1/8 Expediente Nº: E/00843/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VOYAGE PRIVÉ ESPAÑA, S.L.U., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 25/11/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que ha solicitado en varias ocasiones sin éxito la cancelación de sus datos personales de los ficheros de la empresa VOYAGE PRIVE ESPAÑA, S.L.U., (en lo sucesivo, VOYAGE o la denunciada) y que transcurrido un año de sus peticiones aún se puede acceder a su cuenta de usuario en la empresa y consultar sus datos. Aporta copia de los correos enviados a la entidad durante 2013 con su solicitud y de las respuestas recibidas. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 25 de noviembre de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: “Intenté dar de baja mi suscripción de la web www.voyage-prive.es siguiendo los pasos especificados en las Newsletters que envían: "Acceder a la versión en línea del mensaje. Para darte de baja, Accede a "Mis suscripciones" y modifica tus preferencias." Este apartado "Mis suscripciones" sólo permite darse de baja de las Newsletter, pero no eliminar definitivamente la cuenta de usuario, razón por la cual me puse en contacto vía e-mail, en varias ocasiones, con Atención al Socio de Voyage Privé. Me dijeron que la baja se debía tramitar a través del apartado "Mis suscripciones" de la web (procedimiento que ya había realizado y que no funcionaba) y, tras especificarles que lo que deseaba era que cancelaran todos mis datos, me comunicaron que tomaban nota de la petición pero nunca la llevaron a cabo. Un año después todavía puedo acceder a mi cuenta y consultar mis datos. Recientemente he intentado volver a dar de baja mis datos a través del apartado "Mis suscripciones" y sigue sin funcionar.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Adjunta el histórico de correos del año 2013. HECHOS CONSTATADOS 1. La denunciante aporta copia de un correo electrónico de fecha 13 de octubre de 2013 remitido desde su cuenta .....@gmail.com a la dirección de correo de VOYAGE PRIVÉ ESPAÑA, S.L.U. (.....1@voyageprive.com) comunicando que desde su cuenta solo puede cancelar las suscripciones a las newsletter pero no puede cancelar la cuenta y solicita la cancelación de su cuenta y sus datos personales. Dicho correo es contestado con otro de fecha 14 de octubre de 2013 desde el servicio de atención al socio de Voyage Prive (.....1@voyageprive.com) en el que le informan que toman nota de su petición. La denunciante aporta una impresión de pantalla de la información de su cuenta que acredita el acceso a la misma y que no ha sido cancelada. Afirma que dicho acceso lo ha realizado el día 20 de junio de 2015. 2. En respuesta a la solicitud de información de la Inspección de Datos, tiene entrada en esta Agencia con fecha 12 de agosto de 2015 un escrito en el que el representante de VOYAGE PRIVÉ ESPAÑA, S.L.U. pone de manifiesto lo siguiente: 2.1. a fecha de emisión del escrito, se dispone en los ficheros de Voyage Privé de los datos relativos a A.A.A., titular del correo electrónico .....@gmail.com: correo - Datos de contacto (nombre, apellidos, código postal, dirección de electrónico); - Fecha de alta como cliente (18 de julio de 2013); - Fecha de baja como cliente/usuaria web (25 de junio de 2015); Los datos anteriormente referidos se conservan bloqueados desde la fecha en que se formalizó la baja como usaría web de la Sr. A.A.A.(25 de junio de 2015), identificados y reservados con el fin de impedir Su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, y para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. 2.2. Aportan extracto de las condiciones generales de contratación de Voyage Privé en la que se informa a sus usuarios sobre los tratamientos de datos de carácter personal que se realizan sobre sus datos, así como en relación con las solicitudes de acceso, rectificación, cancelación y oposición al tratamiento de sus datos. En la cláusula 15.1 de dichas condiciones se establece: “De acuerdo a lo establecido en la Ley Orgánica 15/1 999, de 13 de diciembre, de Protección de Datos de carácter Personal (en adelante, “LOPD”) en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, le informamos de que los datos personales que nos facilite a través de la Web o mediante el envío de correos electrónicos, faxes o de cualquier otro soporte, serán incorporados a un fichero automatizado titularidad de Voyage Prive España, S.L. U, con domicilio social en Paseo de Gracia n° 55, 8 planta,1 08007 Barcelona, con la finalidad de poderle prestar y ofrecer nuestros servicios y darles trámite (gestión de reservas y del cobro de los Servicios adquiridos,), así como, enviarle información y publicidad sobre las Ofertas, promociones y recomendaciones de VPE que creamos puedan ser de su interés y de empresas de los sectores del alquiler y venta de vehículos, hotelero, de agencias de