E-01958-2015

1/5 Expediente Nº: E/01958/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Iberia Líneas Aéreas Españolas, S.A., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de marzo de 2015, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que denuncia que, la entidad IBERIA LINEAS AEREAS ESPAÑOLAS, S.A., por haber remitido a su correo electrónico los datos relativos a nombre y apellidos y dirección de una persona que no conoce de nada (E.E.E.), como contestación a un correo electrónico remitido por él a esa entidad con relación a un problemas con la cancelación de un vuelo. Dicha reclamación se presentó a través de Internet en el canal establecido para ello por la Compañía. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Con fecha 16 de junio de 2015, se realiza visita de inspección en los locales de IBERIA L.A.E., sitos en (C/.......1), de Madrid, poniéndose de manifiesto los siguientes hechos durante la inspección: 1.
2. IBERIA LINEAS AÉREAS ESPAÑOLAS, S.A.U (en adelante IBERIA), cuenta con un fichero inscrito denominado: RECLAMACIONES DE NIVEL ALTO, inscrito en el Registro General de Protección de Datos, con el código: ***CÓD.1, donde son incluidos los datos de las personas que presentan reclamaciones, con la finalidad de Gestión de las mismas. 1.
3. IBERIA, cuenta con una aplicación de gestión de reclamaciones denominada SIEBEL. El funcionamiento de dicha aplicación es el siguiente: 1.2.1.Los clientes pueden remitir reclamaciones por diferentes vías: página web, Fax, Correo postal o a diferentes correos de la entidad correspondientes a otros departamentos. 1.2.2.Si la relación entra a través de la página web, como es el presente caso, la aplicación genera automáticamente una contestación de acuse de recibo que se remite a la misma dirección desde la que se ha enviado la reclamación. 1.2.3.En el caso de que haya que dar contestación al mismo, desde la misma aplicación y a través de la opción “Generación de cartas”, se genera una carta donde aparece el código de reclamación asignado al cliente, en la que existe la posibilidad de que el agente ponga una dirección de correo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 destinatario diferente a la de envío de la reclamación, ya que algunas veces los clientes piden que les sea remitido a otra dirección. 1.
4. En el caso concreto del Sr. B.B.B., se sucedieron los siguientes hechos: 1.3.
5. Con fecha 18/03/2015, presentó una reclamación vía web con relación a la cancelación de un vuelo, desde la dirección A.A.A., generándose el código de expediente: ***EXPTE.
6. 1.3.2.Con esa misma fecha la Sra. D.D.D. presenta una reclamación por la misma vía generándose el código de Expediente: ***EXPTE.2, desde la dirección de correo electrónico: C.C.C.. 1.3.3.Con fecha 19/03/2015, se procede a dar contestación a ambos; no obstante, al remitir contestación a la Sra. D.D.D., el agente comete un error y pone la dirección de correo electrónico del destinatario, correspondiente al Sr. B.B.B.. Sin embargo, el código que figura en dicha contestación, corresponde a la Sra. D.D.D.. 1.3.4.Ese mismo día se le contesta al Sr. B.B.B. a su dirección correcta, con el código de expediente correspondiente a su reclamación: ***EXPTE.
7. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la posibilidad de que sus datos estén circulando por los correos de otras personas como le sucedió al Sr. B.B.B. que recibió una contestación a una reclamación que incluían los datos de otra señora. El artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene, en palabras del Tribunal Constitucional en la citada Sentencia 292/2000, un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. III Un supuesto similar al denunciado, fue revisado por la Audiencia Nacional que estimó el Recurso interpuesto, en Sentencia de fecha 23 de diciembre de 2013 (Recurso C-A 341/2012), indicando lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” Así las cosas, no se aprecia, en este caso, incumplimiento del deber de secreto. No obstante, se recuerda a la entidad denunciada que extreme las precauciones al objeto de evitar conductas como las descritas en su denuncia. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
8. PROCEDER AL ARCHIVO de las presentes actuaciones.
9. NOTIFICAR la presente Resolución a Iberia Líneas Aéreas Españolas, S.A., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es