E-08701-2018

1/5 Procedimiento Nº: E/08701/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante IBERIA LINEAS AEREAS DE ESPAÑA S.A., en virtud de reclamación presentada por Doña A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 14 de abril de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERIA LINEAS AEREAS DE ESPAÑA S.A., con NIF A85850394 (en adelante, el reclamado). Los motivos en que basa la reclamación son la Denuncia formulada contra la entidad Iberia S.A por “no informarle sobre el posible tratamiento de datos médicos” “ni cómo quedaban archivados los mismos” “Ni en aquellas fechas, ni en los meses posteriores, fui informada por parte de IBERIA del posible tratamiento de dichos datos médicos, ni tampoco cómo quedaban archivados los mismos, aún cuando es evidente que los recibieron, como demuestran los Anexos 1, 2 y 2ª (…) Ante la falta de dicha información y preocupada por el uso y tratamiento que se pudiera haber hecho de dichos datos médicos, con fecha 02/01/18 ejercí mi DERECHO de ACCESO sobre toda la información personal almacenada por Iberia Líneas Áreas de España S.A (Anexo IV), solicitando expresamente que deseaba conocer que tratamiento había dado a los datos de carácter médico que la Compañía había recibido el 08/08/2017, puesto que tales datos tienen la consideración de “espacialmente protegidos”(folio nº 1). SEGUNDO: En fecha 06/06/18 se procede a dar TRASLADO por parte de este organismo a la reclamación planteada a la entidad denunciada (Iberia S.A) para que alegara lo que en derecho estimase oportuno, constando como “Notificad” en el sistema informático de este organismo. TERCERO: En fecha 13/03/19 se recibe escrito de alegaciones de la entidad denunciada—Iberia S.A.—en relación a los hechos objeto de denuncia, manifestando de manera sucinta lo siguiente: “Queremos transmitir que la solicitud de acceso a los datos llevada a cabo por la denunciante ha sido especialmente difícil de tramitar, toda vez que más allá de la información que de ella se disponía por su pertenencia al programa Iberia Plus, la información personal suya que nos venía solicitando y de la que Iberia disponía no guarda relación con interacciones llevadas a cabo por ella misma (…), sino por un tercero, Sr. Don B.B.B., padre de dicha señora y que ha planteado contra Iberia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 reclamación requiriendo a mi representada, en su único nombre y representación, el reembolso de unos billetes de avión” “Tras haber llevado a cabo Iberia una indagación ampliada (…) no sólo con la Sra. A.A.A., sino también con el Sr. B.B.B., se ha detectado que si figuran en los sistemas de Iberia un Informe médico de la hija de éste, facilitado por el Sr. B.B.B., en su propio nombre y derecho, exclusivamente en el marco de la reclamación judicial planteada por dicho Señor contra Iberia (…)” “Nótese que el cometido del Servicio médico de Iberia NO es admitir o no el reembolso de un billete, sino decidir si una persona puede volar en un determinado estado de salud o no puede hacerlo (por riesgo de salud de la propia persona) Se adjunta como ANEXO 1º copia íntegra de la cédula de citación remitida a Iberia por el Juzgado de lo Mercantil nº 10 (Madrid) para contestar a la demanda incoada por el Sr. B.B.B. en Autos de Juicio Verbal nº XXX/

1. Nótese que dicha demanda la plantea el Sr. B.B.B. en su propio nombre y no en nombre de ninguna otra persona. “Se ha preparado escrito de contestación a la denunciante en los términos que figuran en el Anexo nº 2 que se adjunta, que le será remitido por correo electrónico a ***EMAIL.
