1/20 Expediente Nº: E/03240/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ELITEBOOK, S.L. y teniendo como base los siguientes HECHOS PRIMERO: En fecha 28 de mayo de 2014 por el Director de la Agencia se acordó la realización de actuaciones de inspección para analizar la adecuación legal de los tratamientos afectados en relación con el fichero ELITEBOOK, creado por una comunidad online formada por establecimientos de hostelería, que recopila y comparte información sobre sus huéspedes. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- El fichero ELITEBOOK figura inscrito en el Registro General de Protección de Datos desde el 7 de octubre de 2013, siendo su responsable la mercantil ELITEBOOK, S.L., con domicilio social en el municipio cántabro de Cabezón de Liébana. Su finalidad se describe así: “Fichero maestro relativo a las valoraciones y consultas que los establecimientos asociados realizan sobre sus huéspedes”. Según se declara, el fichero contiene datos de carácter identificativo (NIF/DNI, nombre y apellidos, número de teléfono) y “detalles y valoración de la estancia”. Como cesionarios de datos se declara a los establecimientos asociados.
- En el sitio web http://elitebook.es el servicio asociado al fichero se presenta así: “EliteBook surge de la necesidad de los propietarios de hostelería de protegernos de los huéspedes conflictivos que todos nos hemos encontrado en nuestros establecimientos y que nos han causado diversos tipos de perjuicios: anulaciones, salidas antes de tiempo, robos, destrozos, críticas destructivas o desmesuradas en medios de Internet, chantajes, ocupación del establecimiento con más personas de las declaradas, etc. Estas incidencias representan un porcentaje bajo de los huéspedes, pero ocasionan considerables molestias. También es tranquilizador saber que el huésped que llegará al establecimiento fue valorado positivamente por otros establecimientos. […] Elitebook es una comunidad online formada exclusivamente por establecimientos de hostelería que recopila y comparte información sobre sus huéspedes. Nuestra base de datos se nutre a través de la información aportada por los establecimientos suscritos a Elitebook. Como comunidad online, formamos una red de cooperación en la que todos nos beneficiamos compartiendo información valiosa y actualizada sobre nuestros huéspedes, tanto si su actitud fue óptima como si fue inadecuada.”
- El servicio se define de la siguiente forma en el documento “Condiciones generales para la adhesión a ELITEBOOK”, accesible a través del sitio web: “Consiste en un repositorio online, accesible a través del nombre de dominio www.elitebook.es, que el Establecimiento puede utilizar para registrar su valoración de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 la estancia del Huésped. Dicha valoración, basada en unos campos de información predeterminados, puede ser consultada por otros Establecimientos adheridos al Servicio ELITEBOOK, a los efectos de tenerla en cuenta a la hora de admitir o no el alojamiento del Huésped en ellos. El Establecimiento también tiene[n] la posibilidad de registrar la existencia de las deudas ciertas, vencidas y exigibles que una Agencia de viajes haya podido contraer con él. De igual modo y con el mismo fin, el Establecimiento puede consultar las valoraciones que otros Establecimientos han realizado sobre un determinado Huésped o Agencia de viajes.”
- En el mismo documento se incluye la siguiente cláusula: “
- Protección de datos de carácter personal 7.
- Introducir los datos de un Huésped en el Servicio ELITEBOOK Para poder introducir los datos de un Huésped en el Servicio ELITEBOOK, el Establecimiento debe haber obtenido su previo consentimiento informado. Para ello, el Establecimiento deberá insertar en el formulario que utilice para recabar los datos personales del Huésped el modelo de aviso legal que ELITEBOOK le indique. Sólo en caso de que el Huésped haya firmado el formulario utilizado por el Establecimiento, sin marcar la casilla que se incluye en el aviso legal antes indicado, el Establecimiento podrá introducir sus datos en el Servicio ELITEBOOK. El Establecimiento deberá conservar dicho formulario mientras trate los datos del Huésped y mientras los mismos permanezcan introducidos en el Servicio ELITEBOOK. La introducción de los datos de un Huésped se efectúa a través de la opción “Gestión de Huéspedes” existente en el Sitio Web. 7.
- Comunicación de datos a ELITEBOOK Cuando el establecimiento graba los datos de un Huésped en el Servicio ELITEBOOK, efectúa una cesión o comunicación de dichos datos a ELITEBOOK, S.L., quien los incorpora a su fichero denominado “ELITEBOOK” debidamente inscrito en el Registro General de la Agencia Española de Protección de Datos. ELITEBOOK mantiene los datos contenidos en dicho fichero bajo la más estricta confidencialidad, aplicando las medidas de seguridad técnicas y organizativas que corresponden de conformidad con el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, “RLOPD”). 7.
- Atención al ejercicio de los derechos de acceso, rectificación, cancelación y oposición Cuando un Huésped ejercite ante el Establecimiento sus derechos de rectificación o cancelación en relación a datos que el Establecimiento haya grabado en el Servicio ELITEBOOK, el Establecimiento deberá proceder a su rectificación o borrado, según corresponda, en el Servicio ELITEBOOK.”
