E-06406-2012

1/13 Expediente Nº: E/06406/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AEROVIAS DE MEXICO SA DE C.V. (AEROMEXICO), AIR EUROPA LINEAS AEREAS SA, IBERIA LINEAS AEREAS DE ESPAÑA SOCIEDAD ANONIMA OPERADORA en virtud de denuncia presentada por FACUA - CONSUMIDORES EN ACCION y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de septiembre de 2012 se recibió en la Agencia Española de Protección de Datos escrito de la Asociación de Consumidores y usuarios en Acción FACUA en relación a los vuelos con destino a Toronto, Montreal, México DF y La Habana que sobrevuelan el espacio aéreo estadounidense pero sin realizar escalas en su territorio, en el que denuncia a las compañías aéreas AEROVIAS DE MEXICO SA DE C.V. (AEROMEXICO), AIR EUROPA LINEAS AEREAS SA, IBERIA LINEAS AEREAS DE ESPAÑA SOCIEDAD ANONIMA OPERADORA por las siguientes conductas: • La comunicación de datos de los pasajeros de dichos vuelos a las autoridades de Estados Unidos sin el consentimiento de los sujetos. • Incumplir el principio de calidad de datos al ser los datos comunicados no pertinentes y excesivos. • No informar a sus pasajeros de que sus datos serán suministrados a Estados Unidos en el momento de la contratación de dichos vuelos. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los extremos que se detallan a continuación para cada una de las líneas aéreas. AEROVIAS DE MEXICO SA DE C.V. (AEROMEXICO) Respecto del procedimiento de información. 1. AEROMEXICO manifiesta que la información que se suministra a los pasajeros con anterioridad a recabar sus datos personales se encuentra: • En la página web de AEROMEXICO, www.aeromexico.com, en donde se les comunica que por disposición de la Administración para la Seguridad en el Transporte de los Estados Unidos (TSA) se implementa la norma “Secure Flight” para vuelos desde y hacia dicho país. Igualmente se les informa de la obligación de aportar los datos personales solicitados para poder efectuar la reserva del vuelo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 o AEROMEXICO ha aportado copia de la información que aparece reflejada en su web www.aeromexico.com en la que figura: “Aeromexico informa a todos sus Agentes de Viaje que por disposición de la Administración de Seguridad en el Transporte Aéreo de Estados Unidos (TSA por sus siglas en inglés) y efectivo a partir deI 08 de Mayo de 2012, todas las reservaciones que contengan algún segmento de vuelo desde o hacia o que sobrevuele Estados Unidos de América deben incluir de forma obligatoria, la información requerida por la TSA que consiste en: Nombre completo del cliente, tal y como aparece en el pasaporte, Fecha de nacimiento (DD/MM/AA) y Género. o Estos elementos deben ser incluidos antes de finalizar la reservación y emisión del boleto a través de un SSRDOCS para cada uno de los clientes que conforman la reservación, incluyendo infantes. A partir del 08 de Mayo de 2012, todas las reservaciones de vuelos desde o hacia y que sobrevuelen Estados Unidos de América que no reporten la información de Secure Flight serán rechazadas por TSA, negando el ingreso o sobrevuelo a los Estados Unidos de América por no reportar el Secure Flight en su reservación…” • En el CALL CENTER: Se informa a los clientes en el momento de realizar su reserva. • En el Aeropuerto: Se informa a los clientes con carteles en los mostradores de ventas y check in. • A través de las Agencias de Viajes: Se editó un comunicado en fecha 4 de mayo de 2012 que se envió a todas las agencias de viajes españolas. AEROMEXICO ha aportado copia de dicho comunicado que es similar al que figura en la web, incluyendo, además el siguiente texto: “Por lo anterior, les informamos que a partir de la fecha de este comunicado aquellas reservaciones de vuelos de Aeromexico, Aeromexico Connect o en Código Compartido con código AM operados por otras aerolíneas desde o hacia o sobrevolando Estados Unidos de América que no presenten la información de Secure Flight, y que por consecuencia sean rechazadas, Aeromexico tendrá que aplicar los cargos correspondientes para su reinstalación una vez que se ingrese la información requerida. Asimismo, solicitamos su apoyo en revisar todas las reservaciones que no cuenten con el SSRDOCS correspondiente, reservaciones preexistentes que hayan realizado previas a la fecha en que les notificamos la norma de Secure Flight. Favor de contactar a su cliente, solicitar e ingresar la información necesaria en la reservación de vuelos. Los formatos para ingresar el SSRDOCS