E-02400-2014

1/7 Expediente Nº: E/02400/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BINTER CANARIAS, S.A., en virtud de denuncia presentada por Doña C.C.C., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de marzo de 2014, tuvo entrada en esta Agencia un escrito de Doña C.C.C. en el que declara que compró un billete a BINTER CANARIAS, S.A., para su sobrina menor de edad, que viajaba sola, y le confirmaron la compra con dos correos electrónicos; el primero dirigido solo a ella, y el segundo con toda la información solicitada por un tercero a su dirección de correo. Aporta copia de un correo electrónico dirigido por la denunciante a BINTER CANARIAS, S.A., en el que se queja de la información de su reserva está siendo difundida a terceros sin su consentimiento, ya que ponen en copia una dirección de correo distinta a la que ella ha puesto. En el correo se incluye el mensaje que se dirigió a un tercero, siendo la dirección de correo electrónico a la que se denuncia que se ha enviado el correo I.I.I.. Aparecen los datos del vuelo para “ G.G.G.”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Solicitada información a la denunciante sobre a quién pertenece la dirección de correo I.I.I., y si corresponde a alguien de su familia, indica que lo desconoce, al no aparecer dicha dirección en su historial de correos. Indica que en las llamadas que le realizaron desde BINTER CANARIAS le mencionaron que informaron telefónicamente del viaje y los datos del mismo a una persona que se identificó como familiar directo. 2. Solicitada información a BINTER CANARIAS esta entidad informa de lo siguiente: “Primera.- Se solicita por parte de la AEPD motivo de la remisión del correo electrónico de confirmación de reserva con los datos de la pasajera “ F.F.F.” a la dirección de correo electrónico I.I.I. ......@ I.I.I.. En relación a la remisión a la anteriormente citada dirección de correo, el pasado 03 de diciembre de 2013 a las 20:05 hrs se recibió llamada entrante en el Servicio de Atención Telefónica a pasajeros de BINTER CANARIAS de Don A.A.A., quien previamente identificado en el sistema por la introducción en la marcación de su número de DNI (dato identificativos utilizado para el acceso a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 los beneficios como Titular de la Tarjeta BinterMas), fue atendido por un teleoperador al que solicitó información sobre los datos de la pasajera “ F.F.F.”. A través de consulta en el sistema de información de BINTER CANARIAS, se procedió a verificar que el nombre y apellidos de la pasajera se encontraban incorporados como beneficiarios de la Tarjeta de Fidelización BinterMas de la cual es titular Don A.A.A.. […] Una vez verificados los datos de identidad, así como de la vinculación de los datos identificativos de la pasajera como beneficiaria de la Tarjeta BinterMas de Don A.A.A., se procede por parte de los Servicios de Atención Telefónica a realizar consulta, mediante la introducción del nombre de la pasajera en el Sistema de Información de Reservas AMADEUS (Sistema de Distribución Global - SDG), obteniéndose resultados positivos. En ese momento, se procede a facilitarle telefónicamente los resultados de la búsqueda y al envío, a la dirección de correo en su día facilitada por Don A.A.A. como dirección de contacto, reporte / captura de la información consultada. […] Segunda.- Se solicita por parte de la AEPD información sobre el nombre de la persona a la que pertenece dicha dirección de correo electrónico y parentesco, en su caso, con la pasajera menor de edad que justifique la remisión del correo. La dirección de correo electrónico I.I.I. ......@ I.I.I.. se encuentra dada de alta, como dirección de contacto e identificador, de Don A.A.A. como titular de la Tarjeta BinterMas. Procedemos a aportar como documento Anexo núm.1 al presente escrito captura de la información obrante de sobre Don A.A.A. existente en el Programa de Fidelización BinterMas, en la que se encuentra como dirección de contacto y alta en el sistema la dirección de correo electrónico I.I.I. ......@ I.I.I... Don A.A.A. procedió a solicitar voluntariamente el Alta en el Programa de Fidelización BinterMas el pasado 07 de abril de 2005 a través de folleto, incorporando como beneficiaria de dicho programa a Doña G.G.G.. Dicho Programa de Fidelización ofrece a los usuarios registrados, entre otras, las siguientes ventajas:

1. a)Posibilidad de realizar el check-in a través de teléfono.
2. b)Gozar de atención telefónica preferente.
3. c)Acceder a los datos de reservas del titular y beneficiarios de la Tarjeta BinterMas.