- Sobre el registro de deudas contraídas por Agencias de viajes, la cláusula 8 expone: “El Establecimiento sólo puede introducir deudas que resulten ciertas, vencidas y exigibles en relación a una Agencia de viajes. Corresponde al Establecimiento el poder acreditar en todo momento la existencia y la exactitud de dichas deudas. La introducción de las deudas de una Empresa se efectúa a través de la opción ‘Gestión de Huéspedes’ existente en el Sitio Web.”
- La cláusula 2 del documento “Política de privacidad” se refiere también al ejercicio de los derechos de los usuarios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 “El Usuario puede ejercer sus derechos de acceso, rectificación, cancelación y oposición previstos en la LOPD, mediante una comunicación escrita dirigida a ELITEBOOK, Cahecho, Cabezón de Liébana, Cantabria, España (C.P. 39571); o bien mediante correo electrónico dirigido a info@elitebook.es. En ambos casos el Usuario interesado deberá acompañar una copia de su documento nacional de identidad, pasaporte u otro documento válido que lo identifique.”
- En la sección Cómo funciona del sitio web se expone: “Cualquier establecimiento de hostelería puede ser miembro de esta comunidad suscribiéndose, aceptando las condiciones generales para la adhesión a EliteBook y abonando la tarifa anual que corresponda según el tamaño del establecimiento. Una vez suscrito, el establecimiento deberá incluir un texto de carácter jurídico en su ficha de entrada del viajero. EliteBook le proporcionará o bien el texto para añadir a su ficha de entrada, o bien le facilitará una ficha completa en la que ya se incluya este requisito. El funcionamiento de la web es sencillo y muy funcional: ● Una vez el establecimiento se ha suscrito, puede introducir una valoración de un huésped. ● Esta información queda registrada en la base de datos de EliteBook y puede ser consultada por cualquier establecimiento suscrito al portal. ● Cuando otro establecimiento hace una valoración sobre un mismo huésped, estos datos se añaden a la ficha de dicho huésped, de modo que con un simple clic cualquier establecimiento suscrito puede hacerse una idea del perfil del huésped que ha hecho una reserva.”
- En la sección Preguntas frecuentes del sitio web se aclaran, en particular, las siguientes cuestiones: ¿Quién tiene acceso a la base de datos? Solamente los establecimientos suscritos pueden comprobar si una persona está incluida en la lista. Aceptar al huésped o no es decisión del establecimiento. Elitebook sólo facilita la información que otros establecimientos han aportado sobre ese huésped. ¿Qué tipo de incidentes se pueden notificar? Respecto a la valoración de un huésped: • Por una parte, el establecimiento dará su opinión sobre su grado de satisfacción con dicho huésped y por otra parte, el establecimiento podrá informar sobre incidentes puntuales como “se marchó antes de tiempo”, “causó destrozos” o “pequeños hurtos”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 etc… ¿Puede un establecimiento ver quién ha valorado a un huésped? No. El establecimiento suscrito sólo tiene acceso a una ficha donde figuran la puntuación media y el número de incidencias del huésped, pero nunca quién las ha hecho. ¿Qué información personal sobre el huésped contiene la Base de Datos? La base de datos sólo contiene el nombre y apellidos, NIF y teléfono de los clientes. En ningún caso contiene información personal sobre inclinación política, religiosa, tendencia sexual, nombres de personas que acompañaban al cliente, etc. ¿Puede un establecimiento acceder a la base de datos completa? No. Un establecimiento sólo puede hacer búsquedas por huéspedes concretos, pero no puede obtener un listado completo de todos los huéspedes registrados.
- En fecha 6 de junio de 2014 se realizó una inspección en el domicilio social de ELITEBOOK, S.L., cuyo administrador es asimismo propietario de uno de los establecimientos adheridos al servicio, el ALOJAMIENTO RURAL FUENTE DE SOMAVE, sito en idéntico domicilio. En el momento de realizarse la inspección se habían incorporado al fichero tan solo los datos de cerca de 100 huéspedes del citado alojamiento, si bien estaban adheridos al servicio un total de 10 alojamientos rurales.
