← España

PA-00028-2025

1/14  Expediente N.º: EXP202314369 IMI Reference: A56ID 565682 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 12 de septiembre de 2023 interpuso reclamación ante la autoridad alemana de protección de datos de Baja Sajonia. La reclamación se dirige contra TRAVELCONCEPT, S.L.U. con NIF B57288193 (en adelante, LOGITRAVEL). Los motivos en que basa la reclamación son los siguientes: El 3 de septiembre de 2023 A.A.A. recibió un correo electrónico publicitario de LOGITRAVEL. En virtud del artículo 15 del RGPD le solicitó información a la empresa sobre el origen de sus datos, ya que indica que no conocía a la empresa y no se había registrado para recibir la newsletter. LOGITRAVEL le informó que sus datos habían sido suprimidos, pero no se le proporcionó la información por él solicitada. Junto con la reclamación se aportaban los siguientes documentos: - Transcripción de correo electrónico enviado desde info@communications.logitravel.com y recibido en ***EMAIL.1 el 3 de septiembre de 2023 a las 09:35hs, en alemán el original, con el asunto “Cruceros AIDA con vuelo y crédito a bordo de 799 EUR” y el siguiente contenido: “Ofertas todo incluido AIDA con 50 EUR de crédito a bordo de Liebe Kreuzfahr, con la oferta todo incluido AIDA este invierno, desde vuelos con traslado en destino hasta crédito a bordo de 50 EUR (…)” - Transcripción de correo electrónico enviado desde ***EMAIL.1 el 3 de septiembre de 2023 a las 14:51hs, en alemán el original, con el siguiente contenido: “Muy señora mía/Muy señor mío, por la presente, presento una solicitud del artículo 15 del RGPD, incluida una copia de mis datos, de dónde obtuvieron mis datos y la base jurídica para el tratamiento, incluido el seguimiento por correo electrónico, hasta el 3 de octubre de 2023. Le saluda atentamente, A.A.A.” - Transcripción de correo electrónico recibido en ***EMAIL.1 enviado desde privacy.archive@logitravelgroup.com el 11 de septiembre de 2023 a las 10:54hs, en alemán el original, con el asunto “Re: Cruceros AIDA con vuelo y crédito a bordo de 799€” y el siguiente contenido: “Estimado cliente: Por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 presente confirmamos su baja como cliente y de nuestras listas de correo comercial. Sus datos personales se eliminarán de conformidad con las disposiciones legales aplicables.” SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 11 de octubre de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 16 de octubre de 2023. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que LOGITRAVEL tiene su establecimiento único o principal en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad alemana de protección de datos de Baja Sajonia actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra

  1. c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hubieran declarado interesadas en el presente procedimiento. TERCERO: Con fecha 8 de enero de 2024, de conformidad con el artículo 64 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VIII, de la LOPDGDD: El día 28 de octubre de 2024, se presenta un escrito ante la AEPD en respuesta a requerimiento de información de esta Agencia, en el que se aporta, entre otra, la siguiente información: 1. Declaración de que “Los datos personales del reclamante que constan en nuestros sistemas son los siguientes: Nombre y apellidos (A.A.A.), Dirección de correo electrónico (***EMAIL.1), Idioma (alemán). Estos datos fueron registrados el 5 de octubre de 2011.” Se aporta una captura de pantalla del registro del reclamante en sus sistemas de información, en los que se tienen los siguientes datos del reclamante: nombre, apellido, género, país y fecha de creación, que es el 5 de octubre de 2011. Entre estos datos, aparece una dirección correo electrónico de logitravel, la cual indican C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 que es una dirección que se utiliza cuando se da de baja a un cliente y que consiste en una dirección interna creada con la palabra “privacy” más el código del cliente. 2. Declaración de que “Los datos personales del reclamante fueron tratados exclusivamente para el envío de boletines comerciales de la empresa, sin realizar ningún tipo de perfilación ni personalización de las ofertas. El reclamante no está registrado como usuario en nuestra web, ni existen presupuestos o reservas suyas en nuestros sistemas.” 3. Copia de la política de seguridad vigente en septiembre de 2023 y que indican que estuvo publicada hasta junio de 2024, en la que consta, entre otra, la siguiente información (en alemán el original, traducción no oficial): “Con el fin de retirar el tratamiento con fines comerciales, puede: - Actualizar su configuración en su perfil accesible a través de su cuenta web. - Enviar un correo electrónico a la siguiente dirección de correo electrónico privacy@logitravel.com; - Utilizar el enlace proporcionado para este fin en nuestros boletines informativos.” 