viajes, turoperadores, restauración, turístico, deportes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 y ocio, automóviles, casa /jardín, concursos, comida, cocina, deportes, educación / formación, formación online, familia, niños, finanzas, informática, internet, juegos, libros, moda, negocios, noticias, novedades, música, ocio, entretenimiento, tecnología, entretenimiento, regalos, salud, belleza, viajes, inmobiliaria, animales, arte, cine, financiero, asegurador; pudiendo Usted cii cualquier momento oponerse a la recepción de publicidad revocando su consentimiento mediante notificación dirigida a la dirección de correo electrónico: lopd@voyazeprive.com. Usted podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición por medio del envío de una comunicación escrita a la dirección indicada en el párrafo anterior o bien vía e-mail a la dirección de correo electrónico: lopd@voyageprive.com. Asimismo, podrá hacernos llegar cualquier comentario, cuestión o queja relativa a la utilización que VPE haga a sus datos personales mediante email remitido a la mencionada dirección de correo electrónico.” 2.3. Aportan extracto del manual interno de Voyage Privé en los que se describen los procedimientos establecidos por Voyage Privé para atender a las solicitudes de ejercicios de derechos de acceso, rectificación, cancelación y oposición que se reciben. El manual interno fue adoptado por Voyage Privé a partir de 2015.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 16 de la LOPD, “Derecho de rectificación y cancelación”, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. (…)” A su vez, el artículo 17 de la LOPD, además de advertir que no se exigirá contraprestación alguna para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición –ARCO-, por lo que atañe al procedimiento para el ejercicio de estos derechos remite al Reglamento desarrollo de la LOPD, aprobado por el Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Decreto 1720/2007 (en lo sucesivo, RLOPD). El artículo 24 del RLOPD, bajo la rúbrica “Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición” dispone: “1. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro. 2. Deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. 3. El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado. 4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos. 5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente”. (El subrayado es de la AEPD) El artículo 25 del RLOPD del “Procedimiento” establece: “ 1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. (…).” (El subrayado es de la AEPD) III En el presente caso, el examen de los correos electrónicos facilitados por la denunciante confirma que dirigió a la denunciada sendos mensajes el 13/10/2013 y 31/10/201, todos ellos a Atención al socio de VOYAGE, a la dirección .....1@voyageprive.com , cuyo texto evidencia que su petición era la baja de las comunicaciones comerciales (en particular, el envío de las newsletter). En el mail de 13/10/2013 la denunciante dice textualmente: “(…) He accedido al apartado de mis suscripciones en mi cuenta y he visto que ahí sólo puedo darme de baja de las newsletter que recibo. Aparte de no recibir más correos de Voyage Privé me gustaría que se CANCELARA mi cuenta, es decir, que si pusiera mis datos en la web no pudiera entrar. Espero que esta vez me haya explicado bien con el concepto “DAR DE BAJA” y sea posible gestionarlo” (El subrayado es de la AEPD) El servicio de atención al socio de Voyage Privé (.....1@voyageprive.com) respondió el 14/10/2013 informando que tomaba nota de su solicitud. En el correo de 31/10/2013 la denunciante vuelve a insistir en la misma petición y dice: “Pasados 10 días tras la petición formal de baja mi cuenta de Voyage Privé (entiendo “DAR DE BAJA” como la imposibilidad de acceder a la web) he comprobado que ésta no ha sido tramitada. Por tercera vez pido explícitamente que se ELIMINE DEFINITIVAMENTE esta cuenta en un plazo de tiempo no superior a una semana (…)” (El subrayado es de la AEPD). La denunciante no ha aportado ningún correo que acredite que la denunciada recibió ese mensaje electrónico. La denunciante aportó también a la AEPD una impresión de pantalla obtenida el 20/06/2015 que demuestra que en esa fecha sus datos personales aún figuraban asociados a la cuenta de VOYAGE, por lo que no habían sido cancelados de sus ficheros. Paralelamente, hemos de indicar que el documento denominado Condiciones Generales del servicio que ofrece VOYAGE, obtenido a través de http://....voyageprive.es -que han de ser aceptadas expresamente y sin reservas por el usuario que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 accede a esa página-, en su apartado 15, “Datos de carácter personal”, contiene la siguiente leyenda: “Usted podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición por medio del envío de una comunicación escrita a la dirección indicada en el