- El administrador de la compañía inspeccionada aclaró que el único acceso del que dispone al fichero ELITEBOOK lo tiene como propietario del citado alojamiento, no teniendo capacidad para identificar al establecimiento que hace cada valoración de un huésped. La gestión informática del fichero ha sido encargada a un tercero, con el que se suscribió un contrato de prestación de servicios el 20 de diciembre de
- Durante la inspección se recabó copia de la cláusula que, a través del sitio web http://elitebook.es, se recomienda a los alojamientos adheridos para recabar el consentimiento de los huéspedes previo a la incorporación de sus datos al fichero. Esta cláusula tiene el siguiente literal: “Todos los datos personales del viajero facilitados mediante este impreso se incluirán en los ficheros titularidad de [DENOMINACIÓN SOCIAL DEL ESTABLECIMIENTO] (en adelante, “el Establecimiento”) para las siguientes finalidades: (i) poderle prestar y gestionar los servicios contratados; (ii) cumplir con las obligaciones de registro documental e información previstas en el artículo 12.1 de la Ley Orgánica 1/1992, de 21 de febrero, sobre Protección de la Seguridad Ciudadana, lo que implica comunicar dichos datos a las Fuerzas y Cuerpos de Seguridad del Estado. El viajero consiente que el Establecimiento pueda comunicar a la sociedad Elitebook, S.L. su nombre y apellidos; núm. de documento de identidad; teléfono; indicación de si ha llevado a cabo hurtos, robos o causado destrozos en el Establecimiento; indicación de si ha dejado el Establecimiento en condiciones deplorables; indicación de si se ha comportado de forma ruidosa; indicación de si ha mantenido un trato inadecuado con el personal del Establecimiento; indicación de si ha abandonado el Establecimiento antes de finalizar el tiempo de estancia inicialmente contratado; indicación de si ha traído mascotas al Establecimiento sin avisar previamente; indicación de si se han encontrado en su habitación huéspedes adicionales no autorizados; indicación de si ha publicado una opinión negativa o positiva del Establecimiento en Internet (sólo si el Establecimiento tiene constancia de la misma) y la posible valoración positiva de su estancia realizada por el Establecimiento. Dichos datos se incluirán en el fichero ELITEBOOK titularidad de la sociedad Elitebook, S.L., sita en Cahecho, Cabezón de Liébana, Cantabria, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 España (C.P. 39571) con la finalidad de que el resto de establecimientos hoteleros usuarios de dicho fichero puedan consultarlos y, en su caso, tenerlos en cuenta a la hora de admitir o no la estancia del viajero en ellos. El viajero puede ejercer ante Elitebook, S.L. sus derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito a la dirección postal indicada o bien enviando un correo electrónico a la dirección info@elitebook.es, acompañando en todo caso una copia de su documento nacional de identidad, pasaporte u otro documento válido que le identifique. En caso de no autorizar las comunicaciones de datos expuestas, por favor, marque la siguiente casilla ”.
- Durante la inspección se tuvo acceso a todas las funcionalidades a nivel de usuario que ofrece el sitio web http://elitebook.es, utilizando para ello el identificador de usuario y la contraseña del administrador de ELITEBOOK, S.L. Se verificó que, a través de la opción Gestión de huéspedes, se permite al usuario consultar datos de personas a través de su nombre y apellidos, número de DNI o número de teléfono. Se realizaron distintas consultas utilizando para ello datos recabados de las fichas aportadas por el alojamiento rural inspeccionado y se verificó que la aplicación no permite conocer la identidad del establecimiento que ha realizado las distintas valoraciones incorporadas sobre un mismo huésped. Se accedió asimismo a la opción que permite añadir nuevos huéspedes, verificándose que no es posible añadir datos si previamente no se marca una casilla con la siguiente leyenda: “El huésped ha aceptado ser incluido en este fichero”.
- En fecha 17 de febrero de 2015, por la Inspección de Datos se solicitó al encargado de tratamiento del fichero ELITEBOOK, con domicilio en la provincia de Barcelona, que aportara datos actualizados sobre la actividad del servicio en los últimos meses. De la información facilitada se desprende: • Hasta la fecha se han adherido al fichero 16 establecimientos. • Según los datos contenidos en el fichero en fecha 2 de marzo de 2015, hay un total de 224 valoraciones realizadas por seis establecimientos. El 91% de las valoraciones han sido grabadas por el ALOJAMIENTO RURAL FUENTE DE SOMAVE. • Hasta esa fecha no ha habido ninguna solicitud de cancelación de ninguna valoración presente en el fichero. • Según se indica, no se ha implementado en el sistema ninguna modificación funcional para registrar las consultas efectuadas por los establecimientos usuarios porque se ha hecho una modificación en las condiciones generales de adhesión a Elitebook, en el artículo 6, donde se especifican las normas generales de utilización del servicio de Elitebook, que se muestra en www.elitebook.es/es/condiciones y que dice textualmente: El establecimiento se compromete expresamente a respetar la confidencialidad de los datos de huéspedes ofrecidos por Elitebook. El establecimiento no está autorizado a: I.- Utilizar el contenido del sitio Elitebook, incluida la base de datos a la que el establecimiento tiene acceso, a través de cualquier medio automatizado o manualmente. En concreto está prohibido descargar, mostrar, imprimir, divulgar o difundir bajo ningún concepto, guardar, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 archivar, copiar, reproducir, procesar, traducir, recopilar el contenido o conceder cualquier derecho de uso de los datos u otro, utilizar el contenido, ponerlo a disposición del público, ya sea intencionadamente o no, parcial o totalmente. II.- Publicar un contenido que constituya una violación de toda legislación o reglamento penal u otro en vigor, en especial a lo relativo a la Ley de Protección de Datos y de la vida privada o incitar a cualquiera a infringirla. • Los siguientes datos estadísticos reflejan las valoraciones de los huéspedes que figuran actualmente en el fichero: Valoración media: 4 Valoración negativa