4. Respecto a las condiciones que el reclamante tuvo que aceptar al darse de alta en su newsletter, declaran que “Debido a la antigüedad del registro del reclamante, no disponemos del log de suscripción a la lista de distribución ni del contenido exacto de la cláusula informativa presentada al interesado en el momento de su alta.”. Y aportan una copia del documento “Recogida y tratamientos de datos con fines comerciales del Grupo Logitravel”, que indican que se utilizaba en el momento en que el reclamante se dio de alta en su newsletter, y en el que figuran menciones a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico; la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal; y al Real Decreto 1720/2007; y en la que figura la siguiente cláusula a añadir en la newsletter (indican que TRAVELCONCEPT, en aquel momento, se denominaba Logitravel S.L.): “PRIVACIDAD (LO. 15/1999 — LOPD): Recibes este email de Logitravel, S.L. porque has consentido recibir nuestras comunicaciones comerciales. Si no deseas recibir este tipo de comunicaciones puedes pulsar el enlace de baja incluido en este mensaje o enviar un email a privacy@logitravel.com indicando en el campo “Asunto” las palabras “Baja publi”. Asimismo, podrás ejercitar tus derechos de acceso, rectificación y cancelación de tus datos, así como el de oposición a su tratamiento por escrito acompañado de una copia de tu DNI y remitido a nuestro domicilio en Ed. LOGITRAVEL, Parc Bit 07121, Palma de Mallorca, España, o a la dirección privacy©logitravel.com seguimiento o códigos generados por el proveedor de nuestra plataforma de emailing, la entidad ORACLE IBERICA, S.R.L., con domicilio en Calle José Echegaray 6, Edificio B, Parque empresarial “Las Rozas”, 28232 Las Rozas, Madrid, España. Al activarse, estos pixeles 0 códigos pueden provocar la creación de cookies, o su lectura o modificación en la caché de tu navegador. Estas cookies se usan para crear o modificar identificadores únicos y rastrear las acciones que el usuario o el destinatario del correo electrónico realiza en nuestras páginas web, para fines de marketing y análisis. Puedes controlar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 pixeles 0 códigos de seguimiento incluidos en los correos electrónicos mediante la configuración de tu cliente de correo electrónico para que no descargue contenido remoto 0 imágenes de forma automática. Más información en nuestra política de cookies disponible en www.logitravel.com. Más información sobre las de Oracle en https://www.oracle.com/legaI/privacy/marketing-cloud-data—cloud-privacypolicy.html” 5. Declaración de que al reclamante se le enviaron comunicaciones comerciales desde su suscripción en el año 2011, aunque sólo se conserva el historial de las comunicaciones enviadas desde el 22 de agosto de 2022 debido a que en esa fecha se inició el volcado en la actual plataforma de CRM (sistema de gestión de clientes o, por las siglas en inglés correspondientes a Customer Relationship Management). Y aportan una captura de pantallas del CRM en el que, en su sección “Communications” figuran 61 comunicaciones comerciales de tipo “EMAIL” enviadas con una periodicidad de 1 o 2 comunicaciones por semana entre las fechas del 22 de agosto de 2022 hasta el 4 de diciembre de 2022, y del 29 de marzo de 2023 hasta el 3 de septiembre de 2023. 6. Declaración de que “El 03/09/2023, el reclamante presentó dos solicitudes: la baja de la lista de distribución y el ejercicio de su derecho de acceso.” Respecto a la solicitud de baja, declaran que el reclamante solicitó su baja mediante un botón “unsubscribe” [Traducción no oficial: “Darse de baja”] que aparece en las comunicaciones comerciales; e indican que, de este modo, la baja fue efectiva a partir del 4 de septiembre de 2023, y aportan una impresión de pantalla de una entrada de base de datos que indican que es el estado de baja del reclamante; esta entrada contiene el nombre y apellido del reclamante con fecha de última modificación el 4 de septiembre de 2023 y un campo “optout” con valor “9”. E indican que esta baja fue comunicada al reclamante el 11 de septiembre de 2023, en el correo electrónico que fue aportado por el reclamante en su reclamación. Respecto a la solicitud de ejercicio de su derecho de acceso, declaran que “La falta de respuesta a la solicitud de ejercicio del derecho de acceso no fue consecuencia de una decisión deliberada, sino resultado de una incidencia puntual en la aplicación del procedimiento interno destinado a gestionar las solicitudes de ejercicio de derechos de protección de datos personales, así como en la observancia de las directrices de privacidad que deben seguirlos empleados de Logitravel.” Y aportan copias de los documentos “PROCEDIMIENTO PARA LA ATENCIÓN A LOS DERECHOS DE LOS INTERESADOS”; “PROTOCOLO CORREO PRIVACY” (que contiene los pasos a seguir en el caso de que un interesado solicite la baja en la newsletter, la baja del cliente o supresión de sus datos y la solicitud de ejercicios de derechos RGPD, entre otros); y NORMAS RESPECTO AL TRATAMIENTO DE DATOS PERSONALES Y SEGURIDAD DE LA INFORMACIÓN QUE DEBERÁN CUMPLIR TODOS