← España

E-12480-2021

1/8  Expediente N.º: EXP202103303 IMI Reference: A56ID 330513- A61MA 438326 - Case Register 413650 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de octubre de 2021 interpuso reclamación ante la autoridad de Protección de Datos de Francia. La reclamación se dirige contra VUELING AIRLINES, S.A. con NIF A63422141 (en adelante, VUELING). Los motivos en que basa la reclamación son los siguientes: - En el transcurso de un vuelo de Barcelona al aeropuerto de Orly (París), operado por la aerolínea VUELING AIRLINES, se le solicitó a la parte reclamante (al igual que al resto de pasajeros) que rellenara un formulario con sus datos personales. La tripulación no le supo dar información adicional, ni se cumplió con los requerimientos de transparencia estipulados en el art. 13 RGPD. La parte reclamante pide que se investiguen los hechos y se adopten las medidas correctivas necesarias. Junto a la notificación se aporta: - Copia de una tarjeta de embarque de la compañía VUELING a nombre de la parte reclamante del vuelo indicado en su reclamación con origen en Barcelona (BCN) y destino en París (ORY) el día 8 de septiembre de 2021 con hora de salida las 14:

  1. - Copia del formulario en el que se indica que es un formulario para la localización del pasajero por la sanidad pública, en el que se solicita que se rellenen datos relativos a la identidad, teléfonos, correo electrónico, domicilio, dirección de la primera estancia del pasajero en el país de destino (en caso de ser un visitante), datos de contacto en caso de urgencia y compañeros de viaje del pasajero. En el encabezado de este formulario, aparece el siguiente recuadro informativo: “Formulaire de localisation de passager pour le santé publique: Pour protéger votre santé, lorsque les agents de santé publique soupçonnent la présence d’une maladie contagieuse à bord d’un vol, vous devez remplir le présent formulaire. Les renseignements que vous donnez aideront les agents de santé publique à communiquer avec vous si vous avez été exposé à une maladie contagieuse. Il est important que vous remplissiez le formulaire au complet et que vous donniez des renseignements exacts. Les renseignements recueillis son destinés à être conservés conformément aux lois applicables et ne serviront qu’aux fins de la protection de la santé publique. Nous vous remercions de nous aider à protéger votre santé.” [Traducción no oficial: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 “Formulario de localización de pasajeros para la salud pública: Para proteger su salud, cuando los oficiales de salud pública sospechan la presencia de una enfermedad contagiosa a bordo de un vuelo, debe completar este formulario. La información que proporcione ayudará a los funcionarios de salud pública a comunicarse con usted si ha estado expuesto a una enfermedad contagiosa. Es importante que complete el formulario completo y proporcione información precisa. La información recopilada está destinada a ser guardada de acuerdo con las leyes aplicables y solo se utilizará para la protección de la salud pública. Gracias por ayudarnos a proteger su salud.”] En el encabezado de este formulario también se indica la siguiente frase: “Un formulaire par famille, á remplir par un adulte. Veuillez écrire en caractères d’imprimerie (MAJUSCULES). Pour indiquer un espace, laissez la case vierge.” [Traducción no oficial: “Un formulario por familia, para ser completado por un adulto. Por favor escriba en caracteres de imprenta (MAYÚSCULAS). Para indicar un espacio, deje el cuadro en blanco.”] SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 18 de octubre de 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 19 de octubre de
  2. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que VUELING tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, las autoridades de Suecia, Estonia, Irlanda, Noruega, Portugal, Italia, Bélgica, Hungría, Dinamarca, Luxemburgo, Eslovaquia, Eslovenia, y las autoridades alemanas de Baja Sajonia, Brandemburgo, Berlín, Hesse, Mecklemburgo-Pomerania Occidental, Baviera, y Baden-Wurtemberg. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 22 de octubre de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Contestación a requerimiento de información presentada en nombre de VUELING con entrada en la AEPD el 3 de junio de 2022, en la que se aporta, entre otra, la siguiente información:
  3. Indicación de que el formulario que tenían que rellenar los pasajeros es el “Passenger Locator Form” (en adelante, PLF), cuyos datos no son tratados por VUELING como responsable, sino que “Se trata de un documento oficial cuya cumplimentación resulta obligatoria para cualquier ciudadano que viaje a territorio francés en virtud de las siguientes normas: - Decreto nº 2021-699, de 1 de junio de
  4. Décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire (Disponible en https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000043575238). - Código de la salud pública. Code de la santé publique (Disponible en https://www.legifrance.gouv.fr/codes/id/LEGITEXT000006072665/).”