(1): 19 Valoración
(2): 6 Valoración
(3): 11 Valoración
(4): 165 Valoración positiva
(5): 23 Se presentó con huéspedes adicionales: 0 Incidentes con mascotas: 2 Se presentó con mascotas sin avisar: 0 La mascota causó problemas: 0 Dejaron el establecimiento en mal estado: 1 Sin especificar: 1 Trato no adecuado con el personal: 14 Muy exigente, puntilloso: 5 Agresivo verbalmente: 4 Agresivo físicamente: 0 Chantajes: 0 Sin especificar: 5 Se marchó antes de lo contratado: 4 1 día antes: 2 2 días antes: 1 3 días antes, o más: 0 Sin especificar: 1 Puso críticas negativas en internet: 11 Sobre el trato con el personal: 0 Con claro afán de hacer daño: 3 Sobre detalles que se podrían haber solventado hablando con el propietario: 3 Debido a desinformación sobre ubicación, categoría del establecimiento...: 1 Sin especificar: 4 Causó destrozos: 3 Destrozos que requirieron interponer denuncia: 0 Pequeños desperfectos: 0 Sin especificar: 3 Fumó en espacios no permitidos: 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 Causó robos a la propiedad: 3 Robos que requirieron poner denuncia: 0 Pequeños hurtos: 1 Sin especificar: 2 Dejó el establecimiento en condiciones deplorables: 1 Fue ruidoso: 2 En horas diurnas: 1 En horas de descanso: 1 En la madrugada: 0 Sin especificar: 0 TERCERO: Teniendo como referencia el resultado de las actuaciones de inspección llevadas a cabo y en virtud de las competencias que atribuye a la Agencia el artículo 37 de la LOPD y los apartados
- c)y
- d)del artículo 5 del Estatuto de la Agencia Española de Protección de Datos, aprobado mediante Real Decreto 428/1993, de 26 de marzo, en fecha 20 de marzo de 2015 por el Director se acordó requerir a ELITEBOOK, S.L. para que notificara a la Agencia, para su evaluación, las medidas adoptadas para subsanar algunas deficiencias observadas por la Inspección de Datos. CUARTO: En fecha 8 de mayo ha tenido entrada en la Agencia un escrito de ELITEBOOK, S.L. en el que efectúa las alegaciones que se reproducen a continuación. << PRIMERA.- Sobre la información clara y normalizada establecimientos facilitarán a los huéspedes en la recogida de datos. que los Elitebook ha modificado el texto legal que los establecimientos adheridos al servicio Elitebook deben insertar en su ficha de entrada del viajero: El viajero consiente que [denominación social/nombre y apellidos] (en adelante, “el Establecimiento”) pueda comunicar a la sociedad Elitebook, S.L. su nombre y apellidos; núm. de documento de identidad; teléfono; indicación de si se hallaron destrozos o desperfectos en el Establecimiento después de su estancia; indicación de si tras la marcha del viajero faltaban enseres en el Establecimiento; indicación de si tras la marcha del viajero la habitación que ocupaba ha quedado en condiciones deplorables; indicación de si otros huéspedes se han quejado al Establecimiento por el comportamiento ruidoso del viajero; indicación de si se han recibido quejas del personal del Establecimiento por haber recibido un trato inadecuado por parte del viajero; indicación de si el viajero ha abandonado el Establecimiento antes de finalizar el tiempo de estancia inicialmente contratado; indicación de si el viajero ha traído mascotas al Establecimiento sin avisar previamente, o si las mascotas causaron problemas; indicación de si se han encontrado en la habitación del viajero huéspedes adicionales no autorizados; indicación de si el viajero ha publicado una opinión negativa o positiva del Establecimiento en Internet (sólo si el Establecimiento tiene constancia de la misma) y la posible valoración positiva de su estancia realizada por el Establecimiento. Dichos datos se incluirán en el fichero ELITEBOOK titularidad de la sociedad Elitebook, S.L., sita en Cahecho, Cabezón de Liébana, Cantabria, España (C.P. 39571) con la finalidad de que el resto de establecimientos hoteleros usuarios de dicho fichero puedan consultarlos. El viajero puede ejercer ante Elitebook, S.L. sus derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito a la dirección postal indicada o bien enviando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 un correo electrónico a la dirección info@elitebook.es, acompañando en todo caso una copia de su documento nacional de identidad, pasaporte u otro documento válido que le identifique. En caso de no autorizar las comunicaciones de datos expuestas, por favor, marque la siguiente casilla Dicho texto, de mayor precisión, también se ha incluido en el modelo de parte de entrada de viajeros que ELITEBOOK, S.L. pone a disposición de los establecimientos adheridos a su servicio […] en dicho parte de entrada de viajeros se diferencian perfectamente las distintas finalidades de recogida de los datos, estando claro que la inclusión de los datos en el fichero ELITEBOOK no está directamente relacionada con el resto y permitiendo rechazar desde un inicio dicha inclusión mediante el marcado de una casilla. SEGUNDA.