4. d)Tener prioridad en listas de espera.
5. e)Tener prioridad en el handling de equipajes.
6. f)Disfrutar de un mostrador de facturación exclusivo.
7. g)Obtener y utilizar puntos en vuelo y otros productos. En el formulario de Alta / Registro del Programa BinterMas, el solicitante puede en el apartado 5 del mismo, incorporar datos adicionales sobre sus preferencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 así como incorporar hasta 4 beneficiarios que podrán disfrutar de las mismas ventajas que el titular. Los datos que deben ser facilitados para dar de alta a beneficiarios de la Tarjeta son los siguientes: - Nombre - Apellido 1 - Apellido 2 - Tipo de Documento: Lista desplegable con dato de DNI/NIE/Pasaporte/Documento de identidad no español. - Número - Fecha de Nacimiento - Parentesco: lista desplegable con Padre/Madre, Hijo/Hija, Cónyuge/Pareja, Ninguno, Otro. […] Don A.A.A. procedió a establecer como beneficiarios de su Tarjeta BinterMas los datos de G.G.G., habiendo definido su parentesco como hijo/hija. Al establecerse esa condición de parentesco entre Don A.A.A. y G.G.G., actuando BINTER CANARIAS como tercero de buena fe, sin disponer de ninguna información o dato que contradijera dicha situación de parentesco, se facilitó a D. A.A.A. la información que solicitaba. Tercero.- Se solicita por parte de la AEPD copia de la respuesta al ejercicio de derechos solicitado por Doña E.E.E.. En este sentido, BINTER CANARIAS procedió a dar respuesta al ejercicio de derechos realizado a través de correo electrónico por la afectada el pasado 23 de enero 2014, por el mismo medio que fue solicitado. En respuesta a dicho ejercicio de derechos, se facilitó a la interesada la información y verificaciones realizadas por BINTER CANARIAS en relación a la puesta a disposición a Don A.A.A. de la información referente a la reserva y vuelo de G.G.G., facilitándole asimismo justificación legal de la actuación de BINTER CANARIAS como tercero de buena fe conforme a lo dispuesto en el artículo 156 del Código Civil (aprobado por el Real decreto de 24 de julio de 1889).” Aportan captura de la información obrante sobre Don A.A.A.. En las pantallas capturadas se comprueba la existencia de un cliente de nombre A.A.A. con dirección de correo electrónico “ I.I.I.” que tiene declarada una hija de nombre “ D.D.D.”, datos visibles en la pestaña de “Datos Familiares”. Aportan archivo de audio de la grabación de la llamada recibida en los Servicios de Atención Telefónica al Pasajero de BINTER CANARIAS realizada el pasado 03 de diciembre de 2013 por Don A.A.A.. Facilitan también la transcripción que se comprueba que corresponde con la grabación: Operador: Buenas tardes en qué podemos atenderle. Cliente: Sí, buenas tardes, mira yo llamaba porque tengo una menor, que está… que tiene viaje entre Fuerteventura y La Palma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Operador: Si. Cliente: Vía Tenerife y quería confirmar la fecha porque no tengo aquí la referencia. Te doy si quieres el DNI de la… Operador: Sí, el DNI por favor. [Cliente facilita DNI e indica que es G.G.G.]. Operador: Efectivamente, tenemos B.B.B. ¿verdad? Cliente: G.G.G. sí. Operador: G.G.G. efectivamente, tiene el 07 de diciembre señor salida desde Fuerteventura a las 08 y 20 de la mañana. Cliente: Sí. Operador: Llegando a Tenerife Norte a las 09 y 10 y el mismo día sale de Tenerife a las 10 de la mañana llegando a La Palma a las 10:30. Cliente: Efectivamente y luego la vuelta… Operador: El día 09, sale el día 09 de diciembre, salida el 09 de diciembre a las 08:40 de la mañana, llegando a Gran Canaria 09 y media y sale de Gran Canaria a las 10:00 llegando a Fuerteventura 10:40. […] Aportan copia de la respuesta de fecha 23/01/2014 a la solicitud de ejercicio de derechos efectuada por BINTER CANARIAS a E.E.E., denunciante ante esta Agencia, en la que le explican lo siguiente: “Estimada Sra. Dña. E.E.E.: Correspondemos a su email de fecha 03 de diciembre de 2013, con número de referencia 5625/13. En este sentido, le informamos que desde nuestro Servicio de Atención Telefónica al cliente se realizó la comprobación de la identidad del solicitante a través de la acreditación del DNI del mismo en relación con los datos de la pasajera, verificándose que los datos de la menor se encontraban vinculados en la tarjeta BinterMás titularidad del solicitante de la información. La información fue facilitada de conformidad a los principios de actuación de los terceros de buena fe fijados por el artículo 156 del Código Civil (Real Decreto de 24 de julio de 1889) que establecen que —“La patria potestad