E-07441-2012

1/7 Expediente Nº: E/07441/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la AGENCIA ESTATAL DE SEGURIDAD AEREA, AUTOPRESS MARKETING AUTOMOCION, S.L. en virtud de denuncia presentada por la ASOCIACION DE CONSUMIDORES Y USUARIOS EN ACCION -FACUA- y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de noviembre de 2012, tuvo entrada en esta Agencia escrito de la Asociación de Consumidores y Usuarios en Acción, (en lo sucesivo FACUA) en el que denuncia a la Agencia Estatal de Seguridad Aérea (en lo sucesivo AESA) exponiendo que han tenido conocimiento de que la sociedad AUTOPRESS MARKETING S.L. ( en lo sucesivo AUTOPRESS) está realizando una encuesta, sobre la satisfacción de los usuarios, referente a la calidad de la atención ofrecida por AESA al dirigirse a éste organismo para solicitar información o presentar reclamaciones contra compañías aéreas. Que aunque AESA debe obtener el consentimiento de los usuarios para ceder sus datos a la empresa Autopress Marketing, FACUA ha tenido constancia de que una de sus socias ha recibido en su dirección de correo electrónico un envío de AUTOPRESS sin que previamente AESA le hubiera pedido autorización, si bien dicha persona se había dirigido a AESA para presentar una reclamación contra una aerolínea. Adjunta a la denuncia un escrito remitido mediante correo electrónico el 4 de noviembre de 2012 17:15h, remitido por <cuestionario@anuauto.com> en el que informan de lo siguiente: “Nos ponemos en contacto con usted desde Autopress Marketing, S.L., tras el envío por parte de AESA de un correo electrónico solicitándole su colaboración, como usuario de sus servicios, para un estudio de satisfacción de la propia AESA. Adjuntamos a este correo un breve cuestionario de consulta en formato .pdf (…) Asimismo, adjuntamos un certificado de confidencialidad en el que garantizamos que las respuestas que usted aporte serán absolutamente confidenciales (…)”. Como dirección del destinatario consta la misma que la del remitente ya que posiblemente se ha enviado con “copia oculta”. Asimismo, FACUA adjunta otro correo del día 5 de noviembre de 2012 12:32h, recibido en la dirección <..........@gmail.com> remitido desde la dirección <calidad.aesa@fomento.es>, como asunto se detalla Colaboración en Estudio de Satisfacción de los usuarios de AESA, en el que le comunican lo siguiente: “Nos dirigimos a usted como usuario de los servicios que AESA presta a los ciudadanos, AESA en cumplimiento del Real Decreto 951/2005, por el que se establece el marco C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 general para la mejora de calidad de los servicios que la Administración General del Estado presta a la sociedad, promueve en la actualidad un estudio sobre la satisfacción de sus usuarios. Dicho estudio, mediante concurso público, ha sido adjudicado a la empresa Autopress Marketing, S.L. (…). Con el objeto de realizar este estudio con la mayor calidad posible y en cumplimiento de la Ley Orgánica de Protección de Datos, solicitamos a través del presente escrito su consentimiento para que personal del Autopress se ponga en contacto con usted (…). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1.- En el Registro General de Protección de Datos figura inscrito el fichero denominado “Tramitación de Quejas y Sugerencias”, cuya finalidad es “gestión de quejas y sugerencias sobre los servicios prestados por la AESA”, siendo el órgano responsable la AESA. También, consta inscrito el fichero denominado “Satisfacción Usuarios AESA 2012”, ·cuya finalidad es ”encuesta para estudio sobre la satisfacción del usuario de los servicios prestados por AESA (…)” y el responsable es Autopress Marketing, S.L. 2.- AESA ha informado a la Inspección de Datos, con fecha de 15 de marzo de 2013, en relación con el envío de los escritos mediante correo electrónico a la denunciante lo siguiente:  El Real Decreto 951/2005, por el que se establece el marco general para la mejora de calidad en los servicios que la Administración General del Estado presta a la sociedad, promueve la elaboración de estudios de satisfacción de los usuarios, por lo que, con objeto de mejorar los servicios prestados por AESA al ciudadano en el segundo semestre de 2012 se inició el primer Estudio de satisfacción de los usuarios.  