- Sobre la base objetiva que fundamentará cada una de las informaciones sobre los huéspedes consignadas por los establecimientos. […] Elitebook hace el criterio de razonabilidad en base a: 1. El hotelero no conoce al cliente y por lo tanto no tiene ninguna animadversión hacia él, sino todo lo contrario, lo valora porque es el que sustenta su actividad profesional. No existe ningún prejuicio que anule la objetividad. Son personas con las que no se mantienen relaciones personales que puedan estar viciadas. Por lo tanto es más fácil ser objetivo cuando consideramos que no han tenido un comportamiento adecuado y así lo manifestamos. 2. Existe una apreciación, que evidentemente es subjetiva, de unos indicios racionales de una determinada actuación por parte del huésped. Un indicio racional es que dentro de los criterios de racionabilidad nos muestra hechos suficientes para considerar que una persona ha podido actuar de una determinada manera. Se hace una manifestación que tiene una relación directa con el hecho real que hemos observado. Ello no destruye la presunción de inocencia. 3. Las relaciones jurídicas se basan en los principios de equilibrio, reciprocidad y de proporcionalidad. Las relaciones jurídicas que no respeten estos principios no son justas. Atenta a estos principios la posibilidad de que un cliente pueda emitir juicios de valor sobre unos profesionales y unas instalaciones y publicarlos en muchas y variadas páginas web, sin que a su vez estos puedan, en el mismo plano de igualdad, y con los mismos criterios de objetividad , manifestar cuál ha sido el comportamiento de sus clientes. ¿Qué criterios de objetividad se exigen a los clientes cuando se le permite emitir juicios de valor que están abiertos al público en las WEB y que pueden dañar gravemente los legítimos intereses económicos de los profesionales y las empresas turísticas? 4. La información facilitada por ELITEBOOK, sin embargo, sólo se facilita a través de la intranet, no está abierta al público. Por lo tanto, las eventuales lesiones al derecho al honor son muy inferiores a las que pueden causar estos clientes a los profesionales. Pasamos por tanto a analizar detalladamente cuales son los argumentos por los que se puede entender que la información tiende a ser objetiva. Las informaciones compartidas por los establecimientos hoteleros a través del fichero común no dejan lugar a dudas: • Indicación de si se hallaron destrozos, desperfectos o si faltaban enseres en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 Establecimiento después de su estancia. Esta información debe hacer referencia a un hecho cierto y fácilmente constatable, como es el estado del Establecimiento tras la marcha del viajero. Asimismo se refiere al hecho fácilmente constatable de que faltaban enseres de mayor o menor valor tras la marcha del viajero. La información hace referencia al estado de la habitación que ocupaba el viajero, o a la ausencia de enseres, no atribuyendo a éste ni a nadie en particular el haber llevado a cabo actos concretos para dejar en mal estado el Establecimiento o para que faltaran enseres. • Indicación de si tras la marcha del viajero la habitación que ocupaba ha quedado en condiciones deplorables; Esta información debe hacer referencia a un hecho cierto y fácilmente constatable, como es el estado de la habitación tras la marcha del viajero. La información hace referencia al estado de la habitación que ocupaba el viajero, no atribuyendo a éste ni a nadie en particular el haber llevado a cabo actos concretos para dejar en mal estado la habitación. • Indicación de si otros huéspedes se han quejado al Establecimiento por el comportamiento ruidoso del viajero; Esta información debe hacer referencia a un hecho cierto y fácilmente constatable, como es la efectiva interposición por un tercero (otro huésped o personal del hotel) de una queja acerca del comportamiento ruidoso del viajero. La información está específicamente referida al viajero contra el que va dirigida la queja. • Indicación de si se han recibido quejas del personal del Establecimiento por haber recibido un trato inadecuado por parte del viajero; Esta información debe hacer referencia a un hecho cierto y fácilmente constatable, como es la efectiva interposición por un tercero (personal del hotel) de una queja por trato inadecuado. La información está específicamente referida al viajero contra el que va dirigida la queja. • Indicación de si el viajero ha abandonado el Establecimiento antes de finalizar el tiempo de estancia inicialmente contratado; Esta información debe hacer referencia a un hecho cierto y fácilmente constatable que resulta de comparar la fecha de salida que consta en la reserva y la fecha en que el viajero ha abandonado efectivamente el hotel. La información está específicamente referida al viajero que no ha respetado la fecha de salida reservada. • Indicación de si el viajero ha traído mascotas al Establecimiento sin avisar previamente, o si la mascota causó problemas; Esta información hace referencia a un hecho cierto y fácilmente constatable que resulta de comprobar que antes de su llegada al hotel el viajero no avisó en ningún momento de que traía mascota, o si durante su estancia la mascota causó problemas o molestias a otros huéspedes. La información está específicamente referida al viajero que ha traído mascota. • Indicación de si se han encontrado en la habitación del viajero huéspedes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 adicionales no declarados; Esta información debe hacer referencia a un hecho cierto y fácilmente constatable que resulta de comparar el número de personas declaradas para ocupar la habitación del viajero y el hallazgo de personas adicionales no declaradas. La información