  5. Alegan que VUELING no está autorizada a modificar el formato del formulario (por ejemplo, añadiendo un texto informativo de privacidad); por lo tanto, en cumplimiento de las obligaciones legales, VUELING se limita a informar de la necesidad de cumplimentar el cumplimiento como requisito de entrada en el país de destino. De esta manera, alegan la aplicación del Décret nº 2021-699 en su redacción de 21 de junio de 2021, vigente a 8 de septiembre de 2021, cuyo artículo 12 establecía que “la empresa de transporte aéreo debe asegurar la distribución y recogida de las fichas de trazabilidad mencionadas en el artículo R. 3115-67 del código de salud pública y verificar que sean completadas por todos sus pasajeros antes del desembarque en las condiciones previstas en II y III de este mismo artículo”.
  6. Indicación de que VUELING fue informado de la obligación de informar a los pasajeros mediante una NOTAM (“Notices to Air Missions”) de la autoridad de aviación civil francesa del 2 de junio de 2020 con número de serie y año “LFFA F 774 20”, que se aporta junto al escrito presentado, y en la que se indica, entre otras, la siguiente cláusula: XII - THE AIR CARRIER SHALL ENSURE THE DISTRIBUTION AND COLLECTION OF LOCATOR FORMS (SEE ICAO ANNEX 9, APPENDIX 13, AND THE ORDER OF 9 JULY 2014 RELATING TO THE PASSENGER LOCATOR FORM) AND VERIFY THAY LFFA-F0774/20C03 Q) LFXX/QAFXX/IV/NBO/ E/000/999/4412N00040E460 A) LFBB LFEE LFFF LFMM LFRR B) 2020 Jun 02 00:00 C) 2020 Jun 30 23:59 E) THEY ARE FILLED IN BY EVERY PASSENGER BEFORE DISEMBARKING. [Traducción no oficial: “LA COMPAÑÍA AÉREA GARANTIZARÁ LA DISTRIBUCIÓN Y RECOGIDA DE LOS FORMULARIOS DE LOCALIZACIÓN (VÉASE EL ANEXO 9, APÉNDICE 13, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 DE LA OACI, Y LA ORDEN DE 9 DE JULIO DE 2014 RELATIVA AL FORMULARIO DE LOCALIZACIÓN DE PASAJEROS) Y VERIFICARÁ EL DESEMBARQUE. LFFA-F0774/20C03 Q) LFXX/QAFXX/IV/NBO/E/000/999/4412N00040E460 A) LFBB LFEE LFFF LFMM LFRR B) 02 Jun 2020 00:00 C) 30 Jun 2020 23:59 E) SON RELLENADOS POR CADA PASAJERO ANTES DE DESEMBARCAR.”]
  7. Indicación de que el director de escala en Francia de VUELING envió un correo electrónico a los equipos implicados en la gestión de dichos vuelos en el que se incluía la NOTAM referida anteriormente. Y se aporta copia de este correo fechado el 2 de junio de 2021 en el que se observa que lleva adjuntos cuatro documentos denominados “Attestation deplacement International TR EN FINALE.DOCX”, “PassengerLocatorFormEN.PDF”, “PassengerLocatorForm-FR.PDF” y “Bul_NOTAM_20200602064327.pdf”. El contenido de este correo electrónico es el siguiente: Dear all, Following new decree published in FR, attached Notam has been issued: A passenger Locator form (ICAO’s model), kindly find EN & FR versions attached, has to be given by crew to pax on every flight to France until further notice. As stated, the crew should verify that those are correctly filled and they will be collected by the crew before disembarking and handed over to our arrival staff in French airports. They will be kept by airport authorities for a month and could be requested by FR health authorities. This document comes in addition to the declaration of motives of coming to FR (cf attachment” attestation déplacement international”), this to be handed over at gate and given by pax to police border controls with passport/ID card. Next flight to CDG on Friday 5th VY8244 Please feel free to share this procedure to all involved. Regards, [Traducción no oficial: “Muy señores míos: A raíz del nuevo decreto publicado en Francia, se ha emitido el Notam adjunto: La tripulación debe entregar un formulario de localización de pasajeros (modelo de la OACI), con las versiones en inglés y francés adjuntas, en cada vuelo con destino a Francia, hasta nuevo aviso. Como ya se ha dicho, la tripulación debe verificar que estos están correctamente rellenos y que serán recogidos por la tripulación antes de desembarcar y entregarse a nuestro personal de llegada a los aeropuertos franceses. Las autoridades aeroportuarias las conservarán durante un mes y las autoridades sanitarias de Francia podrán solicitarlas. Este documento se añade a la declaración de motivos de llegada a Francia (véase el documento adjunto «attestation déplacement international»), que se entregará a la puerta y será entregado por cada pasajero a los controles fronterizos policiales junto con el pasaporte o documento de identidad. Siguiente vuelo al CDG el viernes 5 VY8244 No dude en compartir este procedimiento con todas las partes implicadas. Un saludo”] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
  8. Indicación de que, además, de este correo, VUELING remite periódicamente correos informativos a sus tripulantes que incluyen las restricciones y requisitos relacionados con la COVID-19 e indican que el 3 de agosto de 2021 se envió uno de estos correos denominado “INFO Note” en el que, entre otras cosas, se indicaba que la tripulación debía tener disponibles formularios PLF impresos para los pasajeros que los solicitasen y guardarlos en sobres en cabina.
