A-00118-2016

1/7 Procedimiento Nº: A/00118/2016 RESOLUCIÓN: R/01874/2016 En el procedimiento A/00118/2016, instruido por la Agencia Española de Protección de Datos a la entidad--FRED. OLSEN, S.A--., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, HECHOS PRIMERO. En fecha 14/09/2015 tiene entrada en esta Agencia escrito de Don A.A.A. (el denunciante) por medio del cual pone en conocimiento los siguientes hechos que considera contrarios a la LOPD: “El día DD/MM/AA realicé un pago en la Agencia de Viajes El Corte Inglés por una reserva para el día 12/09/15 de dos personas, más coche en la compañía naviera Fred Olsen Express, para un viaje de una día a Tenerife más dos entradas a Loro Parque, para darle una sorpresa a mi pareja por su cumpleaños. Días más tarde me llama mi pareja diciendo que su padre ha recibido un mail con todos mis datos y los datos del viaje (…). Por tanto quiero denunciar la vulneración de la LOPD por parte de la compañía naviera Fred Olsen Express, y en su caso, la responsabilidad subsidiaria que tenga la Agencia de Viajes El Corte Inglés, que se ha realizado contra mi persona, a la vez que ha constituido una infracción administrativa…ya que me ha originado un trastorno personal porque era una sorpresa que tenía con mi pareja y no tenía por qué haberse enterado de tal situación”. En apoyo de su escrito aporta copia del mensaje reenviado en dónde se acota el remitente – From: no reply@fredolsen.es--. Item, aporta copia de la contestación ofrecida frente a la Queja formulada por el denunciante, en el que la compañía-Fred Olsen S.A—le contesta lo siguiente en fecha 08/09/15: “Efectivamente al realizar la compra de su billete el correo se envió a esa tercera persona puesto que su acompañante tiene esa dirección de correo electrónico asociada a su tarjeta plus. Los datos de la tarjeta plus los rellena el mismo pasajero y fue la pasajera quien asignó dicho e-mail a su tarjeta”. SEGUNDO: Con fecha 3 de marzo de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 procedimiento de apercibimiento A/00118/2016. Dicho acuerdo fue notificado a los denunciantes y a la parte denunciada. TERCERO: Con fecha 21/03/2016 se recibe en esta Agencia escrito del denunciado en el que comunica de manera sucinta lo siguiente en relación con los hechos objeto de denuncia: “Fred Olsen es una empresa naviera que desarrolla distintas líneas marítimas regulares en las Islas Canarias. El día 03/09/2015 se presenta Hoja de reclamaciones por parte del denunciante en nuestra oficina de la terminal de Las Palmas de Gran Canarias. El sistema remitió automáticamente el resumen de compra a otro correo electrónico distinto al facilitado por el cliente y que supuestamente es de una tercera persona familiar del otro pasajero incluido en la reserva. En efecto, desde la cuenta de correo no-replay@fredolsen.es se remite a la cuenta de correo electrónico .......@XXXX.com la confirmación del billete y el resumen de compra en el cual se indica: Trayecto, vehículo y pasajero. Concretamente se le contesta al afectado que “el correo se envió al correo de esa tercera persona (según el reclamante) porque su acompañante-la otra pasajera incluida en la reserva- tenía esa dirección de correo electrónico asociada a la Tarjeta Plus (Tarjeta de Fidelización) y que los datos incluidos en el fichero de la tarjeta plus los facilitaba el propio interesado”. Se adjunta copia del e-mail remitido como documento nº 2. Fred Olsen en cumplimiento del art. 9 LOPD ha establecido las medidas necesarias para garantizar las medidas de índole técnica y organizativas que garanticen la seguridad de los datos detalladas y especificadas en el Documento de seguridad que tiene elaborado para tal efecto. Por otro lado, auditamos nuestros sistemas de información y tratamiento de datos con controles anuales a través de una Consultora independiente, la cual emite un Informe de auditoría con la revisión realizada y en caso de proceder, adopta las medidas correctoras oportunas. El alta de Doña B.B.B. en nuestros registros data del mes de abril del año 2007. No consta en nuestros registros y con anterioridad a la reclamación presentada, actualización alguna de los datos aportados inicialmente por la misma. El e-mail que se remite con asunto “Confirmación de billete” contienen los datos necesarios (y no más) para dar cumplimiento informado por su condición de Residente canario establecido en el art. 10 (Emisión del pasaje marítimo) del RD 1316/2001, 30 de noviembre, por el que se regula la bonificación en las tarifas de servicios regulares de transportes aéreo y marítimo para los residentes de las CCAA de Canarias e Islas Baleares y en las ciudades de Ceuta y Melilla. Hemos procedido a modificar nuestro sistema de compra de billetes, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 especialmente cuando este se realiza a través de la Agencia de Viajes en el siguiente sentido.

