1/4 Expediente Nº: E/07047/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INFINITY TOURS, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de noviembre de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. y, con fecha 30 de noviembre, se recibe escrito de subsanación y mejora de solicitud, en los que se pone de manifiesto los siguientes hechos: La denunciante ha recibido dos correos electrónicos, de fechas 21 y 27 de octubre de 2015, remitidos desde la dirección ....@infinitytours.es, en los que se le informa del viaje que va a realizar su hija menor de edad, sin haber tenido ninguna relación con esta entidad. Con fecha 31 de octubre y 7 de noviembre de 2015, la denunciante remite correo a ....@infinitytours.es solicitando información respecto del origen de los datos personales de su hija y de su dirección de correo electrónico, sin obtener respuesta. Adjunto a la denuncia se ha aportado: copia de los correos electrónicos remitidos desde ....@infinitytours.es en las fechas de 21 y 27 de octubre de 2015 donde consta la información respecto de un viaje al extranjero de C.C.C. firmado por INFINITY TOURS copia de los correos de fechas 31 de octubre y 7 de noviembre de 2015 remitidos por la denunciante solicitando información al respecto del viaje y el origen del dato de su dirección de correo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- En el Aviso Legal de la web www.infinitytours.es consta como titular de este sitio web INFINITY TOURS con CIF *****. Tal y como consta en la inspección E/7047/2015-I/1 realizada en la sede de INFINITY TOURS en fecha 14 de marzo de 2016:
- INFINITY TOURS es una marca comercial que corresponde a una Agencia de Viajes cuyo propietario y único empleado es Doña B.B.B. que desarrolla su actividad como autónomo. La dirección de correo electrónico ....@infinitytours.es es utilizada por la Agencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 Viajes para remitir información y documentación a los clientes.
- Doña B.B.B. manifiesta que en octubre de 2015, Don D.D.D., padre de C.C.C., contrató junto con un grupo de amigos, en total doce personas, un viaje para él y su hija a Laponia, que se iba a realizar del 4 al 9 de diciembre de
- Con objeto de informar de los detalles del viaje organizado, la Agencia de Viajes remitió correos electrónicos a las personas que formaban parte del grupo. A este respecto, se ha verificado que en el expediente del viaje mencionado consta una relación manuscrita de las personas que van a realizar el viaje con los datos de Nombre y un Apellido, DNI o pasaporte y fecha de nacimiento, entre ellos, los datos de C.C.C.. Asimismo se ha comprobado la existencia de la reserva del bono del hotel donde constan los datos de los viajeros, entre ellos, los datos de C.C.C..
- Doña B.B.B. manifiesta que Don D.D.D. solicito verbalmente a la Agencia de viajes que la información sobre el viaje que iba a realizar la menor en compañía de su padre se remitiera a la madre de la menor, proporcionado para ello la dirección de correo electrónico ......@hotmail.com a la Agencia de Viajes. A este respecto, Doña B.B.B. ha aportado copia de un correo electrónico remitido desde la dirección .....1.@hotmail.com en el cual Don D.D.D. manifiesta haber facilitado la dirección de correo electrónico de la denunciante, su ex mujer, con objeto de que tuviera toda la información del viaje que iba a realizar su hija C.C.C. junto con su padre y otras personas a Laponia (documento remitido por correo electrónico en fecha de registro de entrada 18/04/2016) El viaje se realizó en las fechas previstas.
- Doña B.B.B. manifiesta que la dirección de correo electrónico ......@hotmail.com se ha utilizado única y exclusivamente para la remisión de los correos electrónicos de información del viaje. A este respecto, se ha verificado que en la cuenta de correo ....@infinitytours.es constan dos correos electrónicos remitidos desde esta cuenta a la dirección ......@hotmail.com en fechas 21 y 27 de octubre de 2015 cuyo texto coincide con los correos electrónicos aportados por la denunciante. En ellos se adjuntan los billetes de avión de C.C.C. junto con un folleto informativo sobre actividades del viaje. Doña B.B.B. manifiesta que se remitieron los billetes en estos correos con objeto de que la madre de la menor tuviera conocimiento en cada momento de la ubicación de su hija ya que se realizaron escalas en diferentes localidades.
- Respecto del correo remitidos por la denunciante desde la dirección ......@hotmail.com, en fecha 31 de octubre de 2015, en el que la denunciante manifiesta no haber contratado ningún viaje para su hija y no haber facilitado su dirección de correo electrónico, solicitando la paralización del proceso, Doña B.B.B. manifiesta que no dio contestación al mismo debido a que el viaje estaba contratado por el padre de la menor.
- Se ha verificado que en el fichero de Clientes constan los datos personales de nombre y primer apellido de Don D.D.D. junto con su número de teléfono, no obteniendo constancia de la existencia de datos asociados a C.C.C. ni a la denunciante Doña A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD, señala lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mismo artículo añade que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, (Fundamento Jurídico 7, primer párrafo) “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, ha quedado acreditado que la denunciante es la madre de la menor que realizó un viaje a Laponia con su padre y otras diez personas más, menores y mayores de edad. Su padre fue el que organizó y pagó el viaje en la agencia de viajes denunciada, facilitando el correo electrónico de la madre para que estuviese informada del itinerario, vuelos, fechas y contenido del viaje. Para que dicho tratamiento de datos realizado por Infinity Tours resultara conforme con los preceptos de la LOPD, debía concurrir alguno de los supuestos contemplados en el artículo 6 de la dicha norma. Así, los datos de la menor fueron facilitados en el marco de la relación contractual mantenida por el padre y la Agencia. El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 padre facilitó el correo electrónico de la madre para que ésta fuese informada de todo lo relativo al viaje que realizó su hija menor. En el marco de esa relación contractual se trató el correo electrónico de la madre. En consecuencia, no se considera que el tratamiento realizado vulnerase la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a INFINITY TOURS y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es