LOS TRABAJADORES, COLABORADORES O USUARIOS EXTERNOS CON ACCESO A DATOS PERSONALES O A SISTEMAS DEL GRUPO LOGITRAVEL. Y, respecto a esta solicitud del derecho de acceso no atendida en tiempo, TRAVELCONCEPT declara lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 “La investigación interna llevada a cabo ha revelado que los agentes responsables de la atención al cliente no aplicaron correctamente el procedimiento y las instrucciones operativas en el caso del reclamante. Dado que la baja de la suscripción en los boletines comerciales de la empresa conllevaba la cancelación de los datos del reclamante —ya que no existían otros tratamientos activos— los agentes que gestionaron la solicitud la dieron por concluida, sin proceder a atender el derecho de acceso. Ello provocó que no se le facilitó al reclamante el acceso solicitado en las formas y en los plazos previstos por los art. 12 y 15 del RGPD. La incidencia en materia de derechos de protección de datos solo fue registrada como tal en el sistema de gestión de la empresa al recibir el requerimiento de información de la AEPD el 7 de octubre del 2024. La investigación ha determinado que la causa principal de esta incidencia fue la insuficiente comprensión, en ese momento, del procedimiento de atención a los derechos de protección de datos y de las directrices de privacidad por parte del personal. Esta deficiencia ya había sido identificada en una investigación interna realizada a finales del 2023, tras la cual se implementaron las correcciones necesarias para solventarla.” 7. Impresión del correo electrónico enviado al email del reclamante, con fecha 28 de octubre de 2024, como contestación a la solicitud de acceso a sus datos, con el siguiente contenido (en alemán el original, traducción no oficial): “Muy señor mío: Le proporcionaremos información sobre sus datos personales procesados por nosotros: - nombre y apellidos (A.A.A.), - Dirección electrónica (***EMAIL.1), - Idioma (alemán). Estos datos se recogieron el 5 de octubre de 2011. Desde entonces, ha recibido boletines semanales de nosotros, incluidos los últimos cinco, que muestran que se cumple la obligación de información en virtud del Reglamento General de Protección de Datos y que hay formas de darse de baja. Sus datos personales fueron tratados exclusivamente con la finalidad de enviar boletines comerciales de la empresa, sin perfilar ni personalizar las ofertas. Usted no tiene una cuenta a su nombre en nuestro sitio web, ni hay ofertas o reservas de usted en nuestros sistemas. El 3 de septiembre de 2023, presentó usted dos solicitudes: Darse de baja de la lista de correo y ejercer su derecho de acceso. Su baja de la lista de correo entró en vigor el 4 de septiembre de 2023; Desde entonces, no se le ha enviado ninguna otra comunicación comercial. Esta cancelación de la suscripción le fue confirmada el 11 de septiembre de 2023. No ha recibido respuesta a su solicitud de ejercicio del derecho de acceso; Lamentamos mucho esto y nos gustaría disculparnos por ello. La falta de respuesta fue el resultado de un incidente puntual en la aplicación del procedimiento interno para procesar las solicitudes de ejercicio de los derechos de los interesados, así como el cumplimiento de las directrices de protección de datos que deben seguir los empleados de Logitravel. Dado que la cancelación de la suscripción a los boletines comerciales dio lugar a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 eliminación de sus datos personales, en ausencia de otras operaciones activas de procesamiento de datos, el personal que procesó su solicitud la completó sin detallar más su derecho de acceso ejercido. Para evitar que se repitan tales incidentes y garantizar que todas las consultas y quejas sobre protección de datos se manejen adecuadamente, hemos actualizado nuestro proceso de gestión de derechos de privacidad. Además, llevaremos a cabo actividades de sensibilización para mejorar la comprensión de nuestros empleados sobre este proceso y las políticas de privacidad de la empresa. Sinceramente,” 8. Declaración, respecto de las medidas llevadas a cabo a raíz del traslado de esta reclamación, de que, a raíz de una investigación interna a finales del año 2023, se realizaron las siguientes medidas correctivas: “Actualización del procedimiento para la atención a los derechos de protección de datos y las normas de privacidad. Se actualizaron estos recursos para insistir en que las solicitudes de ejercicio de derechos de protección de datos que se reciben deben ser trasladadas internamente a los departamentos competentes para su resolución de forma inmediata. La modificación del procedimiento para la atención a los derechos de protección de datos es efectiva. Acciones de sensibilización: Para reforzar la comprensión del procedimiento de atención a los derechos y las directrices de privacidad de la empresa y garantizar que las solicitudes y quejas que afecten a la protección de datos sean atendidas de forma adecuada se propuso enviar una circular a todos los agentes