en las reservaciones varían de acuerdo a su Globalizador. En caso de tener alguna duda o desconocer los formatos para ingresar el SSRDOCS, deberá contactar a la mesa de ayuda de su Globalizador. Recuerda informarle al cliente que es un requerimiento mandatario de la Autoridad Americana de Seguridad TSA y la importancia de incluir sus datos correctamente en su reservación la información que aparece reflejada en su web www.aeromexico.com.” Desde la Inspección de Datos se ha verificado la existencia en la web www.aeromexico.com de información similar a la descrita en el apartado “Reglamentos y Políticas – Nueva norma para vuelos desde y hacia estados Unidos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Respecto del procedimiento de remisión de la información 2. AEROMEXICO manifiesta que desde el pasado 24 de junio de 2010 se incluye dicha información en cada reserva realizada para los vuelos que sobrevuelan los EEUU en un campo denominado SSRDOCS (SECURE FLIGHT), con al menos setenta y dos horas de antelación a la salida del vuelo con la siguiente información de cada cliente: Nombre completo según aparece en el pasaporte, Género y Fecha de nacimiento. Asimismo manifiesta que setenta y dos horas antes de la salida del vuelo, el sistema de reservas SABRE envía de forma automática la información de Secure Flight de cada cliente a la base de datos de TSA (Transportation Security Administration) para que sea validada por ésta. En el caso de que se generen nuevas reservas dentro de esas setenta y dos horas, el sistema SABRE enviará automáticamente la información Secure Flight de la nueva reserva para su validación por TSA. En caso de que la información no esté presente en la reserva a la hora de retirar su tarjeta de embarque para el vuelo, el agente de facturación ingresa la información y ésta es transmitida automáticamente a la base de datos de TSA para su validación. Respecto de las normas legales 3. AEROMEXICO informa, con el siguiente texto, y que se puede consultar accediendo a los enlaces de la web de TSA: www.tsa.gov/secureflight y www.tsa.gov que igualmente figuran indicados en la página informativa de AEROMEXICO: “En cumplimiento con el título 49 US.C. sección 114 de la Reforma de Inteligencia y Prevención de Actos Terroristas de 2004 así como el título 49 C.F.R. partes 1540 y 1560, la Administración de Seguridad del Transporte (TSA por sus siglas en inglés), requiere que proporcione su nombre completo, fecha de nacimiento y género con el propósito de realizar una revisión. Usted podrá proporcionar su número de compensación si lo tiene disponible. Algún error al proporcionar su nombre completo, fecha de nacimiento y género, podría resultar en negarle el transporte o la Autoridad podrá negarle la entrada a la sala de abordaje. La TSA puede compartir la información que usted proporciona con agencias de inteligencia u otras bajo su sistema de aviso. Si requiere más información acerca de las políticas de privacidad de TSA o revisar el sistema de avisos, por favor visite el sitio Web de TSA: www.tsa.gov.” En relación con los vuelos operados con otras compañías 4. AEROMEXICO manifiesta que no tiene vuelos compartidos con otras aerolíneas desde España con destino Canadá, Cuba o México. AIR EUROPA LINEAS AEREAS SA Respecto del procedimiento de información. 5. AIR EUROPA manifiesta que cuando una persona compra un billete aéreo con la compañía, en el momento de recabar sus datos, se le remite a la Política de Privacidad de la Compañía. Durante el proceso de la reserva, en el caso de hacerla con origen o destino a los EEUU, Reino Unido o Cuba, o que se sobrevuele el espacio aéreo de EEUU, se le informa que en éste caso, según las instrucciones de las autoridades de esos países, se está obligado a incluir el nombre y apellidos de los pasajeros, además de incluir la fecha de nacimiento. A este respecto AIR EUROPA ha aportado a esta Agencia, impresiones de pantalla C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 del proceso de reserva en las que figura el siguiente texto: “Está usted haciendo una reserva con origen o destino EE.UU, REINO UNIDO o CUBA. También puede estar haciendo una reserva con un vuelo que sobrevuele el espacio aéreo de EE.UU. Por esta razón y siguiendo instrucciones de las autoridades de esos países está obligado a: incluir el nombre y apellidos de los pasajeros que coincidan exactamente con los que aparezcan en sus respectivos pasaportes. No vale usar ni diminutivos, ni iniciales, ni traducciones si éstas no están