  9. Indicación de que, en el sitio web de VUELING, se facilita información a los pasajeros sobre las restricciones y requisitos para viajar en el contexto de la pandemia. Esta información, que se encuentra en la dirección https://www.vueling.com/en/helpto-travel/travel-restrictions, para Francia, era la misma en septiembre de 2021 que en el momento de presentar este escrito, e incluía la información sobre la obligación de rellenar el documento PLF y un enlace al formulario electrónico EU-PLF (que es un formulario PLF utilizado por varios estados miembros de la Unión Europea), en el cual, indican que antes de rellenar el PLF en formato electrónico, se facilita la información sobre privacidad del país correspondiente.
  10. Impresión de pantalla de la página web https://app.euplf.eu/#/form, en cuyo título se indica que es el EU-PLF. En esa página web, bajo el título “Before you begin” [traducción no oficial: “Antes de empezar”], entre otra, aparece la siguiente información: The French Ministry of Solidarity and Health, the controller, undertakes to ensure that the processing of personal data from the present platform complies with the "General Data Protection Regulation" (GDPR), Law No. 78-17 of January 6, 1978, as amended, relating to computers, files and freedoms and all regulations on personal data. • Identity and contact details of the data controller Ministry of Solidarity and Health 14, avenue Duquesne 75007 Paris [Traducción no oficial: “El Ministerio francés de Solidaridad y Sanidad, responsable del tratamiento, se compromete a garantizar que el tratamiento de datos personales de la presente plataforma se ajuste al «Reglamento general de protección de datos» (RGPD), Ley n.º 78-17, de 6 de enero de 1978, modificada, relativa a los ordenadores, archivos y libertades, así como a toda la normativa sobre datos personales. • Identidad y datos de contacto del responsable del tratamiento de datos Ministerio de Solidaridad y Sanidad 14, Avenue Duquesne 75007 París”]
  11. Indicación de que, como se explica en el propio sitio web https://app.euplf.eu/#/, aquellos pasajeros que no disponen de acceso a Internet ni de teléfono móvil, pueden solicitar el día del embargo el PLF en formato papel a la compañía aérea, que tiene la obligación de dispensar al pasajero que lo solicite la documentación aprobada por la Administración Francesa en papel.