Tal y como informa AESA en su propia página web, en el estudio se busca contactar con una muestra estadísticamente representativa entre los que se encontraban los pasajeros, el objetivo fue alcanzar una muestra aleatoria de 370 entrevistas respondidas sobre el conjunto de aquellos que acudieron con alguna reclamación ante AESA en el último año.  AESA realizó el estudio ayudada de una empresa adjudicataria del servicio, que garantiza al administrado la confidencialidad de sus respuestas y proporciona a AESA, resultados agregados del conjunto de la muestra entrevistada. Para ello se suscribió un contrato de prestación de servicios con la compañía Autopress Marketing, S.L., con fecha de 29 de junio de 2012. El pliego de prescripciones técnicas anexo al contrato en su cláusula 5 obliga al cumplimiento de las disposiciones de la LOPD de carácter personal. Posteriormente a la adjudicación del contrato, en desarrollo de la cláusula 5, una vez conocidas las subcontrataciones a realizar, el 11 de julio de 2012, AESA junto con Autopress Marketing SL, suscribieron un documento denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “Acuerdo de encargo de tratamiento de datos personales” donde se detallan instrucciones de AESA para el tratamiento de los datos, se limitan los fines exclusivamente a los indicados en el contrato, se impiden comunicaciones y se indica la obligatoriedad de destrucción al final del tratamiento, según consta en el pliego de prescripciones técnicas y el Acuerdo.  El proceso consistía inicialmente en contactar AESA, mediante correo electrónico, con los encuestados solicitando la colaboración en el estudio y pasados siete días era la compañía Autopress Marketing, S.L. quien remitía la encuesta al usuario.  El primer envío de correos desde AESA, solicitando la colaboración en el estudio, se realizó a 905 pasajeros clasificados como españoles en fecha 29 de octubre y el segundo envío de correos desde AESA, se realizó a 432 pasajeros identificados como extranjeros el lunes 5 de noviembre. Los correos se envían con una herramienta informática preparada al efecto, de modo que cada correo saliente del buzón <calidad.aesa@fomento.es> se dirige a un único destinatario, enviando varios correos por minuto de manera automática. Debido a unos errores de procesado de la información, hubo un desfase de 53 correos electrónicos (27 españoles varios de ellos reclamantes a través de FACUA y 26 extranjeros), que se filtraron como enviados en la primera tanda del 29 de octubre, sin embargo realmente pertenecían a la segunda tanda del 5 de noviembre. El buzón de correo habilitado para este estudio por Autopress Marketing envió los cuestionarios a estos 53 usuarios el domingo 4 de noviembre, mientras que la comunicación de AESA informando del estudio la recibieron un día después el lunes 5 de noviembre.  En fecha 15 de noviembre de 2012 se recibe en AESA escrito de FACUA donde se expone la situación de una de sus socias, que se encuentra entre las afectadas por los hechos anteriores. Hay que indicar que esta ciudadana al igual que otros, no es usuaria directa de los servicios de AESA sino que su reclamación por derechos de los pasajeros se realiza a través de FACUA, si bien FACUA aporta el correo electrónico de su socia en los datos de la solicitud. Ante el escrito recibido, AESA el 18 de diciembre de 2012 responde a FACUA con un escrito explicativo de los hechos referidos. 3.- La compañía Autopress Marketing, S.L. ha informado a la Inspección de Datos, con fecha de 28 de febrero de 2013, en relación con el envío de los escritos mediante correo electrónico a la denunciante lo siguiente:  Confirman la contratación de servicios para la realización de un Estudio de Satisfacción de los usuarios que habían utilizado en el pasado los servicios de AESA y también, suscribieron un Contrato de Encargo de Tratamiento de Datos Personales y adjuntan ambos documentos.  La colaboración en el estudio era puramente voluntaria y las personas contactadas por AESA podían rechazar aportar su opinión al mismo. En concreto, el 3 de octubre, Autopress Marketing recibió un fichero Excel con los datos de los usuarios para realizar el envío del cuestionario de satisfacción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Asimismo, el 2 de noviembre se recibió el listado de los usuarios de ese fichero que habían declinado colaborar. Los datos personales que contenía dicho fichero eran nombre, apellidos, dirección y correo electrónico.  