AI-00058-2023

(1)of the GDPR. The information must be provided free of charge and without delay, but at the latest within one month, Article 12

(3)sentence 1 of the GDPR. I have therefore noted 07.10.2022 as the deadline.” (traducción no oficial: “Derecho a la información en virtud del artículo 15 del Reglamento General de Protección de Datos (RGPD) Además, le pido que me proporcione información sobre todos los datos almacenados por usted en relación con la reserva anterior. En particular, solicito que me envíe toda la correspondencia, grabaciones de llamadas telefónicas, grabaciones de conversaciones, etc. Puede proporcionar esta información por correo electrónico o por correo postal. Puede proporcionar esta información por correo electrónico o por correo postal. La reclamación se deriva del artículo 15, apartado 1, del RGPD. La información deberá facilitarse de forma gratuita y sin demora, a más tardar en el plazo de un mes, artículo 12, apartado 3, oración 1, del RGPD. Por lo tanto, tomado nota del 7.10.2022 como fecha límite”). - Impresión de un correo electrónico enviado el 18 de enero de 2023 desde ***EMAIL.3 a la parte reclamante con el asunto “In refer to your request number: XXXXXXXX - XXXXXXXXXX” (traducción no oficial: “En referencia a su solicitud número: XXXXXXX -XXXXXXX”), con el siguiente contenido: “Dear Mr./Mrs. A.A.A., In response to your request for data access and pursuant to article 15 of General Data Protection Regulation (GDPR) and to relevant national data protection laws also applicable we are glad to attach hereto a copy corresponding to the identity data provided by you of the personal information existing in the following Iberia data records” (traducción no oficial: “Estimado Sr./Sra. A.A.A.: En respuesta a su solicitud de acceso a los datos y de conformidad con el artículo 15 del Reglamento General de Protección de Datos (RGPD) y a las leyes nacionales de protección de datos pertinentes también aplicables nos complace adjuntar aquí una copia correspondiente a sus datos de identificación facilitados por usted de los datos personales existentes en los registros de datos de Iberia”. A este correo electrónico se adjuntan seis ficheros de tipo PDF. Copia de los datos adjuntados al anterior correo electrónico, que incluyen, entre otra, la siguiente información: Información de un caso de número XXXXXXXXXXXXXX con fecha de apertura el 7 de septiembre de 2022 y fecha de cierre el 3 de enero de 2023, y cuya información de pasajero coincide con el nombre de la parte reclamante, e incluye un listado de acciones realizadas en este caso relacionadas con una denegación de embarque a la parte reclamante y con una reclamación de una OMIC (Oficina Municipal de Información al Consumidor). SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 19 de enero de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) al día siguiente. El traslado de esta reclamación a la AEPD se realizó por la autoridad alemana de protección de datos de Renania del Norte- Westfalia teniendo en cuenta que no se trata de un tratamiento transfronterizo en los términos del artículo 4.23 del RGPD, por lo que solicitó a esta Agencia que tramite el caso al ser la autoridad competente en virtud del artículo 55.1 del RGPD. TERCERO: Con fecha 13 de febrero de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 7 de julio de 2023, se presentaron escritos ante la AEPD en nombre y representación de IBERIA como respuesta a un requerimiento de información, con números de registro de entrada ***REGISTRO.1 y ***REGISTRO.2, en los que se aportaba, entre otra, la siguiente información: 1. Copia de partes de la política de privacidad publicada en el sitio web de IBERIA vigente entre el 22 de julio de 2022 y el 30 de junio de 2023. En esta política de privacidad se indica, como forma de contacto con la oficina de protección de datos, la dirección de correo electrónico “***EMAIL.3”. 2. Indicación, respecto a la solicitud de la parte reclamante, de que “interpuso, inicialmente, una reclamación por medio de la cual solicitaba el reembolso de los gastos incurridos como consecuencia del error reconocido por la Compañía en lo que se refiere a la reserva de su vuelo con número XXXXXX (PNR) y así se desprende del Anexo 1 donde se contempla como, en fecha 7 de septiembre de 2022, A.A.A. remitió su solicitud a las direcciones de correo ***EMAIL.1 y ***EMAIL.2.”... “Por esta razón, desde el primer momento, la reclamación se asoció a un asunto de consumo, desvinculándose de esta petición la gestión respecto del ejercicio del derecho de acceso en materia de protección de datos.” 3. Indicación de que IBERIA proporciona otros canales para el ejercicio de los derechos de protección de datos, y se aporta un extracto de la política de privacidad de IBERIA en el que se indica cómo se pueden ejercer los derechos de protección de datos de la siguiente manera: “Puedes ejercitar, si lo deseas, los derechos de acceso, rectificación y supresión de datos, así como solicitar que se limite el tratamiento de tus datos personales, oponerte al mismo, solicitar la portabilidad de tus datos, así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 no ser objeto de decisiones individuales automatizadas a través de los siguientes medios: - Si eres es un CLIENTE REGISTRADO, puedes ejercer la mayoría de estos derechos a través de tu perfil online en ***URL.1, accediendo a tu área privada. - Si eres MIEMBRO DE IBERIA PLUS, puedes ejercer la mayoría de estos derechos a través de tu perfil online en ***URL.1, accediendo a tu área privada de Iberia Plus en la sección "Mi Perfil/Preferencias". - Asimismo, si eres MIEMBRO DE ON BUSINESS, puedes igualmente ejercer la mayoría de estos derechos a través de tu perfil online en onbusiness.iberia.com, accediendo a tu área privada de empresa. - Para ejercer el resto de tus derechos, o si NO ERES MIEMBRO DE IBERIA PLUS o de ON BUSINESS, o un CLIENTE REGISTRADO, puedes ejercer cada uno de los derechos antes mencionados a través del formulario online de gestión de derechos individuales de nuestra página web accesible a través de Gestión de datos personales.” [esta “Gestión de datos personales” consiste en un enlace a un formulario web, del cual se aporta una impresión de pantalla en la que se observa que se puede solicitar el ejercicio de los diferentes derechos de protección de datos: “Acceso”, “Modificación/Actualización”, “Oposición/limitación del tratamiento”, “Cancelación/supresión” y “Portabilidad”] 4. Impresión de un correo electrónico remitido desde el email de la parte reclamante hacia “***EMAIL.2” y “***EMAIL.4”, fechado el 15 de enero de 2023, que IBERIA indica que es la primera vez que la parte reclamante se dirige a la oficina de protección de datos de IBERIA. 