  12. Indicación de que, desde finales del año 2020, se envían correos electrónicos a los pasajeros con destino Francia para recordar la documentación que debe tener disponible para hacer el check-in online y en el momento del aterrizaje. Indican que estos correos se envían 8, 3, 2 y 1 día antes de la salida del vuelo. Y aportan copia del contenido de estos correos en los que, en dos de ellos, se indica que “Recuerde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 que debe rellenar el formulario DPLF para la entrada en Francia”, y aparece un enlace al sitio web https://app.euplf.eu/. El día 23 de junio de 2022, se consulta la versión del “Décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire” publicada en el sitio web https://www.legifrance.gouv.fr/ el 2 de junio de 2021, en el que se observa, entre otros preceptos los siguientes:
  13. En su artículo 12 contiene, entre otros párrafos, el siguiente: “L’entreprise de transport aérien assure la distribution et le recueil des fiches de traçabilité mentionnées à l’article R. 3115-67 du code de la santé publique et vérifie qu’elles sont remplies par l’ensemble de ses passagers avant le débarquement dans les conditions prévues au II et III de ce même article.” [traducción no oficial: “la empresa de transporte aéreo debe asegurar la distribución y recogida de las fichas de trazabilidad mencionadas en el artículo R. 3115-67 del código de salud pública y verificar que sean completadas por todos sus pasajeros antes del desembarque en las condiciones previstas en II y III de este mismo artículo”] El día 23 de junio de 2022, se consulta la página web https://app.euplf.eu/#/form, que contiene la versión electrónica del formulario que deben rellenar los viajeros que llegan a través de avión a Francia (entre otros estados), y se observa los siguiente:
  14. Antes de acceder a rellenar el formulario, una vez que se ha seleccionado que el país de destino es Francia y que se viaja en avión, aparece una política de privacidad que, entre otras cosas, indica que el responsable del tratamiento es “Ministry of Solidarity and Health. 14, avenue Duquesne 75007 Paris”. EVIDENCIAS SIGNIFICATIVAS PARA LA GRADUACIÓN DE LA SANCION La vinculación de la actividad del infractor con la realización de tratamientos de datos personales: El desarrollo de la actividad empresarial que desempeña la entidad requiere un tratamiento continuo de datos personales. Volumen de negocio total anual global: Según consulta realizada en el servicio https:// monitoriza.axesor.es/ de Axesor el día 23 de junio de 2022, VUELING AIRLINES SA tuvo unas ventas en el ejercicio 2020 de 594 349 000 euros y un número de empleados de 4
  15. Reincidencia por comisión de infracciones de la misma naturaleza que los hechos en cuestión: No consta que se hayan resuelto procedimientos por infracciones de la entidad investigada en el último año anterior a los hechos. QUINTO: Con fecha 15 de septiembre de 2022, a través del sistema IMI, se puso en conocimiento de la Autoridad de Protección de Datos de Francia a través de una asistencia mutua que la investigación realizada en la AEPD había determinado que la actuación de la empresa se había realizado como consecuencia del Decreto nº 2021699, de 1 de junio de 2021, dictado por el Gobierno de Francia, y en consecuencia se enviaba el expediente para que Francia actuara como autoridad competente, de conformidad con lo dispuesto en el artículo 55.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En fecha 26 de septiembre de 2022 Francia contestó aceptando ser la autoridad competente. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Análisis Jurídico En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VUELING realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos, teléfonos, correo electrónico, domicilio, dirección de la primera estancia del pasajero en el país de destino (en caso de ser un visitante), datos de contacto en caso de urgencia y compañeros de viaje del pasajero, entre otros tratamientos. VUELING realiza esta actividad en cumplimiento de una obligación legal, siendo en este caso responsable del tratamiento el Ministerio francés de Solidaridad y Sanidad, que es al que le incumbe cumplir las previsiones del artículo 13 RGPD. En el presente caso, tras haberse recibido la reclamación de la autoridad francesa de protección de datos a través del sistema IMI, se han realizado las correspondientes actuaciones previas de investigación, donde se ha tenido conocimiento de que el formulario que los pasajeros tenían que rellenar se hacía como consecuencia del cumplimiento de la normativa francesa, al tratarse de un documento oficial que debían cumplir todos los ciudadanos que viajaran a territorio francés. (Decreto nº 2021-699, du 1er juin, prescrivant les mesures générales nécessaires à la gestión de la sortie de crise sanitaire). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De este modo, en el artículo 12 de dicho Decreto, se establecía que “la empresa de transporte aéreo debe asegurar la distribución y recogida de las fichas de trazabilidad mencionadas en el artículo R. 3115-67 del código de salud pública y verificar que sean completadas por todos sus pasajeros antes del desembarque en las condiciones previstas en II y III de este mismo artículo.” Por tanto, Vueling afirma que se limitaba a informar de la necesidad de completar el documento, en cumplimiento de las obligaciones legales impuestas a las compañías aéreas a raíz de la pandemia mundial, debido a que existía una norma en el país de destino que lo exige como requisito de entrada en el territorio. Teniendo en cuenta estas manifestaciones, en fecha 15 de septiembre de 2022 se remitió dicha información a la autoridad francesa de protección de datos, al considerarse que era la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 55.2 del RGPD. La autoridad francesa de protección de datos aceptó el caso en fecha 26 de septiembre de
  16. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: Remitir la reclamación presentada por A.A.A. a la autoridad de control de Francia, a fin de que por la misma se le dé el curso oportuno. SEGUNDO: Proceder al archivo provisional del procedimiento. TERCERO: Notificar el presente acuerdo a VUELING AIRLINES, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.