para recordarles: - La importancia de dar traslado de las solicitudes de ejercicio de derechos de protección de datos al responsable para la atención a los derechos de forma inmediata; - La necesidad de informar al DPD sobre cualquier incidencia o queja que afecta a la protección de datos personales; - Los datos de contacto del DPD. Medidas adicionales dentro del plan de formación y sensibilización: Se planteó implementar las siguientes medidas adicionales para garantizar una correcta comprensión de los procedimientos y normativas por parte de sus destinatarios, así como para mejorar la coordinación entre los departamentos involucrados en la atención a las solicitudes de ejercicio de derechos de protección de datos: - Impartición de una formación específica dirigida a los responsables de los departamentos implicados en la gestión y resolución de las reclamaciones de clientes. - Actualización de la formación básica en materia de protección de datos, que se imparte a todos los empleados al incorporarse, para incluirlos cambios introducidos en los procedimientos y las directrices de privacidad. Controles para verificar la eficacia de las medidas: Se planteó llevar a cabo entrevistas con un muestreo de trabajadores para evaluar el nivel de comprensión de la circular y las formaciones mencionadas anteriormente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 QUINTO: Con fecha 30 de junio de 2025, la Presidencia de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el día 3 de julio de 2025 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SEXTO: Con fecha 1 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 04/08/2025 como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 14 de agosto de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: 1.- Muestran su conformidad con la propuesta de apercibimiento formulada, así como con los hechos expuestos en el Acuerdo de Inicio de procedimiento de apercibimiento. 2.- Asimismo, reiteran la concurrencia de las siguientes circunstancias: 1) La ausencia de respuesta a la petición de acceso del reclamante no obedeció a una decisión deliberada, sino resultado de una incidencia puntual en el procedimiento interno, provocada por la simultaneidad entre la solicitud de baja de los boletines comerciales y el ejercicio del derecho de acceso del reclamante. 2) Dado que la baja de la suscripción comportaba la cancelación de todos los datos del reclamante —al no existir otros tratamientos activos— el personal encargado entendió erróneamente que el trámite quedaba concluido, omitiendo la remisión de la información solicitada. 3) Una vez detectada la incidencia, se remitió al interesado toda la documentación requerida y, con el fin de evitar su reiteración, se implementaron de inmediato las medidas correctivas detalladas en nuestra contestación al requerimiento de información de la Subdirección General de Inspección de Datos, durante la fase previa a la incoación del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 3 de septiembre de 2023 A.A.A. envió un correo electrónico a LOGITRAVEL con el siguiente contenido (traducción no oficial, en alemán el original): “Muy señora mía/Muy señor mío, por la presente, presento una solicitud del artículo 15 del RGPD, incluida una copia de mis datos, de dónde obtuvieron mis datos y la base jurídica para el tratamiento, incluido el seguimiento por correo electrónico, hasta el 3 de octubre de 2023. Le saluda atentamente, A.A.A.” SEGUNDO: El 11 de septiembre de 2023 LOGITRAVEL envió un correo electrónico a A.A.A. con el siguiente contenido (traducción no oficial, en alemán el original): “Estimado cliente: Por la presente confirmamos su baja como cliente y de nuestras listas de correo comercial. Sus datos personales se eliminarán de conformidad con las disposiciones legales aplicables.” TERCERO: El 28 de octubre de 2024, tras la recepción de requerimiento de esta Agencia al respecto, LOGITRAVEL envió un correo electrónico a A.A.A. con el siguiente contenido (en alemán el original, traducción no oficial): “Muy señor mío: Le proporcionaremos información sobre sus datos personales procesados por nosotros: - nombre y apellidos (A.A.A.), - Dirección electrónica (***EMAIL.1), - Idioma (alemán). Estos datos se recogieron el 5 de octubre de 2011. Desde entonces, ha recibido boletines semanales de nosotros, incluidos los últimos cinco, que muestran que se cumple la obligación de información en virtud del Reglamento General de Protección de Datos y que hay formas de darse de baja. Sus datos personales fueron tratados exclusivamente con la finalidad de enviar boletines comerciales de la empresa, sin perfilar ni personalizar las ofertas. Usted no tiene una cuenta a su nombre en nuestro sitio web, ni hay ofertas o reservas de usted en nuestros sistemas. El 3 de septiembre de 2023, presentó usted dos solicitudes: Darse de baja de la lista de correo y ejercer su derecho de acceso. Su baja de la lista de correo entró en vigor el 4 de septiembre de 2023; Desde entonces, no se le ha enviado ninguna