de esa manera en el mismo pasaporte, incluir datos extra: fecha de nacimiento”. Respecto del procedimiento de remisión de la información 6. AIR EUROPA manifiesta que los oficiales del Departamento de Seguridad Nacional de los Estados Unidos, pueden acceder a los datos concernientes a los viajeros a bordo (pasajeros, miembros de equipo, y, a veces, miembros del “non crew”) de los vuelos de la compañía AIR EUROPA, que llegan, salen, y sobrevuelan el espacio aéreo de los Estados Unidos. Los mismos, no tienen acceso a las reservas, solo tienen acceso a los datos que la compañía AIR EUROPA les envía vía SITA, de manera codificada. Para esto, existe una Instrucción facilitada a AMADEUS, para que se realice dicha acción. 7. La tipología de los datos concretos a los que se accede, como se especifica en el documento de las Autoridades Americanas “APIS Pre-Departure Final Rule”, se deben enviar completos y cumplimentados antes del cierre de puertas del avión. Estos datos incluyen los siguientes campos: Datos del Vuelo (Número de Vuelo, Fecha y hora de salida, Origen y Destino), Datos de los pasajeros (Número de Documento de Viaje, Apellido, Nombre, Fecha de Nacimiento, Fecha en que expira el documento, Nacionalidad, Sexo, País que emite el documento, País de residencia, Dirección en los Estados Unidos (Número/Calle/Código Postal/Ciudad). Respecto de las normas legales 8. AIR EUROPA manifiesta que para comenzar a operar en vuelos a Estados Unidos y/o sobrevolar su Espacio Aéreo, ha implementado todos los procedimientos de acuerdo a las instrucciones de la Agencia Estatal USA. Las bases que permiten que los Oficiales del Departamento de Seguridad Nacional de los Estados Unidos acceder a los datos de los pasajeros, están reguladas sobre: - Requerimientos que solicitan por parte de las autoridades Americanas (APIS Pre-Departure Final Rule 080307). - Capítulo 2 del Programa Nacional de Seguridad USA. (Extracto del Capítulo 2 apis.-secureflight) - Documento donde se confirma que las medidas en el MSP (Programa de Seguridad), se aplicarán por parte de la compañía AIR EUROPA. (Foreign Air carrier Security programme). - Documento en donde se confirma la lectura y aplicación de las medidas de seguridad USA, por parte de la compañía. (Check list begining Ops to USA.). AIR EUROPA ha aportado a esta Agencia los documentos mencionados. 9. AIR EUROPA manifiesta que en el convenio sobre aviación civil internacional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 realizado en Chicago el 7 de diciembre de 1944, Instrumento de ratificación de 21 de febrero de 1947 (BOE de 24 de febrero de 1947), texto auténtico ratificado por España mediante instrumento de fecha de 18 de marzo de 1969 (BOE de 29 de diciembre de 1969), en sus artículos 1 y 2, “Soberanía y Territorio”, del Capítulo 1. Principios generales y aplicación del Convenio, se establece: “Artículo 1. Soberanía: Los Estados contratantes reconocen que todo Estado tiene soberanía plena y exclusiva en el espacio aéreo situado sobre su territorio. Artículo 2. Territorio: A los fines del presente Convenio se consideran como territorio de un Estado las áreas terrestres y las aguas territoriales adyacentes a ellas que se encuentren bajo la soberanía, dominio, protección o mandato de dicho Estado.” AIR EUROPA ha aportado el Convenio sobre Aviación Civil Internacional hecho en Chicago el 7 de diciembre de 1944. En relación con los vuelos operados con otras compañías 10. AIR EUROPA manifiesta que, con carácter general, cuando un pasajero compra un billete a la Compañía Air Europa, y ese vuelo lo opera otra compañía, ya sea en código compartido, subcharter o wet lease, la información ofrecida a dicho pasajero es exactamente la misma que cuando un vuelo es operado por Air Europa, pero con información adicional de la compañía operadora. En los vuelos con origen o destino a los EEUU, Reino Unido o Cuba, o que se sobrevuele el espacio aéreo de EEUU, actualmente no tienen ninguna ruta operada por otra compañía. IBERIA LINEAS AEREAS DE ESPAÑA SOCIEDAD ANONIMA OPERADORA Respecto del procedimiento de información. 11. IBERIA manifiesta que, dentro del proceso de compra de billetes, se solicita al usuario la aceptación de los términos y condiciones correspondientes al país de navegación en el que esté realizando la compra, condiciones a las que puede acceder en cualquier momento y que deben ser expresamente aceptadas por el pasajero para completar la compra. 