se ejercerá conjuntamente por ambos progenitores o por uno solo con el consentimiento expreso o tácito del otro. Serán válidos los actos que realice uno de ellos conforme al uso social y a las circunstancias o en situaciones de urgente necesidad; respecto de terceros de buena fe, se presumirá que cada uno de los progenitores actúa en el ejercicio ordinario de la patria potestad con el consentimiento del otro”Por ello, verificada la identidad y acreditada la misma a través de la comprobación tanto del número del documento nacional de identidad y de la verificación de la incorporación de los datos de la menor dentro de la Tarjeta BinterMás titularidad del progenitor, BINTER procedió a facilitar dicha información. Igualmente, desde BINTER queremos informarle que los datos que fueron facilitados al progenitor eran los obrantes en el sistema de reservas AMADEUS, que incorpora los datos de la persona adquirente de los billetes de transporte aéreo y de la persona que es objeto de transporte, dado que la normativa nacional e internacional que regula el contrato de transporte Aéreo (Instrumento de Ratificación del Protocolo del Convenio sobre Aviación Civil Internacional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 hecho en Montreal el 26 de octubre de 1990), el Código de la Asociación Internacional de Transporte Aéreo (IATA). Por otro lado, aprovechamos para comunicarle, que si tiene constancia de que la patria potestad del progenitor al que se le proporcionó la información ha sido revocada judicialmente le rogaríamos que la persona que la ostente nos lo notifique formalmente para poder tomar las acciones oportunas que el marco legal vigente nos permita. En ningún momento ha sido intención de Binter ni de nuestros operadores facilitar información que pudiera afectar a la intimidad personal o familiar tanto de la menor como de Usted, por lo que le manifestamos sinceramente nuestras disculpas por si nuestra actuación de buena fe ha podido provocarle algún tipo de daño o perjuicio. Aprovechamos la ocasión para enviarle un cordial saludo” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
8. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Doña C.C.C. denuncia expresamente una grave quiebra de las medidas de seguridad al haber facilitado los datos de una menor a un tercero. El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el supuesto presente hay que considerar que el envío de la información sobre el vuelo que realizaría G.G.G. se le ha remitido a su padre, titular de su patria potestad (según la información facilitada por Binter), y que además la menor es beneficiaria de la Tarjeta de Fidelización BinterMas junto a su padre. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (copia oculta), en lugar del habitual CC (con copia). En el supuesto denunciado, se trata de información relacionada con el padre, su hija menor y su tía. A este respecto es preciso tener en consideración, no obstante, la Sentencia de 14 de abril de 2008 de la Audiencia Nacional, que resolvió el recurso 379/2006 planteado contra una resolución de esta Agencia. En su Fundamento de Derecho Sexto recoge lo siguiente: <Precisamente el artículo 11.2.
9. c)de la LOPD establece entre sus excepciones a la necesidad del consentimiento para poder facilitar datos a un tercero “que el tratamiento responda a una libre y legítima aceptación de una relación jurídica cuyo desarrollo cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. Ciertamente el denunciante está integrado en la asociación sancionada en cuanto propietario de una parcela sita en la urbanización [...] y en el seno de esa relación asociativa es legítimo facilitar información a los asociados sobre cuestiones de interés común, vinculadas a su actividad [...] Por tanto, la comunicación del nombre y apellidos de quien había presentado la denuncia, que también era asociado, en ámbito limitado de los miembros de la asociación no supone una revelación de secreto que deba ser sancionada al no existir deber de confidencialidad en este caso por estar amparada la comunicación en la relación jurídica asociativa>. En el presente caso existe una relación parental y doméstica entre los destinatarios del correo electrónico, ya que la denunciante y tía de la menor tiene los mismos apellidos que el padre de la menor - que comparte titularidad de la tarjeta de fidelización con su hija - por lo que no se considera que la compañía aérea haya vulnerado el deber de secreto. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BINTER CANARIAS, S.A., y a Doña C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es