1. a)Por un lado, el titular de la compra siempre será la persona que efectivamente la realiza.
2. b)El segundo cambio realizado es que una vez confeccionada la reserva, el sistema solicitará hasta en dos ocasiones a través de avisos emergentes en la pantalla la validación y conformación del nombre, apellidos y correo electrónico de la persona que está realizando la compra, que será a la cual se remite el RESUMEN DE COMPRA con el asunto “Confirmación del billete con los datos de Trayecto, Vehículos y pasajeros.
3. c)Por otro lado, el e-mail remitido como “Confirmación de billete” incluirá la cabecera del siguiente texto (…). Entendemos, por tanto, que no ha habido vulneración del deber de la obligación en cuanto a la calidad del dato, establecida en el art. 4 LOPD, ni del deber de secreto establecida en el art. 10 LOPD, por cuanto el correo electrónico que se envió con los datos personales lo fue a un correo electrónico facilitado con todas las garantías por uno de los pasajeros incluidos en la reserva. Dicho eso si se reconoce que podría haber disfunciones en el sistema de reservas y en el envío automático del resumen de la compra, especialmente por no garantizar que dicho envío se efectúe en el 100% de los casos a quien efectuaba la reserva (…). Con las mejoras y medidas correctoras adoptadas, se garantiza si al 100% que el correo electrónico de confirmación de la reserva cuando hay varios pasajeros se hace (
4. a)al pasajero que efectúa la compra y (
5. b)al correo electrónico que el mismo confirma en el momento de la compra. Por todo lo expuesto, SUPLICO que tenga por presentado este escrito, con sus documentos adjuntos y por formuladas las alegaciones en el expediente de referencia y, tras los trámites oportunos, acuerde por tener adoptadas las medidas correctoras descritas en el cuerpo del mismo y no acordar la apertura de expediente sancionador”. HECHOS PROBADOS Primero. En fecha 14/09/2015 se recibe en esta Agencia escrito del denunciante por medio del cual pone en conocimiento los siguientes hechos: “El día DD/MM/AA realicé un pago en la Agencia de Viajes El Corte Inglés por una reserva para el día 12/09/15 de dos personas, más coche en la compañía naviera Fred Olsen Express, para un viaje de una día a Tenerife más dos entradas a Loro Parque, para darle una sorpresa a mi pareja por su cumpleaños. Días más tarde me llama mi pareja diciendo que su padre ha recibido un mail con todos mis datos y los datos del viaje (…). Por tanto quiero denunciar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 vulneración de la LOPD por parte de la compañía naviera Fred Olsen Express, y en su caso, la responsabilidad subsidiaria que tenga la Agencia de Viajes El Corte Inglés, que se ha realizado contra mi persona, a la vez que ha constituido una infracción administrativa…ya que me ha originado un trastorno personal porque era una sorpresa que tenía con mi pareja y no tenía por qué haberse enterado de tal situación” (folio nº 1). Segundo. La entidad denunciada-Fred Olsen- confirma la remisión de un mail a la cuenta .......@XXXX.com desde la cuenta mail asociada: no-replay@fredolsen.es por lo que confirma los hechos objeto de denuncia. Tercero. Consta acreditado que la remisión a la cuenta mail .......@XXXX.com se produce como consecuencia de tener dicho dato de carácter personal en su sistema informático, al haber sido aportado por la “pareja sentimental” del denunciante como consecuencia de estar registrada como pasajera frecuente titular de la Tarjeta Plus. “…el resumen de la compra se remitió al correo electrónico de Doña B.B.B., ya que era ella la que estaba registrada como pasajera frecuente en el programa de fidelización “Tarjeta Plus”, aun cuando la misma-formando parte de la reserva- no había sido la que la había efectuado”. Cuarto. Se han adoptado por la entidad denunciada-Fred Olsen S.A—medidas tendentes a evitar errores como los que son objeto de denuncia, de manera que “el programa no permitirá seguir con la compra hasta que la persona no registrada facilite en ese momento una dirección de correo electrónico a la que enviarle el resumen de compra”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se procede a examinar la denuncia con fecha de entrada en esta AEPD—14/09/2015—en dónde el epigrafiado pone en conocimiento de la misma los siguientes hechos por si pudieran ser contrarios a la normativa vigente en materia de protección de datos: “El día DD/MM/AA realicé un pago en la Agencia de Viajes El Corte Inglés por una reserva para el día 12/09/15 de dos personas, más coche en la compañía naviera Fred Olsen Express, para un viaje de una día a Tenerife más dos entradas a Loro Parque, para darle una sorpresa a mi pareja por su cumpleaños. Días más tarde me llama mi pareja diciendo que su padre ha recibido un mail con todos mis datos y los datos del viaje (…). Por tanto quiero denunciar la vulneración de la LOPD por parte de la compañía naviera Fred Olsen Express, y en su caso, la responsabilidad subsidiaria que tenga la Agencia de Viajes El Corte Inglés, que se ha realizado contra mi persona, a la vez que ha constituido una infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 administrativa…ya que me ha originado un trastorno personal porque era una sorpresa que tenía con mi pareja y no tenía por qué haberse enterado de tal situación”. Los hechos anteriormente expuestos pueden suponer una presunta vulneración al contenido de los artículos 9 y 10 de la LOPD. Conviene precisar que los hechos quedan acotados desde el punto de vista de la competencia (
