PS-00001-2022

1/30  Expediente N.º: PS/00001/2022 IMI Reference: A56ID 172880- Case Register 79805 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15 de diciembre de 2020 interpuso reclamación ante la autoridad austríaca de protección de datos. La reclamación se dirige contra VACACIONES EDREAMS S.L., con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante ha solicitado la supresión de sus datos personales a través del servicio OPODO, propiedad de EDREAMS. En respuesta, ha recibido correos electrónicos automatizados pero no se han eliminado sus datos personales. La parte reclamante considera esta respuesta insuficiente. Junto con la reclamación aporta: - Impresión de pantalla de un correo de fecha 28 de octubre de 2020, desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que solicita se eliminen sus datos personales y se realicen las gestiones para que los socios a los que se les hubiera cedido sus datos, también los eliminen. - Impresión de pantalla de un correo automático de fecha 28 de octubre de 2020 desde la dirección de correo electrónico no-reply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. - Impresión de pantalla de un correo de fecha 9 de noviembre de 2020, desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que aún no recibió respuesta a su solicitud. - Impresión de pantalla de un correo a la dirección de la parte reclamante, de fecha 12 de noviembre de 2020 desde la dirección de correo electrónico customerservicede@contact.opodo.com, en el que se le da instrucciones para obtener un reembolso de su vuelo. - Impresión de pantalla de un correo de fecha 13 de noviembre de 2020, desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la tercera vez que solicita la supresión de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/30 - Impresión de pantalla de un correo automático de fecha 13 de noviembre de 2020 desde la dirección de correo electrónico no-reply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. - Impresión de pantalla de un correo de fecha 24 de noviembre de 2020, desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la cuarta vez que solicita la supresión de sus datos personales. - Impresión de pantalla de un correo de fecha 25 de noviembre de 2020 desde la dirección de correo electrónico no-reply@contact.opodo.com, en el que se le indica que para completar su proceso de registro como miembro premium debe contactar de forma telefónica. - Impresión de pantalla de un correo de fecha 27 de noviembre de 2020, desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la quinta vez que solicita la supresión de sus datos personales. - Impresión de pantalla de un correo automático de fecha 27 de noviembre de 2020 desde la dirección de correo electrónico no-reply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 29 de diciembre de 2020 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EDREAMS tiene su sede social y establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada”, además de la autoridad austríaca de protección de datos, la autoridad de protección de datos de Noruega, Bélgica, Italia, Francia, Dinamarca y la autoridad alemana de Berlín, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dichos Estados miembro resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 TERCERO: Con fecha 25 de enero de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El Delegado de Protección de Datos del grupo de empresas EDREAMS, al que pertenece ODIGEO, titular de la página web de www.opodo.com, de la que la parte reclamante acredita ser cliente mediante su correo electrónico ***EMAIL.1, realiza las siguientes manifestaciones en relación con la tramitación del derecho de cancelación de datos:

1. En relación al detalle del procedimiento establecido para ejercitar el derecho de cancelación de datos: Los derechos de cancelación de datos personales, así como los de cualquier otro derecho de datos personales, se centralizan desde el Formulario de Privacidad con el objeto de facilitar a los usuarios el ejercicio de derechos, mediante esta herramienta de fácil acceso, enlazada y explicada de forma transparente en la Política de Privacidad. Este formulario permite a su vez automatizar parte del proceso, en el que se abre un ticket de Freshdesk. Este ticket es exclusivamente gestionado por un equipo de agentes especializados en la gestión de dichos derechos, del departamento interno de VIP Comms. La primera acción será revisar la petición, confirmando que se dispone de toda la información y las garantías de que la identidad de la persona queda suficientemente acreditada. Posteriormente, se conecta con “Jira” para comunicarse con los departamentos oportunos, según el derecho ejercido. Una vez las acciones oportunas han sido realizadas por cada equipo en sus sistemas, se procede a dar respuesta al interesado siguiendo la guía interna. En este caso, aplica la guía del derecho de cancelación. Asimismo, los clientes pueden ejercer sus derechos por cualquier vía que consideren oportuna. En el caso de la parte reclamante, la petición la envió a un email genérico de atención al cliente que es gestionado por los agentes de atención al cliente. Los agentes del servicio de atención al cliente disponen de una política interna que deben seguir en caso de que se solicite el ejercicio de cualquier derecho de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 personales fuera del canal del Formulario de Privacidad, para poder redireccionar dicha petición del cliente.
