E-07391-2015

1/3 Expediente Nº: E/07391/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante BOOKINGS HISPÁNICA, S.L. y BOOKING CUSTOMER SERVICE CENTER (SPAIN), S.L. en virtud de denuncia presentada por don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: En fecha 14 de septiembre de 2015 tiene entrada en esta Agencia un escrito de don A.A.A. en el que se refiere a una incidencia en el funcionamiento de www.booking.com que permitiría a cualquier usuario de internet acceder a los datos de las reservas de alojamiento realizadas a través del sitio web. Según expone el denunciante, la titular del sitio web, BOOKING BV, es una sociedad domiciliada en Ámsterdam (Países Bajos) que reconoce tener en España oficinas permanentes. El denunciante indica que es usuario habitual del sitio web www.booking.com y que tras detectar la incidencia la comunicó telefónicamente y por escrito sin obtener resultado alguno. Según aclara, el último intento de comunicación con la entidad se produjo el 10 de julio de 2015, obteniendo una respuesta en la que se le agradecía la información y se le informaba de que su equipo de informáticos estaba evaluando el problema. SEGUNDO: En fecha 25 de noviembre por la Inspección de Datos se solicitó al denunciante que aportara documentación adicional, incluyendo copia de los datos personales de terceros a los que hubiera tenido acceso, así como de las contestaciones recibidas a sus comunicaciones. El 2 de diciembre tiene entrada un escrito del denunciante en el que manifiesta que tuvo conocimiento del fallo con anterioridad a julio de 2015 pero que las pruebas que realizó en ese momento las hizo sobre su propia reserva para no acceder a datos de terceros. Según indica, con el fin de aportar la información solicitada por la Agencia ha procedido a explotar el fallo descubierto y obtener los datos de la reserva de un tercero, que aporta con su escrito. TERCERO: Tras la recepción de los escritos del denunciante la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II De conformidad con el art. 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, “las actuaciones previas tendrán una duración máxima de doce meses a contar desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 fecha en la que la denuncia o petición razonada a las que se refiere el art. 2 hubieran tenido entrada en el Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que se haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. Por su parte, el artículo 44.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) establece que “en los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver (…) en los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 92”. En el presente caso, la denuncia que ha ocasionado las presentes actuaciones tuvo entrada en la Agencia el 14 de septiembre de 2015. En consecuencia, habiendo transcurrido el plazo de doce meses antes citado, deben declararse caducadas las actuaciones de inspección practicadas, conforme a lo dispuesto en los citados preceptos. III Por otro lado, el artículo 92.3 de la LRJPAC establece que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Al respecto la Audiencia Nacional viene estableciendo (por ejemplo en su reciente Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, habiéndose producido la caducidad de las actuaciones practicadas y al objeto de contrastar la adecuación de los hechos denunciados a la normativa en materia de protección de datos, se insta a la Subdirección General de Inspección de Datos para que se inicien nuevas actuaciones de inspección, con referencia E/04979/2016, toda vez que los hechos susceptibles de infracción administrativa no se encuentran prescritos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a BOOKINGS HISPÁNICA, S.L. y a don A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es