son: Mediante el billete recuperado; en este caso, los datos correspondientes al billete aparecen en pantalla y se ejecuta una transacción que requiere la introducción de la dirección de correo electrónico. Sin el billete recuperado; en este caso, los datos relativos al billete no aparecen en pantalla y se debe ejecutar una transacción en la que hay que facilitar el número de billete y dirección de correo electrónico. En el presente caso, el operador ejecutó la transacción sin el billete recuperado lo que le obligaba a introducir el número de billete. En primer lugar se introdujo el número de billete del bebé que no ocupaba plaza y posteriormente dos números de billete siguientes y consecutivos, lo que ocasionó que le fuera remitido a Doña B.B.B. el billete del bebé y los dos consecutivos en numeración que correspondían a otros dos clientes, ya que sólo son consecutivos en el caso de que el billete esté asociado a una plaza en el avión, lo que no ocurre con los bebés. En ningún caso se enviaron datos de la reserva de Doña B.B.B. y sus hijos a terceros. 1.6. Los representantes de Iberia Express aportan a los Inspectores impresiones de pantalla de las gestiones realizadas con los billetes emitidos a Do B.B.B., (se adjuntan al presente acta de inspección como Doc. 1), en estas impresiones de pantalla consta que: a. En fecha 23/04/2014 fue emitido el billete terminado en 86101 a nombre de E.E.E. en el que consta el código (INF) que corresponde a un bebé que no ocupa plaza. En el histórico no modificable de este billete consta que en fecha 23/04/2014 a las 09:09 fue enviado por correo a la dirección G.G.G. por el operador **** En el histórico no modificable no consta que este número de billete haya sido enviado por correo electrónico a ninguna otra dirección. b. C/ Jorge Juan, 6 28001 – Madrid El billete terminado en 86102 (consecutivo al de nombre de H.H.H.. E.E.E.) fue emitido a www.agpd.es sedeagpd.gob.es 3/10 En el histórico no modificable de este billete consta que en fecha 23/04/2014 a las 09:09 fue enviado por correo a la dirección G.G.G. por el operador **** En el histórico no modificable consta también que este número de billete ha sido enviado por correo electrónico en fecha 01/04/2014 a la dirección D.D.D. que según manifiestan los representantes de la entidad corresponde con la facilitada por este cliente. c. El billete terminado en *****3 (dos números consecutivos al de E.E.E.) fue emitido a nombre de C.C.C.. En el histórico no modificable de este billete consta que en fecha 23/04/2014 a las 09:09 fue enviado por correo a la dirección G.G.G. por el operador **** En el histórico no modificable consta también que este número de billete ha sido enviado por correo electrónico en fecha 01/04/2014 a la dirección A.A.A. que según manifiestan los representantes de la entidad corresponde con la facilitada por este cliente. d. En fecha 23/04/2014 se emitió un nuevo número de billete terminado en 90302 a nombre de B.B.B. En el histórico no modificable de este billete consta que en fecha 23/04/2014 a las 09:43 fue enviado por correo a la dirección G.G.G. por el operador **** En el histórico no modificable no consta que este número de billete haya sido enviado por correo electrónico a ninguna otra dirección. e. En fecha 23/04/2014 se emitió un nuevo número de billete terminado en 90303 (consecutivo al de B.B.B.) a nombre de F.F.F.. En el histórico no modificable de este billete consta que en fecha 23/04/2014 a las 09:44 fue enviado por correo a la dirección G.G.G. por el operador **** En el histórico no modificable no consta que este número de billete haya sido enviado por correo electrónico a ninguna otra dirección. 2. A la vista de esta documentación, los representantes de la entidad manifiestan que el operador, a la hora de enviar los billetes utilizó la transacción sin presentación en pantalla de los datos para enviar los billetes por correo electrónico, por lo que debía introducir en el sistema los números de los billetes. Incumpliendo con el manual de operación, el operador cometió un error al asumir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 que los dos billetes con numeración consecutiva al de E.E.E. (que por ser un bebé no tenía asignada plaza en el avión) correspondían a Doña B.B.B. y F.F.F.. Los números de billete correlativos al de E.E.E. eran los de H.H.H. y C.C.C.. El operador, por error, no verificó antes de enviar el correo que los billetes correspondían a este cliente, tal como exige el manual de operaciones, del que se aporta copia parcial al presente acta de inspección como Doc. 2. En ningún caso se han enviado los billetes a nombre de B.B.B. y F.F.F. a una dirección de correo distinta de G.G.G. facilitada por la cliente a la hora de adquirir sus billetes. Posteriormente, ese mismo día a las 9:44, al contactar con el servicio de atención al cliente se enviaron los billetes de B.B.B. y F.F.F. a la dirección G.G.G.. TERCERO: Con fecha 14 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00102/2015. Dicho acuerdo fue notificado a la denunciante y al denunciado. CUARTO: Con fecha 6 de mayo de 2015, se recibe en esta Agencia escrito del denunciado en el que comunica que el cambio de billetes lo tiene externalizado con la compañía SITEL Ibérica Teleservices, S.A.U. El fallo se produjo por un error humano del operador de SITEL, al cambiar los billetes de avión y haber uno de ellos a nombre de un bebé que no ocupa asiento. Incluyó el número de billete del bebé y generó los dos correlativos siguientes que estaban a nombre de dos personas distintas, enviando el correo a la denunciante. Al tener un contrato de prestación de servicios con SITEL, conforme a lo establecido en el artículo 12 de la LOPD, velan porque sea una compañía que cumple la normativa de protección de datos, como así lo hacen. Forman a sus trabajadores, tiene la certificación de calidad UNE-EN-ISO 9001:2008. Por tanto, entienden que no se puede imputar la infracción a Iberia Express, solicitando el archivo del procedimiento. HECHOS PROBADOS 1. Doña B.B.B., denunció que al realizar un cambio de vuelo le enviaron, por correo electrónico, dos billetes que no eran suyos. 