hace referencia al propio hecho del hallazgo de personas adicionales en la habitación que ocupa el viajero, no atribuyendo a éste ni a nadie en particular el haber introducido en la habitación a las personas adicionales. • Indicación de si el viajero ha publicado una opinión negativa o positiva del Establecimiento en Internet (sólo si el Establecimiento tiene constancia de la misma). […] Esta información debe hacer referencia a un hecho cierto y fácilmente constatable, como es la efectiva detección por parte del hotel de una opinión publicada por el viajero en Internet. La información está específicamente referida al viajero que claramente figure como autor de la opinión. • Posible valoración positiva de su estancia realizada por el Establecimiento. Esta información hace referencia a la valoración global que el hotel decida hacer libremente sobre la estancia del viajero y que en todo caso se expresará únicamente mediante la selección del “dibujo de una cara”. La información está específicamente referida al viajero sobre el que se realiza la valoración. En base a todo lo anterior, ELITEBOOK, S.L. considera que ahora todas las informaciones tienen un más que suficiente criterio de razonabilidad y mucha más objetividad que las informaciones de otros portales semejantes al nuestro, que solo por el mero hecho de tener su sede social fuera de España, operan en nuestro país con total libertad, y que suponen para ELITEBOOK, S.L. una competencia desleal […] TERCERA.- Sobre las modificaciones que vayan a implementarse para atender adecuadamente las solicitudes de acceso. ELITEBOOK, S.L. ha implementado en su plataforma un sistema para garantizar la trazabilidad de las consultas que se hayan hecho sobre un huésped en concreto. De este modo, ante el ejercicio del derecho de acceso efectuado por un huésped se le podrá informar de todos los establecimientos que hayan consultado su ficha. […] CUARTA.- Sobre los criterios de tramitación de las solicitudes de cancelación y los mecanismos de bloqueo que, en su caso, se habiliten. A pesar de que no es una obligación legalmente prevista, ELITEBOOK, S.L. se ha auto impuesto un plazo máximo de 10 años de conservación de los datos de los viajeros en el fichero ELITEBOOK, tras el cual serán borrados completamente. En este sentido, se ha incluido la siguiente previsión en el Procedimiento normalizado de actuación ante el ejercicio de los derechos de acceso, rectificación, cancelación y oposición elaborados por ELITEBOOK, S.L.: “Plazo máximo de conservación de los datos sobre huéspedes incluidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 en el fichero ELITEBOOK: Transcurridos 10 años desde la fecha de alta de un huésped en el fichero ELITEBOOK, se procederá al borrado automático y completo de la ficha de dicho huésped. En caso de que con posterioridad un establecimiento vuelva a dar de alta al mismo huésped en el fichero, volverá a iniciarse el referido cómputo de 10 años.” Por otro lado, al recibir una solicitud de cancelación formulada por un huésped dado de alta en el fichero ELITEBOOK, ésta será atendida positivamente y sin condición alguna. En este sentido, se ha incluido la siguiente previsión en el Procedimiento normalizado de actuación ante el ejercicio de los derechos de acceso, rectificación, cancelación y oposición elaborados por ELITEBOOK, S.L.: “2. Estudio de la solicitud y determinación del derecho concreto que se está ejerciendo: […] ‘Cancelación: Derecho del afectado a que se supriman los datos que resulten ser inadecuados o excesivos. Cuando este derecho sea ejercitado por un huésped dado de alta en el fichero ELITEBOOK, se procederá siempre y sin condición a cancelar los datos del mismo incluidos en dicho fichero, borrándolos definitivamente. […] En este caso, la cancelación de los datos del huésped será comunicada a los hoteles que en algún momento hayan consultado su ficha, tal y como se ha previsto en el Procedimiento normalizado de actuación ante el ejercicio de los derechos de acceso, rectificación, cancelación y oposición elaborados por ELITEBOOK, S.L.: IMPORTANTE: Debe tenerse en cuenta que si ELITEBOOK ha cedido en algún momento a un tercero los datos del afectado que ahora se cancelan, tiene la obligación de comunicar la cancelación efectuada a dicho cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a cancelar los datos. Cuando este derecho haya sido ejercitado por un huésped dado de alta en el fichero ELÍTEBOOK. la cancelación de sus datos será comunicada vía correo electrónico a los hoteles que en algún momento hayan consultado su ficha.” QUINTA.- Sobre las funcionalidades que, en su caso, se implementen en el fichero, relacionadas con la gestión de deudas no abonadas por personas físicas. Nunca se ha proyectado implementar este tipo de funcionalidades referidas a personas físicas y, de hecho, no se van a implementar. En cuanto a la funcionalidad relativa a deudas contraídas por una agencia de viajes, no está sujeta a la normativa de protección de datos personales, pero se ha suprimido por no haber llegado a desarrollarse nunca. >> QUINTO: En particular, respecto del riesgo de que las críticas que los clientes realizan en internet pudieran se indebidamente atribuidas a un huésped, ELITEBOOK, S.L. ha detallado el procedimiento por el que los clientes son identificados a través de varios portales de reservas que operan en España, aportando copia de los mensajes que estos portales trasladan a los establecimientos solicitando confirmación de que el viajero ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 sido huésped: << Tripadvisor y Niumba comunican al hotel, después de la salida del viajero, por