7. s)de esta Agencia en la recepción por parte de un tercero (suegro del denunciante) de un mail de “confirmación de reserva” y resumen de compras. La entidad denunciada—Fred Olsen S.A—en escrito de alegaciones de fecha 21/03/2016 reconoce la existencia de una reclamación del afectado de fecha 03/09/2015 por los mismos hechos. “Informarle que una vez llegó su escrito al Dpto. de Atención al Cliente de Líneas Fred Olsen se iniciaron las investigaciones pertinentes al respecto”. “Efectivamente al realizar la compra de su billete, el correo se envió a esa tercera persona puesto que su acompañante tiene esa dirección de correo electrónica asociada en su tarjeta plus. Los datos de la tarjeta plus los rellena el mismo pasajero y fue dicha pasajera quién asignó dicho mail a su tarjeta” (Documento probatorio nº 2). Por la entidad-Fred Olsen S.A—se reconoce expresamente “que pudo haber disfunciones en el sistema de reservas y en el envío automático del resumen de la compra, especialmente por no garantizar que dicho envío se efectuase en un 100% de los casos a quien efectuaba la reserva (…)”. De manera que a tenor del examen de las alegaciones y pruebas aportadas, es un hecho incuestionable que se procede a la remisión de un mail por parte de la entidad denunciada-Fred Olsen S.A- a la cuenta asociada en su sistema informático: .......@XXXX.com. Estos hechos suponen una actuación contraria al contenido del art. 9 LOPD “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” (* la negrita pertenece a la AEPD). Contrariamente a lo manifestado por el denunciante en su escrito “los datos son remitidos a una persona que ni tan siquiera conoce”, el contenido del mail con la confirmación del billete (
8. s)y el resumen de la compra son remitidos al padre de su pareja sentimental, el cual podía haber adoptado igualmente una conducta contraria a la descrita, como la no apertura de un mail cuyo contenido no estaba relacionado con el mismo: remitiéndolo con la constatación del “error” a la entidad denunciada. III De acuerdo con las manifestaciones efectuadas por el responsable del establecimiento denunciado con posterioridad al acuerdo de inicio de este procedimiento administrativo, éste una vez ha tomado conciencia del “error” que se produce en su sistema informático ha desplegado de manera inmediata una serie de medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tendentes a garantizar el cumplimiento del contenido del artículo 9 LOPD, a efectos de evitar situaciones similares a la descrita con potenciales “clientes”. IV Por último, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
11. a)y
12. b)del citado apartado 6. Junto a ello se valoran los siguientes aspectos en la culpabilidad del imputado teniendo en cuenta que el “error” se produce en el sistema informático al introducirse los datos personales de un pasajero (
13. a)registrada anteriormente, que el mismo ha sido puntual, que los datos son enviados a un familiar (padre de la afectada), que se ha procedido a disculparse con el cliente “procediendo a la devolución íntegra del pasaje”, así como que una vez detectado el error se han adoptado una serie de medidas tendentes a evitar situaciones como la denunciada. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno. En este sentido, conviene traer a colación lo señalado por la Sentencia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Audiencia Nacional de 29- 11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como Archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Finalmente, esta Agencia no va a entrar a valorar las cuestiones solicitadas en su escrito que se relacionan con su derecho como consumidor (RDL 1/2007, 16 de noviembre Ley General para la Defensa de consumidores y usuarios), debiendo en su caso plantearlas ante los órganos competentes en la materia. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- Proceder al ARCHIVO del presente procedimiento. 2.- NOTIFICAR el presente Acuerdo a la entidad denunciada --FRED. OLSEN, S.A.--. 3.- NOTIFICAR el presente Acuerdo a la parte denunciante Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es