otra comunicación comercial. Esta cancelación de la suscripción le fue confirmada el 11 de septiembre de 2023. No ha recibido respuesta a su solicitud de ejercicio del derecho de acceso; Lamentamos mucho esto y nos gustaría disculparnos por ello. La falta de respuesta fue el resultado de un incidente puntual en la aplicación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 procedimiento interno para procesar las solicitudes de ejercicio de los derechos de los interesados, así como el cumplimiento de las directrices de protección de datos que deben seguir los empleados de Logitravel. Dado que la cancelación de la suscripción a los boletines comerciales dio lugar a la eliminación de sus datos personales, en ausencia de otras operaciones activas de procesamiento de datos, el personal que procesó su solicitud la completó sin detallar más su derecho de acceso ejercido. Para evitar que se repitan tales incidentes y garantizar que todas las consultas y quejas sobre protección de datos se manejen adecuadamente, hemos actualizado nuestro proceso de gestión de derechos de privacidad. Además, llevaremos a cabo actividades de sensibilización para mejorar la comprensión de nuestros empleados sobre este proceso y las políticas de privacidad de la empresa. Sinceramente,” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que LOGITRAVEL realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellido y correo electrónico. LOGITRAVEL realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que LOGITRAVEL está establecida en España, si bien presta servicio a otros países de la Unión Europea. III Contestación a las alegaciones frente al acuerdo de inicio LOGITRAVEL en su escrito de alegaciones al acuerdo de inicio del presente procedimiento ha señalado que la ausencia de respuesta a la petición de acceso del reclamante no obedeció a una decisión deliberada, sino que fue el resultado de una incidencia puntual en el procedimiento interno por el cual el personal encargado de su tramitación entendió erróneamente que el trámite había concluido con la baja, dado que el reclamante solicitó la baja junto con el derecho de acceso, pero que una vez detectada la incidencia, se remitió al interesado toda la documentación requerida. No obstante, LOGITRAVEL ha manifestado su conformidad con el presente procedimiento y con los hechos expuestos en el citado acuerdo de inicio. Por lo que esta Agencia entiende que no procede consideración alguna puesto que admiten los hechos, la infracción y la medida correctiva impuesta. IV Derecho de acceso del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  2. a)los fines del tratamiento;
  3. b)las categorías de datos personales de que se trate;
  4. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  5. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  6. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  7. f)el derecho a presentar una reclamación ante una autoridad de control;
  8. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  9. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." En el presente caso, A.A.A. recibió un correo electrónico publicitario de LOGITRAVEL el 3 de septiembre de 2023. Ese mismo día, presentó mediante correo electrónico a LOGITRAVEL una solicitud de acceso en virtud del artículo 15 del RGPD pidiendo una copia de sus datos, información sobre el origen de los mismos y de la base jurídica para su tratamiento. El 11 de septiembre de 2023 LOGITRAVEL le indicó a A.A.A. que se le había dado de baja como cliente y de sus listas de correos comerciales, pero no se le proporcionó información alguna sobre su solicitud de acceso. Y no fue hasta el 28 de octubre de 2024 que envió al reclamante un correo electrónico con la información por él solicitada, así como una explicación de por qué no se había C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 atendido debidamente su solicitud de acceso: “La falta de respuesta fue el resultado de un incidente puntual en la aplicación del procedimiento interno para procesar las solicitudes de ejercicio de los derechos de los interesados, así como el cumplimiento de las directrices de protección de datos que deben seguir los empleados de Logitravel”. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a LOGITRAVEL, por vulneración del artículo 15 del RGPD transcrito anteriormente. V Tipificación y calificación de la infracción del artículo 15 del RGPD El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "(…)
  10. b)los derechos de los interesados a tenor de los artículos 12 a 22;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." VI Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 (…)
  12. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a TRAVELCONCEPT, S.L.U. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a TRAVELCONCEPT, S.L.U., con NIF B57288193, por una infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a TRAVELCONCEPT, S.L.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-241125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.