correo electrónico, si conocen al huésped que va a hacer un comentario sobre su establecimiento. Por lo que la identificación es totalmente cierta. […] Otra captura de pantalla de otro importante portal, AIRBNB, que también envía un correo electrónico al establecimiento y en el que incluso incluye una fotografía del cliente que va a realizar una valoración, y donde al mismo tiempo se invita al hotel a emitir una opinión. […] Otra captura de pantalla de WINDU, otro importante portal de reservas. Este es el correo que recibe el establecimiento a la marcha del viajero, que identifica con el número de la reserva. […] Otra captura de pantalla, esta vez del portal Booking, uno de los más importantes que trabajan en España, y donde se ve lo fácil que es identificar que huésped ha escrito una opinión y lo cierto que es adjudicarle esa opinión. […] Capturas de pantalla de otros portales que trabajan en España, como AIRBNB, WIMDU, Booking, Toprural .. que valoran a sus clientes abierta y subjetivamente, sin ninguna traba legal. Incluso dejando una posibilidad de expresarse libremente con 500 palabras. A nivel práctico de funcionamiento no existe ninguna diferencia con Elitebook, operaran en España como intentamos hacer nosotros, valoran a sus huéspedes como hacemos nosotros, pero su sede social está en otro país y eso les permite libertad de actuación. Supone un agravio comparativo flagrante para Elitebook. […] Si un propietario de una casa rural, sobre el que se han vertido opiniones personales quisiera ejercer sus derechos de acceso, dichos portales no tienen habilitados el procedimiento para informarle sobre que personas han tenido acceso a su información, tal como nos han requerido a nosotros para que hagamos en nuestra web. Sus “condiciones legales” incluso permiten que los datos de las personas que acceden a esos portales puedan ser trasladados a países fuera de la UE En la casuística de Elitebook “puso críticas negativas en Internet” ponemos ahora un asterisco que indica que solo se puede rellenar esta casilla cuando se sabe de manera fehaciente que esa persona es el viajero que ha estado en el establecimiento. >> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 II El Grupo de Autoridades Europeas de Protección de Datos, conocido como GT29, adoptó el 3 de octubre de 2002 un Dictamen en el que se analizaban las implicaciones que sobre la materia presentan las denominadas “listas negras”. En este documento se aborda este concepto como “la recogida y difusión de determinada información relativa a un determinado grupo de personas, elaborada de conformidad con determinados criterios dependiendo del tipo de lista negra en cuestión, que generalmente implica efectos adversos y perjudiciales para las personas incluidas en la misma, que pueden consistir en discriminar a un grupo de personas al excluirlas de la posibilidad del acceso a un determinado servicio o dañar su reputación.” En el documento se concluye: “Es importante determinar mecanismos que definan de forma clara y transparente la tipología de datos personales susceptibles de ser tratados, la finalidad de su tratamiento y las garantías a disposición de los afectados (es decir, establecimiento de sistemas de verificación e instrumentos de control de la información tratada), así como las circunstancias y supuestos en los que se permite dicha inclusión. Ello debería articularse en el marco de los principios de legitimación del tratamiento contenidos en el artículo 7 de la Directiva 95/46/CE. Otro punto fundamental es el relativo a la actualización de la información. Sería de gran importancia tratar de definir parámetros generales que permitan uniformizar plazos de conservación o bloqueo de los datos contenidos en los ficheros. La falta de transparencia en relación con este principio de calidad de datos consagrado en la Directiva puede conducir a una absoluta indefensión del afectado, debido a la inexistencia de mecanismos que a posteriori puedan subsanar el daño causado (es decir, en supuestos de comunicación de datos a terceros sin el conocimiento del afectado). […] Otro aspecto crucial es el derecho que asiste al interesado a ser informado acerca del tratamiento de sus datos personales. Cuando se viola este principio capital, se produce una total indefensión del ciudadano, ya que ni siquiera tiene conocimiento del registro de sus datos personales en una lista negra al no ser él la fuente de los mismos, lo que le impide el ejercicio efectivo de los derechos de acceso, rectificación, cancelación y oposición. Un aspecto tan esencial como una adecuada regulación del procedimiento de notificación al afectado, con inclusión de criterios de información en tiempo y forma, resulta necesario en el ámbito que nos ocupa, así como una clara indicación de las condiciones, en su caso, para que pueda procederse a su comunicación a terceros. Asimismo, puede sugerirse la articulación de mecanismos que incluyan la información que se da al afectado al denegársele un determinado servicio y, en su caso, posibilidades de comprobación y verificación ulteriores por parte del mismo (en el marco de las garantías anteriormente aludidas). De hecho, la Directiva reconoce el derecho del interesado a no verse sometido a una decisión con efectos jurídicos que le afecte de manera significativa y que se base únicamente en un tratamiento automatizado de datos destinados a evaluar aspectos de su personalidad. Puede también valorarse la procedencia de establecer mecanismos que posibiliten la intervención del afectado, así como la posibilidad de que, de forma motivada y ante supuestos litigiosos, pueda solicitar la inclusión en el fichero de la oportuna