12. En el caso de seleccionar un vuelo que sobrevuele el espacio aéreo de los Estados Unidos, por ejemplo con destino a México D.F., se muestra un mensaje destacado en la parte superior de la pantalla en la que se recaban los datos personales durante el proceso de compra con el siguiente texto: Estás reservando un vuelo que sobrevuela el espacio aéreo de EEUU. En cumplimiento de la legislación vigente, deben recabarse y cederse a EEUU ciertos datos de carácter personal. Para más información consulta la política de protección de datos y seguridad de la información 13. La frase subrayada es un enlace que conduce a la política de protección de datos y seguridad de la información de IBERIA, en la que explícitamente se señala: Asimismo le informamos que, en cumplimiento del requerimiento expreso efectuado a todas las compañías aéreas por motivos de control y salvaguarda de la seguridad pública, Iberia estará facultada a comunicar sus datos como pasajero a las Autoridades Gubernamentales de Control de la Seguridad Interna del país de origen, tránsito o destino en cualquier momento antes de su llegada, con dicha finalidad. Estados Unidos exige también esta información para los aviones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 sobrevuelen su espacio aéreo. Esta información también podrá ser facilitada también a otros Estados que, en virtud de lo dispuesto en las leyes o tratados aplicables, exijan la misma para el sobrevuelo de su espacio aéreo. (…) La recolección de ciertos datos personales es indispensable para realizar la Reserva y establecer el Contrato de Transporte. Naturalmente, el Pasajero puede ejercer su derecho de oposición a la recolección y al tratamiento de estos datos, pero se le informa que esto podría provocar la cancelación del viaje o la imposibilidad de acceder a ciertos servicios anexos específicos solicitados (comidas especiales, etc.). Asimismo, cabe recordar que, en conformidad con las leyes y reglamentos aplicables en España y a nivel internacional, el hecho de no comunicar ciertos datos o de comunicar datos inexactos podría conducir a una decisión de denegación de embarque o de entrada a un territorio extranjero, sin que el Transportista pueda ser considerado responsable por este particular. Respecto del procedimiento de remisión de la información 14. IBERIA ha aportado Notificación, de fecha 18 de julio de 2011 informando de la implementación del Programa SF/Overflights en el plazo de 180 días y Guía Técnica Operativa para su implementación (TSA Secure Flight, 18 de julio de 2011). En dichos documentos constam las directrices operacionales y técnicas para los sobrevuelos en el espacio aéreo de EE.UU por compañías aéreas extranjeras. Entre ellos, se exige a las compañías aéreas extranjeras presentar el Secure Flight Passenger Data (SFPD) para los pasajeros 72 horas antes de la salida del vuelo en los vuelos que sobrevuelan pero no aterrizan en el territorio continental de Estados Unidos, cuando ese país es Canadá o México. TSA determinó la lista inicial de pares de aeropuertos. TSA requerirá los siguientes datos: nombre, fecha de nacimiento, sexo, e información de itinerario y del pasaporte, 72 horas antes de la salida programada del vuelo. Las compañías aéreas extranjeras deben remitir a TSA las modificaciones realizadas en cualquiera de los datos de pasajeros o la información de reservas de vuelo en el momento en que la compañía aérea extranjera hace las modificaciones. IBERIA ha aportado documento del cambio 16 del Model Security Program para transportistas extranjeros, de fecha 8 de Febrero de 2012, y con fecha de efectividad 8 de Marzo de 2012. 15. IBERIA sólo se ve afectada en la ruta MAD/MEXIMAD (Madrid/México/Madrid). FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En relación a la base legal para realizar la transferencia internacional de datos API (Advance Passenger Information) por parte de las compañías aéreas a las autoridades fronterizas de terceros países, el artículo 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), en relación a la comunicación de datos a terceros establece: Artículo 11 Comunicación de datos 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. El artículo 11.2, en su apartado
2. a)establece la siguiente excepción: 2. El consentimiento exigido en el apartado anterior no será preciso:
3. a)Cuando la cesión está autorizada en una ley. A su vez, en relación a las transferencias internacionales de datos, el artículo 33 de la LOPD establece en su apartado primero lo siguiente: Artículo 33 Norma General No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas. El artículo 34 de la misma Ley, en su apartado