AESA envió un primer correo electrónico informando de que se estaba realizando un estudio de satisfacción y que, en pocos días, desde Autopress Marketing recibirían a esa misma dirección de correo electrónico, un cuestionario para que colaborasen con su opinión a dicho estudio. También, confirman el proceso del primer envío de AESA informando a los pasajeros y del segundo envío de Autopress Marketing con la encuesta y del error producido en el orden de alguno de los envíos.  Autopress Marketing no recibió reclamación por parte de la denunciante u otros pasajeros en relación al envío de estos correos electrónicos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se han realizado diligencias previas al objeto de la comprobación de los hechos denunciados. La LOPD en su artículo 40 reconoce a la AEPD la “potestad inspectora” y en su apartado 1, recoge: “Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé: “ 1…. se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D.1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Segundo de la presente resolución. III La LOPD en su artículo 11, recoge: “ 2. El consentimiento exigido en el apartado anterior no será preciso:
2. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique” . Y el artículo 12, dispone: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”. En el caso analizado, FACUA denuncia la cesión sin autorización de los datos de una de sus asociadas desde la entidad pública AESA a la sociedad AUTOPRESS que lleva a cabo una encuesta sobre la calidad de la atención ofrecida al dirigirse a AESA para solicitar información o presentar reclamaciones contra compañías aéreas. De las actuaciones de investigación realizadas se desprende las dos circunstancias siguientes:
3. a)Que la asociada de FACUA había presentado una reclamación ante AESA contra la actuación de una compañía aérea.
4. b)Que obra al expediente el documento denominado “Acuerdo de Encargo de Tratamiento de datos Personales ”, de fecha 11 de julio de 2012, suscrito entre AESA, responsable del fichero, y la entidad AUTOPRESS, como encargado del tratamiento. Pues bien, en relación con la denunciada formulada por la asociada de FACUA ante AESA manifestando la actuación irregular de una línea aérea, se señala que se origina una relación jurídica entre ambas partes que, en virtud del trascrito precepto 11. 2 de la LOPD, la habilita para el tratamiento de los datos de la asociada de FACUA para el cumplimiento de la finalidad de investigación de la reclamación formulada. Por otra parte, la concurrencia del “Acuerdo de encargo de tratamiento de datos personales”, de fecha 11 de julio de 2012, entre AESA y AUTOPRESS faculta a ésta para el tratamiento de los datos de la asociada a FACUA. Dicho contrato es comprensivo del siguiente objeto: “En virtud de este contrato la empresa AUTOPRESS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 se realizara un estudio sobre la satisfacción de sus usuarios con los servicios que presta AESA” . Además se prevé que: “ 2. AUTOPRESS, como encargado del tratamiento, únicamente tratará los datos conforme a las instrucciones de AESA, y no los aplicará o utilizará con fin distinto al que figure en el presente contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. 3. AUTOPRESS, se compromete a adoptar las medidas de seguridad técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal a que se refiere el articulo 9 de la Ley Orgánica 15/1999, de 13 de Diciembre y en particular las correspondientes al nivel básico, establecidas en el Real Decreto 1720/2007, de 21 de Diciembre, según corresponde a los ficheros a los que AUTOPRESS va a acceder para su tratamiento, y evitar su alteración, pérdida, tratamiento y acceso no autorizado, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan éstos, de la acción humana o del medio físico o natural.” Habida cuenta lo expuesto, AUTOPRESS estaba habilitada para el tratamiento de los datos de la asociada de FACUA para la ejecución de la consulta encomendada por AESA, ya que ésta dispone de sus datos personales a consecuencia de la reclamación contra una línea aérea, por lo que, cabe concluir que los hechos denunciados no suponen infracción a la normativa sobre protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AGENCIA ESTATAL DE SEGURIDAD AEREA, AUTOPRESS MARKETING AUTOMOCION, S.L. y a ASOCIACION DE CONSUMIDORES Y USUARIOS EN ACCION-FACUA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es