párrafo anterior o bien vía e-mail a la dirección de correo electrónico: lopd@voyageprive.com. Asimismo, podrá hacernos llegar cualquier comentario, cuestión o queja relativa a la utilización que VPE haga de sus datos personales mediante e-mail remitido a la mencionada dirección de correo electrónico” Así pues, el procedimiento articulado por la denunciada para el ejercicio de los derechos ARCO es respetuoso con las previsiones del artículo 24.2 del RLOPD pues concede a los interesados un medio sencillo y gratuito para el ejercicio del derecho de cancelación consistente en el envío de un mensaje electrónico a la dirección lopd@voyageprive.com. o en una carta a la dirección postal Paseo de Gracia nº 55, 8ª, 08007 Barcelona. Las solicitudes de cancelación que la denunciante hizo el 13/10/2013 y 31/10/2013 no se adecuaron al procedimiento que VOYAGE tiene establecido para el ejercicio de este derecho, en cumplimiento del artículo 24.2 del RLOPD, pues los correos electrónicos se remitieron al servicio de Atención al socio (.....1@voyageprive.com) y no a lopd@voyageprive.com. Llegados a este punto es importante subrayar que no se prevé en las Condicione Generales del servicio de VOYAGE, punto 15, “Datos de carácter personal”, que los usuarios –de conformidad con en el artículo 24.4 del RLOPD- puedan ejercitar un derecho ARCO, además de por el medio específicamente destinado a ello, a través de los servicios que pudieran existir para la atención de los usuarios o para el ejercicio de reclamaciones en relación con los servicios que reciben. Precisión importante pues los correos electrónicos que la denunciante dirigió a VOYAGE solicitando la cancelación de sus datos personales (en fechas 13/10/2013 y 31/10/2013) se habían enviado al servicio de Atención al socio (.....1@voyageprive.com) Por otra parte, del artículo 24.5 en relación con el artículo 25.2 del RLOPD resulta que si el interesado no utiliza el procedimiento establecido específicamente para el ejercicio de los derechos ARCO –como aquí ha sucedido-, pero se vale para ello de un medio que le permita acreditar el envío y la recepción de su solicitud y, además, cumple las condiciones del artículo 25.1 del RLOPD, el responsable del fichero estará obligado a atender su petición con una salvedad: que deberá instarle a subsanar la solicitud si ésta no cumple los requisitos del apartado 1 del artículo 25 del RLOPD. IV La documentación que obra en el expediente pone de manifiesto que la denunciante no ejercitó el derecho de cancelación de sus datos personales a través del procedimiento establecido para ello por la denunciada y que remitió a una dirección electrónica que VOYAGE destina a la Atención al socio (.....1@voyageprive.com) su solicitud de cancelación de datos mediante dos mail, de fechas 13/0/2013 y 31/10/2013 sin que tengamos constancia de la recepción de este último por la denunciada. Si bien es cierto que VOYAGE debió haber respondido a la petición de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 cancelación que la denunciante le envió a través del mail de 13/10/2013 instándole a subsanar las deficiencias de que adolecía –omisión de los requisitos descritos en el artículo 25.1 del RLOPD-, también lo es que por el contenido de su respuesta - en la que VOYAGE le informa cómo gestionar la baja de las comunicaciones comercialespudo existir una confusión sobre los términos de la petición formulada. Añadir a lo expuesto que el mecanismo que contempla la LOPD para el caso en que se deniegue total o parcialmente el ejercicio de un derecho ARCO es la Tutela de derechos regulada en el artículo 18 de la Ley Orgánica 15/1999. Ahora bien, es relevante a los efectos que nos ocupan que el derecho de cancelación de los datos de la denunciante haya sido finalmente atendido por la denunciada el 25/062015, como informó la representación legal de VOYAGE PRIVÉ, S.L. a la AEPD en respuesta al requerimiento informativo de la Inspección. En conexión con ello hay que indicar que la LOPD no recoge en los tipos sancionadores descritos en el artículo 44 (apartados 2,3 y 4) como conducta infractora la mera tardanza en atender el ejercicio de un derecho ARCO. De forma que el retraso en responder a la cancelación solicitada, por sí solo, no constituye una infracción de la LOPD. Por tanto, a tenor de las circunstancias que concurren en el asunto que nos ocupa, procecede acordar el archivo de las actuaciones de investigación practicadas. Finalmente, indicar que no obran en el expediente elementos de los que se desprendan indicios de una posible infracción de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) toda vez que la denunciante no ha informado a la AEPD de que hubiera recibido alguna comunicación comercial de VOYAGE con posterioridad al 13/10/2013. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VOYAGE PRIVE ESPAÑA, S.L.U. y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es