2. Teniendo en cuenta todo lo anterior, solicitamos a la Sra. Inspectora al cargo de este Expediente que tenga por recibido este escrito junto con la documentación que lo acompaña (…)” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En fecha 13/04/18 se recibe escrito de la parte denunciante por medio del cual considera en esencia que la denunciada (Iberia S.A en lo sucesivo) ha vulnerado su derecho de acceso a sus datos de carácter personal, procediendo a realizar una contestación parcial a su solicitud. El derecho de acceso a los datos de carácter personal, permite al afectado solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se tengan previsto hacer de los mismos (art. 15 LOPD vigente en el momento de producirse los hechos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 En fecha 13/03/19 se recibe contestación de la entidad denunciada manifestando en relación a los “hechos” lo siguiente: “Queremos transmitir que la solicitud de acceso a los datos llevada a cabo por la denunciante ha sido especialmente difícil de tramitar, toda vez que más allá de la información que de ella se disponía por su pertenencia al programa Iberia Plus, la información personal suya que nos venía solicitando y de la que Iberia disponía no guarda relación con interacciones llevadas a cabo por ella misma (…), sino por un tercero, Sr. Don B.B.B., padre de dicha señora y que ha planteado contra Iberia reclamación requiriendo a mi representada, en su único nombre y representación, el reembolso de unos billetes de avión” “Tras haber llevado a cabo Iberia una indagación ampliada (…) no sólo con la Sra. A.A.A., sino también con el Sr. B.B.B., se ha detectado que si figuran en los sistemas de Iberia un Informe médico de la hija de éste, facilitado por el Sr. B.B.B., en su propio nombre y derecho, exclusivamente en el marco de la reclamación judicial planteada por dicho Señor contra Iberia (…)”. A la hora de analizar la Denuncia presentada, cabe señalar que es el progenitor de la denunciante—Sr. B.B.B.—el que interpone en nombre y representación de la misma, una reclamación de devolución de importe de billetes, como consecuencia de enfermedad de la misma, adjuntando con esta copia de Informe médico emitido por el Centro sanitario que la atendió. Por tanto, la cuestión inicial no se incardina en el marco de la protección de datos, sino que se trata de una reclamación entre un prestador de servicios (Iberia S.A) y un “cliente”, dónde se acompaña prueba documental (vgr. Informe médico) como documentación anexa a la misma, para que fuera en su caso examinada por el servicio de reclamaciones competente de la entidad denunciada. Cualquier cliente pude ejercer como consumidor una reclamación (en este caso, ante una compañía área), bien a través de las hojas de reclamaciones que las compañías aéreas deben tener a disposición en los mostradores de información o puntos de venta de billetes en los aeropuertos o bien usando el formulario para reclamar ante una compañía aérea, que suele haber en su página web. En cualquier caso, el reclamante debe poder acceder en cualquier momento para consultar el estado de tramitación de su reclamación. Para ello deberá acceder al enlace que se le facilite, indicando el número de expediente de preasignación o el definitivo (si ya se ha validado la solicitud), así como la dirección de correo electrónico que indicó en la presentación de la reclamación. La documentación que en su caso aporte, queda anexada al número de Expediente, siendo examinado por el Servicio competente, estando los datos aportados (sean o no de salud) protegidos por el deber de confidencialidad de las personas encargadas de tramitar la solicitud y quedando archivados en el expediente correspondiente, que está sujeto a la normativa sobre protección de datos (con las excepciones marcadas por el Legislador). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Con posterioridad, a la reclamación formulada por el padre de la denunciante, ésta ejercita derecho de acceso ante la denunciada, con fecha 02/01/
3. Procediendo la denunciada—Iberia S.A-- ha responder en tiempo y forma a la denunciante, en escrito de fecha 18/01/18, por tanto, dentro del plazo de un mes marcado por la Legislación en vigor en el momento de producirse los hechos. Contrariamente a lo esgrimido por la denunciante, la entidad Iberia S.A podía solicitarle la concreción sobre qué datos en concreto ejercitaba el acceso, así lo disponía el artículo 27 apartado 2º “in fine” del RD 1720/2007,21 de noviembre (RLOPD). “No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos”. Respecto al Informe médico aportado, cabe señalar que el mismo quedo anexado a la reclamación interpuesta por el padre de la denunciante, el cual es un medio de prueba válido en derecho, que además ha sido objeto de análisis en sede judicial (Jugado de lo Mercantil nº 10-Madrid-Juico Verbal XXX/2018). El mismo puede ser utilizado por la parte denunciada para hacer valer sus pretensiones (derecho a la defensa) en sede judicial, estando en este caso los datos protegidos por el órgano jurisdiccional competente y a disposición de las partes en litigio. III De manera que, una vez analizadas las alegaciones y pruebas aportadas por las partes, cabe concluir que la cuestión principal no es una cuestión de protección de datos, sino relativa a una reclamación comercial a la entidad-Iberia S.A--. El derecho de acceso ejercitado fue objeto de respuesta en tiempo y forma por la denunciada, que procedió a aportarle los datos personales de la misma, tal y como constaban en su sistema informático. El acceso al documento en concreto que solicitaba (vgr. Informe médico) debió haberse realizado con referencia al número de expediente que se le hubiera otorgado a la reclamación presentada por su progenitor, cuyo conocimiento debían de saber. Algunas de las cuestiones adicionales que plantea a la denunciada, cabe añadir, no entran dentro del contenido del derecho de acceso, tal y como estaba concebido en el marco de la LOPD (*vigente en el momento de los hechos). La entidad denunciada con motivo de la presente reclamación, va a proceder a responder a “algunas” de las otras cuestiones planteadas por la afectada, adjuntando copia a este organismo (Prueba Doc. Anexo 2º). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De manera que no cabe apreciar afectación alguna del derecho de acceso ejercitado por la denunciante, siendo el resto de cuestiones planteadas ajenas al marco competencial de este organismo. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
4. PROCEDER AL ARCHIVO de las presentes actuaciones.
5. NOTIFICAR la presente resolución a la entidad denunciada --IBERIA LINEAS AEREAS DE ESPAÑA S.A. OPERADORA--, e INFORMAR a la parte denunciante Doña A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es