2. Doña B.B.B. contrató con la entidad IBERIA EXPRESS tres billetes de avión, uno para ella misma, otro para un bebé que no ocupaba asiento y un tercero para su hijo. 3. Se realizó un cambio de billetes motivado por un retraso en el vuelo contratado, en conformidad con lo especificado en el Reglamento 261 de Pasajeros; se contactó por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 correo electrónico con la cliente ofreciéndole la posibilidad de efectuar el cambio sin cargo o el reembolso de los billetes. 4. Como consecuencia de este correo electrónico, la afectada se puso en contacto con el departamento de atención al cliente de la compañía (contratado con SITEL) y solicitó un cambio en los billetes facilitando para ello uno de los siguientes datos: localizador, tarjeta de crédito con la que se pagaron los billetes o número de éstos. 5. Una vez emitidos los nuevos billetes para este cliente, el operador procede a enviarlos utilizando para ello una transacción del sistema denominado Resiber. Hay dos procedimientos para el envío de los billetes a través del correo electrónico que son: - Mediante el billete recuperado; en este caso, los datos correspondientes al billete aparecen en pantalla y se ejecuta una transacción que requiere la introducción de la dirección de correo electrónico. - Sin el billete recuperado; en este caso, los datos relativos al billete no aparecen en pantalla y se debe ejecutar una transacción en la que hay que facilitar el número de billete y dirección de correo electrónico. 6. En este caso, el operador ejecutó la transacción sin el billete recuperado lo que le obligaba a introducir el número de billete. En primer lugar, se introdujo el número de billete del bebé que no ocupaba plaza y posteriormente dos números de billete siguientes y consecutivos, lo que ocasionó que le fuera remitido a Doña B.B.B. el billete del bebé y los dos consecutivos en numeración que correspondían a otros dos clientes: H.H.H. y C.C.C., ya que sólo son consecutivos en el caso de que el billete esté asociado a una plaza en el avión, lo que no ocurre con los bebés. 7. Los hechos fueron consecuencia de un error puntual que fue subsanado. Los datos de la denunciante no se han comunicado a ningún tercero. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, el responsable del fichero y el encargado del tratamiento son entidades que trata datos personales de los clientes, y como tal tiene deber de secreto en relación con los datos personales que trata. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
2. d)de la LOPD. En este precepto se establece lo siguiente: “
3. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, consta acreditado que IBERIA EXPRESS, a través del prestador de servicios, remitió la documentación de dos clientes, erróneamente, a la denunciante, que no era su destinatario. Por tanto, se concluye que la conducta imputada podría ajustarse a la tipificación prevista en el 44.3.
4. d)de la LOPD. III De acuerdo con lo expuesto, se iniciaron actuaciones contra la compañía denunciada por la presunta vulneración del deber de secreto recogido en el artículo señalado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Por otra parte, se tuvo en cuenta que IBERIA EXPRESS no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
7. a)y
8. b)del citado artículo 45.6 de la LOPD. IV La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo como se deduce del fundamento de derecho SEXTO: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 “Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
9. c)de la misma Ley.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 En el presente caso, consta que la entidad prestadora del servicio de cambio de billetes de Iberia Express, SITEL, tiene establecidas normas internas para la confidencialidad de la información; si bien no fue suficientemente cauteloso para evitar enviar de forma errónea y puntual la documentación de dos clientes a la denunciante. El apercibimiento se dirigió a la responsable del fichero ya que la denunciante recibió el correo de Iberia Express y en la visita de Inspección se recogió que SITEL prestaba el servicio de Call Center, pero no se especificó que era la entidad responsable de la emisión de los billetes y de su comunicación a un tercero. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la persona denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00102/2015 seguido contra COMPAÑIA OPERADORA DE CORTO Y MEDIO RADIO IBERIA EXPRES S.A. (IBERIA EXPRES), con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 10 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a COMPAÑIA OPERADORA DE CORTO Y MEDIO RADIO IBERIA EXPRES S.A. (IBERIA EXPRES). 3.- NOTIFICAR el presente Acuerdo a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es