4. a)establece la siguiente excepción: Artículo 34 Excepciones Lo dispuesto en el artículo anterior no será de aplicación:
5. a)Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España. España suscribió el Convenio sobre Aviación Civil Internacional, denominado Convenio de Chicago, el 7 de diciembre de 1944, cuyo texto en los idiomas español y francés se anexaron al Protocolo sobre el texto autentico trilingüe en Buenos Aires el 24 de septiembre de 1968 y entró en vigor el 24 de octubre de 1968 (Protocolo de Buenos Aires). En virtud del artículo primero del Protocolo de Buenos Aires, el texto del Convenio en los idiomas español y francés adjunto al Protocolo constituye, junto con el texto en el idioma inglés, igualmente auténtico en tres idiomas. En el artículo primero del Convenio de Chicago se establece el principio de soberanía sobre el espacio aéreo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Artículo 1.- Soberanía Los Estados contratantes reconocen que todo Estado tiene soberanía plena y exclusiva en el espacio aéreo situado sobre su territorio. En el artículo 6 se establece el derecho del Estado soberano a conceder la autorización de sobrevuelo a una línea aérea regular siempre de conformidad con las condiciones que establezca dicho Estado para proporcionar el servicio. Artículo 6.- Servicios aéreos regulares Ningún servicio aéreo internacional regular podrá explotarse en el territorio o sobre el territorio de un Estado contratante, excepto con el permiso especial u otra autorización de dicho Estado y de conformidad con las condiciones de dicho permiso o autorización. En el artículo 10 se establece la obligación de que toda aeronave que sobrevuele el territorio de un Estado tenga que aterrizar en un aeropuerto designado por dicho Estado, en función de la reglamentación interna del mismo y con el propósito de que sea inspeccionada. Artículo 10.- Aterrizaje en aeropuertos aduaneros Excepto en el caso en que, de acuerdo con lo dispuesto en el presente Convenio o en una autorización especial, se permita a las aeronaves cruzar el territorio de un Estado contratante sin aterrizar, toda aeronave que penetre en el territorio de un Estado contratante deberá, si los reglamentos de tal Estado así lo requieren, aterrizar en un aeropuerto designado por tal Estado para fines de inspección de aduanas y otras formalidades. Para flexibilizar, entre otros, el requisito establecido en el artículo 10, en el artículo 22 del Convenio de Chicago se establece que es conveniente adoptar todos aquellos procedimientos que faciliten el tránsito y la navegación aérea: Artículo 22.- Simplificación de formalidades Cada Estado contratante conviene en adoptar, mediante la promulgación de reglamentos especiales o de otro modo, todas las medidas posibles para facilitar y acelerar la navegación de las aeronaves entre los territorios de los Estados contratantes y para evitar todo retardo innecesario a las aeronaves, tripulaciones, pasajeros y carga, especialmente en la aplicación de las leyes sobre inmigración, sanidad, aduana y despacho. En relación a las competencias que el artículo 37 otorga a la Organización de Aviación Civil Internacional (OACI): Artículo 37.- Adopción de normas y procedimientos internacionales Cada Estado contratante se compromete a colaborar, a fin de lograr el más alto grado de uniformidad posible en las reglamentaciones, normas, procedimientos y organización relativos a las aeronaves, personal, aerovías y servicios auxiliares, en todas las cuestiones en que tal uniformidad facilite y mejore la navegación aérea. A este fin, la Organización de Aviación Civil Internacional adoptará y enmendará, en su oportunidad, según sea necesario, las normas, métodos recomendados y procedimientos internacionales que traten de: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 … formalidades de aduana e inmigración; …. y de otras cuestiones relacionadas con la seguridad, regularidad y eficiencia de la navegación aérea que en su oportunidad puedan considerarse apropiadas. La OACI estableció en el anexo 9 al Convenio de Chicago, en el apartado 3.47, como método de facilitación de las formalidades anteriormente señalas la transmisión de datos API, de forma anticipada y automática, a las autoridades competentes: 3.47 Método recomendado.