5. Indicación de que se contestó al ejercicio de derecho de acceso de la parte reclamante el día 18 de enero de 2023. En fecha 20 de julio de 2023, esta Agencia realiza una navegación en el sitio web https://www.iberia.com, y se obtiene, entre otra, la siguiente información: 6. Política de privacidad publicada en el sitio web de IBERIA vigente entre el 22 de julio de 2022 y el 30 de junio de 2023. En esta política de privacidad se observan los siguientes canales para contactar con IBERIA: - En la sección “Nuestro compromiso con la privacidad” se indica que “A lo largo de la Política de Privacidad encontrarás una serie de ejemplos específicos de por qué y cómo usamos tus datos personales. Si tienes cualquier duda, por favor ponte en contacto con nosotros escribiendo a nuestra Oficina de Protección de Datos por correo electrónico ***EMAIL.4.” - El contenido de la sección “¿Cuáles son tus derechos cuando nos facilitas tus datos?” es el siguiente: “Puedes ejercitar, si lo deseas, los derechos de acceso, rectificación y supresión de datos, así como solicitar que se limite el tratamiento de tus datos personales, oponerte al mismo, solicitar la portabilidad de tus datos, así como no ser objeto de decisiones individuales automatizadas a través de los siguientes medios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 - Si eres es un CLIENTE REGISTRADO, puedes ejercer la mayoría de estos derechos a través de tu perfil online en www.iberia.com, accediendo a tu área privada. - Si eres MIEMBRO DE IBERIA PLUS, puedes ejercer la mayoría de estos derechos a través de tu perfil online en ***URL.1, accediendo a tu área privada de Iberia Plus en la sección "Mi Perfil/Preferencias". - Asimismo, si eres MIEMBRO DE ON BUSINESS, puedes igualmente ejercer la mayoría de estos derechos a través de tu perfil online en onbusiness.iberia.com, accediendo a tu área privada de empresa. - Para ejercer el resto de tus derechos, o si NO ERES MIEMBRO DE IBERIA PLUS o de ON BUSINESS, o un CLIENTE REGISTRADO, puedes ejercer cada uno de los derechos antes mencionados a través del formulario online de gestión de derechos individuales de nuestra página web accesible a través de Gestión de datos personales. Para poder atender tu solicitud deberás facilitarnos, en todo caso, la información y documentación que se requieren en el mencionado formulario como obligatorias: - Tu nombre completo del solicitante - Documento de identidad - Datos de contacto (al menos, correo electrónico) - Datos objeto de tu solitud. - Cualquier dato que nos ayude a localizar los datos que sean objeto de tu solicitud, como por ejemplo localizador o números de vuelos y fechas. - Una fotocopia de tu documento de identidad o pasaporte, para que podamos verificar tu identidad. - Si presentas la solicitud en nombre de otra persona, será necesario que aportes una autorización firmada por dicha persona junto con su documento de identidad correspondiente.” Se realiza una búsqueda de la sociedad IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA en el servicio Monitoriza de Axesor (***URL.2) el día 21 de julio de 2023, obteniendo que esta sociedad era una empresa de tipo “filial de grupo” y, en el ejercicio 2021, tenía XXXXX empleados y unas ventas de XXXXXXXXX€. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IBERIA realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, correo electrónico, grabaciones de llamadas telefónicas, entre otros tratamientos. IBERIA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Atención del derecho de acceso del interesado en plazo El Artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
3. a)los fines del tratamiento;
4. b)las categorías de datos personales de que se trate;
5. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
6. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
7. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
8. f)el derecho a presentar una reclamación ante una autoridad de control;
9. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
10. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En el presente caso, el 7 de septiembre de 2022 la parte reclamante solicitó el acceso a sus datos personales mediante carta adjunta a un correo electrónico, sin obtener debida respuesta hasta el 18 de enero de 2023. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “(…)3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” Es decir, el plazo legal establecido para dar respuesta a la solicitud de la parte reclamante sobre el acceso a sus datos personales se ha visto ampliamente superado. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a IBERIA, por vulneración del artículo 15 del RGPD. IV Prescripción de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
12. b)los derechos de los interesados a tenor de los artículos 12 a 22;
13. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
14. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
15. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.” No obstante, a efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe al año, conforme al artículo 74 de la LOPDGDD, que califica de leve la siguiente conducta: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679: (…)
16. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
17. k)de esta ley orgánica. (…)” En el presente caso, tal como ha quedado expuesto, la infracción del artículo 15 del RGPD prescribió al año, el día 7 de octubre de 2023, por lo que tal infracción estaría prescrita en la actualidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA. TERCERO: COMUNICAR la decisión a la autoridad de Renania del Norte- Westfalia, ante la que se ha presentado la reclamación, a fin de que se la notifique a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
18. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es