información que acredite su posición al respecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 Otro punto fundamental de máxima importancia en supuestos de ficheros centralizados, comunes y compartidos, es el del establecimiento y aplicación de las medidas de seguridad técnicas y de organización adecuadas, así como las condiciones de acceso a los mismos, obligaciones que recaen en el responsable del tratamiento.” III El artículo 5 de la LOPD regula el derecho de información en la recogida de datos y establece en su apartado 1: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” El artículo 6, por su parte, prevé: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 12 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, desarrolla los principios generales que rigen la obtención del consentimiento del afectado: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” Sobre la forma de recabar el consentimiento, el artículo 14 del Reglamento prevé: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 El artículo 15 del Reglamento aclara: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Del análisis de la fórmula adoptada por ELITEBOOK, S.L. para que los distintos establecimientos hoteleros recaben el consentimiento de los huéspedes con la finalidad de incorporar sus datos al fichero “ELITEBOOK” se desprende que respeta lo previsto en la normativa de protección de datos. A este respecto, no obstante, convendría que por el responsable del fichero se realizasen controles periódicos para asegurar que los establecimientos adheridos utilizan dicha fórmula en sus formularios. IV El artículo 4 de la LOPD, relativo a la calidad de los datos, establece: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. 4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16. 5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos. 6. Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 7. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.” Del análisis de las medidas correctoras comunicadas a la AEPD por ELITEBOOK, S.L. se desprende lo siguiente: • Las informaciones que los establecimientos hoteleros detallarán de los huéspedes en el fichero “ELITEBOOK” presentan ahora un mayor grado de objetividad, al haberse sustituido los términos “hurtos” y “robos” por expresiones más precisas como “faltaban enseres” o al haberse fundamentado, por ejemplo, la atribución de la condición “ruidoso” a la existencia de quejas de otros huéspedes. Todo ello con el compromiso de objetividad que el responsable del fichero deber exigir a los establecimientos adheridos. A este respecto, no obstante, sería recomendable la realización por parte de ELITEBOOK, S.L. de controles periódicos que aseguren la calidad de las informaciones personales incorporadas al fichero, así como una correcta identificación de los huéspedes de los que se refiere que han publicado críticas en internet. • El responsable del fichero se ha comprometido a mantener los datos de los huéspedes un máximo de 10 años, período tras el cual serán “borrados completamente”. Según lo expuesto, este compromiso se ha plasmado en el documento interno que regula la atención de los derechos ARCO, donde se hace una referencia al “borrado automático y completo de la ficha” de los huéspedes, una vez transcurrido ese período. V El artículo 15 de la LOPD prevé: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrá ejercitarlo antes.” En el artículo 27 del Reglamento se desarrolla este derecho: “1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.” Sobre el otorgamiento del derecho, el artículo 29 precisa: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.” Del análisis de las medidas correctoras adoptadas por ELITEBOOK, S.L. se desprende que la información registrada en el fichero “ELITEBOOK” permite satisfacer las obligaciones que al respecto del derecho de acceso impone la normativa. VI El artículo 16 de la LOPD prevé: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” El Capítulo III del Título III del Reglamento desarrolla los derechos de rectificación y cancelación. Acerca de la revocación del consentimiento otorgado para el tratamiento, el artículo 31 aclara: “1. El derecho de rectificación es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos. 2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente reglamento.” Por su parte, el artículo 34 prevé: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
- c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento.” El apartado 1 del artículo 36 del Reglamento precisa: “Los interesados tienen derecho a no verse sometidos a una decisión con efectos jurídicos sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, crédito, fiabilidad o conducta.” Entre las medidas correctoras adoptadas por ELITEBOOK, S.L. destaca que las solicitudes de cancelación se atienden “positivamente y sin condición alguna”. Según se ha comunicado a la Agencia, en el documento interno que regula la atención de los derechos ARCO se aclara que, ante una solicitud de cancelación de un huésped, “se procederá siempre y sin condición a cancelar los datos del mismo incluidos en dicho fichero, borrándolos definitivamente. En consecuencia, tras ser analizadas las medidas implementadas por el responsable del fichero “ELITEBOOK” se concluye que resultan adecuadas en relación con los requisitos previstos en la normativa de protección de datos, todo ello sin perjuicio del resultado de las actuaciones que pudieran iniciarse por esta Agencia al respecto de eventuales reclamaciones planteadas por los afectados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ELITEBOOK, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es