— Cuando corresponda, los Estados contratantes deberían introducir un sistema de información anticipada sobre los pasajeros, que suponga la obtención de ciertos datos del pasaporte o del visado antes de la salida, la transmisión de los mismos por medios electrónicos a sus autoridades competentes y el análisis de dichos datos para la gestión de riesgos antes de la llegada a fin de acelerar el despacho. Para reducir al mínimo el tiempo de tramitación durante la presentación, deberían emplearse dispositivos de lectura de documentos para obtener la información contenida en los documentos de viaje de lectura mecánica. 3.47.1 Al especificar la información de identificación sobre los pasajeros que ha de transmitirse, los Estados contratantes sólo exigirán los elementos de los datos que están disponibles en los documentos de viaje de lectura mecánica que se ajustan a las especificaciones contenidas en el Doc 9303 (serie), Documentos de viaje de lectura mecánica. Toda la información exigida se ajustará a las especificaciones para los mensajes UN/EDIFACT PAXLST. III El denunciante estima que se produce un incumplimiento del principio de calidad de datos, ya que la información sobre los pasajeros comunicada a las autoridades estadounidenses no es pertinente y excesiva. En relación a este extremo, el artículo 4.1 de la LOPD establece lo siguiente: Artículo 4 Calidad de los datos 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. De las actuaciones de inspección se desprende que los datos de los pasajeros transferidos por las compañías aéreas son los datos denominados API (Advance Passenger Information). Los datos API consisten en el nombre, género, fecha de nacimiento, nacionalidad, número de pasaporte, fecha de expiración y Estado que ha expedido el pasaporte. Los datos API se recogen del propio pasaporte por la compañía aérea en el proceso de check-in en el aeropuerto (o en el check-in oline en caso de que se realice por Internet) y transmitidos de forma automática a las autoridades fronterizas del Estado solicitante, lo que permite una investigación previa del pasaje antes de realizar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 embarque. Como se ha señalado anteriormente, estos datos se encuentran registrados en el propio pasaporte. En el pasaporte aparecen los mismos datos que formarán el registro API en dos formatos: en texto y grabado electrónicamente para facilitar su lectura automática. Más aún, hay que tener en cuenta que en el pasaporte se puede incluir información biométrica adicional, información que en ningún caso se recoge en los datos API transmitidos. A la hora de realizar los controles de entrada/salida esos datos serán reclamados y recogidos por las autoridades fronterizas competentes directamente del pasaporte, que en función de la información recogida en ellos, incluyendo la información biométrica, podrán ejecutar las políticas de aduanas y frontera en el Estado soberano. El hecho de permitir el tratamiento automático de los mismos, y su análisis previo, es una de las facilidades que se estableció OACI en el anexo 9 al Convenio de Chicago, en el apartado 3.47 anteriormente citado. IV En el presente caso también se denuncia la falta del derecho de información en relación a la transferencia de datos a las autoridades norteamericanas. El artículo 5 de la LOPD exige el deber de informar a los afectados de los que se recaban datos como un requisito previo a su tratamiento para que conozcan lo que supone proporcionar los mismos y conozcan los fines y destinos de los mismos como un medio también de controlar y disponer de sus propios datos. Este derecho de información es objeto de protección por sí mismo. En particular, el artículo 5.1 apartado
6. a)de la LOPD establece lo siguiente: Derecho de información en la recogida de datos -1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. En el caso de la línea aérea AEROVIAS DE MEXICO SA DE C.V. (AEROMEXICO), se informa a los clientes de los vuelos que cruzan el espacio aéreo de los Estados Unidos sobre la transmisión de los datos API a las autoridades estadounidenses por los siguientes medios: • En la página web de Aeroméxico donde se incluye la siguiente sentencia: todas las reservaciones que contengan algún segmento de vuelo desde o hacia o que sobrevuele Estados Unidos de América deben incluir de forma obligatoria, la información requerida por la TSA que consiste en: Nombre completo del cliente, tal y como aparece en el pasaporte, Fecha de nacimiento (DD/MM/AA) y Género • En el Call Center en el momento de realizar la reserva. • En el propio aeropuerto con cartelería informativa tanto en los mostradores de venta como en los puestos de check-in. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 • A las agencias de viaje que comercializan vuelos de Aeroméxico, que se realizó mediante la remisión de una circular informativa en la que se indicaba: aquellas reservaciones de vuelos de Aeromexico, Aeromexico Connect o en Código Compartido con código AM operados por otras aerolíneas desde o hacia o sobrevolando Estados Unidos de América que no presenten la información de Secure Flight, y que por consecuencia sean rechazadas En el caso de la línea aérea AIR EUROPA LINEAS AEREAS SA, tal y como consta en las actuaciones previas de inspección, cuando una persona compra un billete aéreo con la compañía, en el momento de recabar sus datos, se le remite a la Política de Privacidad de la Compañía en donde aparece el siguiente apartado: Le informamos que conforme a la legislación de algunos países, sus datos personales … pueden ser facilitados al departamento de aduanas o autoridad competente que lo solicita formalmente, si su vuelo tiene origen, destino, escala o sobrevuela alguno de esos países. Durante el proceso de la reserva, en el caso de hacerla con origen o destino a los EEUU, Reino Unido o Cuba, o que se sobrevuele el espacio aéreo de EEUU, se informa a los clientes sobre la transmisión de los datos API a las autoridades correspondientes, donde de forma explícita indica: También puede estar haciendo una reserva con un vuelo que sobrevuele el espacio aéreo de EE.UU. Por esta razón y siguiendo instrucciones de las autoridades de esos países está obligado a: incluir el nombre y apellidos de los pasajeros que coincidan exactamente con los que aparezcan en sus respectivos pasaportes. En el caso de la línea aérea IBERIA LINEAS AEREAS DE ESPAÑA SOCIEDAD ANONIMA OPERADORA, tal y como consta en las actuaciones previas de inspección, se informa a los clientes sobre la transmisión de los datos API a las autoridades estadounidenses. En el caso de seleccionar un vuelo que sobrevuele el espacio aéreo de los Estados Unidos se muestra un mensaje destacado en la parte superior de la pantalla en la que se recaban los datos personales durante el proceso de compra con el siguiente texto: Estás reservando un vuelo que sobrevuela el espacio aéreo de EEUU. En cumplimiento de la legislación vigente, deben recabarse y cederse a EEUU ciertos datos de carácter personal. Para más información consulta la política de protección de datos y seguridad de la información La frase subrayada es un enlace que conduce a la política de protección de datos y seguridad de la información de IBERIA, en la que explícitamente se señala: Asimismo le informamos que, en cumplimiento del requerimiento expreso efectuado a todas las compañías aéreas por motivos de control y salvaguarda de la seguridad pública, Iberia estará facultada a comunicar sus datos como pasajero a las Autoridades Gubernamentales de Control de la Seguridad Interna del país de origen, tránsito o destino en cualquier momento antes de su llegada, con dicha finalidad. Estados Unidos exige también esta información para los aviones que sobrevuelen su espacio aéreo. Esta información también podrá ser facilitada también a otros Estados que, en virtud de lo dispuesto en las leyes o tratados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 aplicables, exijan la misma para el sobrevuelo de su espacio aéreo. (…) La recolección de ciertos datos personales es indispensable para realizar la Reserva y establecer el Contrato de Transporte. Naturalmente, el Pasajero puede ejercer su derecho de oposición a la recolección y al tratamiento de estos datos, pero se le informa que esto podría provocar la cancelación del viaje o la imposibilidad de acceder a ciertos servicios anexos específicos solicitados (comidas especiales, etc.). Asimismo, cabe recordar que, en conformidad con las leyes y reglamentos aplicables en España y a nivel internacional, el hecho de no comunicar ciertos datos o de comunicar datos inexactos podría conducir a una decisión de denegación de embarque o de entrada a un territorio extranjero, sin que el Transportista pueda ser considerado responsable por este particular. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: • PROCEDER AL ARCHIVO de las presentes actuaciones. • NOTIFICAR la presente Resolución a AEROVIAS DE MEXICO SA DE C.V. (AEROMEXICO), a AIR EUROPA LINEAS AEREAS SA, a IBERIA LINEAS AEREAS DE ESPAÑA SOCIEDAD ANONIMA OPERADORA y a FACUA CONSUMIDORES EN ACCION. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es