2. En relación con el motivo por el que no se ha atendido el derecho de cancelación de la parte reclamante Se ha investigado el caso de la parte reclamante y manifiestan que éste no ha sido resuelto por un error manual del agente, que no ha dado un correcto tratamiento del mismo. Al tener conocimiento del problema, EDREAMS ha asignado este caso a un especialista para dar tratamiento a este ejercicio de derecho inmediatamente realizando todas las acciones internas en sus sistemas, las comprobaciones oportunas y facilitando respuesta al cliente. Al analizar el caso, se han encontrado con las siguientes circunstancias: En los últimos meses, desde el comienzo de la crisis provocada por la COVID19, la industria del turismo se ha visto dramáticamente afectada. La entidad, en tanto que es agencia de viajes, ha visto como las compañías aéreas cancelaban sus vuelos en masa y han tenido un incremento del 300% de solicitudes de atención al cliente. A esta circunstancia se ha sumado que durante nueve meses del año 2020 han estado en un ERTE parcial en el que la jornada laboral estaba reducida el 60%, trabajando solo el 40% de la jornada laboral normal. Dicho ERTE fue consecuencia directa del del impacto económico de la COVID19 que ha llegado a reducir más de un 90% los ingresos en comparación con el año anterior. Teniendo en cuenta estas circunstancias excepcionales -nunca vistas- han intentado continuar contestando de la mejor manera posible a las solicitudes de los clientes. El caso de la parte reclamante no se gestionó apropiadamente. Pero el riesgo de que esto vuelva a pasar debido a las circunstancias descritas es muy remoto.
3. En relación con la justificación documental de la efectiva atención de la solicitud de borrado de datos y de la confirmación enviada a la parte reclamante Aportan la siguiente documentación: - Copia de la respuesta enviada a la parte reclamante - Detalle del proceso interno mediante el cual se han producido las comunicaciones con los equipos responsables del posible tratamiento de datos del cliente y los requerimientos de la acción oportuna según el derecho ejercido - Impresión de pantalla del sistema en el que aparecen los datos bloqueados de la parte reclamante hasta que finalicen los plazos legales relativos a reclamaciones de consumo y a efectos de prueba documental de la transacción que tiene impacto en la contabilidad y la fiscalidad de la empresa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30
4. En relación a si, a la vista de este incidente, consideran necesario adaptar o modificar su procedimiento para la atención del derecho de cancelación de datos: Pese a entender que este incidente se produce en las circunstancias excepcionales antes mencionadas, han aprovechado el mismo para realizar las siguientes acciones y/o revisarlas:
5. Se ha enviado un recordatorio en la newsletter semanal a todos los agentes de atención al cliente de la importancia de gestionar bien cualquier ejercicio de derechos, recordándoles el procedimiento interno y la necesidad de centralizarlo vía el Formulario de Privacidad.
6. Adelantar la formación de protección de datos que se hace de forma regular para que se realice en los próximos 3 meses.
7. Al no haberse producido por parte del mismo agente una mala gestión previa de un derecho del interesado, y dadas las circunstancias excepcionales, no han procedido a aplicar ninguna acción disciplinaria concreta, más que avisar del incidente y de cómo evitar que se vuelva a reproducir.
8. Están trabajando para utilizar formularios sencillos de atención al cliente. En cuanto estén listos, Se recordará que el Formulario de Privacidad es el que debe usarse para el ejercicio de cualquier derecho de los interesados a efectos de protección de datos personales (ya que se gestiona por un equipo especializado y dedicado a tal finalidad). Hasta que no dispongan de dichos formularios, se va a incluir, en el mensaje automático de correcta recepción de cualquier solicitud de atención al cliente, un recordatorio del Formulario de Privacidad, como figura en la Política de Privacidad, para dar mayor visibilidad al interesado. QUINTO: Con fecha 24 de enero de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 7 de febrero de 2022, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 15 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS a fin de dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 18 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 30 de julio de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: 1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA EDREAMS alega que centraliza la gestión del ejercicio de derechos (incluido el derecho de supresión) a través de su Formulario de Privacidad. Y que, de esta forma, se facilita a los usuarios el ejercicio de dichos ejercicios, mediante esta herramienta de fácil acceso, enlazada en su Aviso de Privacidad y gestionada mediante un proceso definido y por un equipo formado y dedicado a tal efecto. Indica que el Formulario de Privacidad permite a su vez automatizar parte del proceso, con el fin de proporcionar una mejor y más rápida respuesta. Explica que, inicialmente, el interesado ejerce su derecho mediante el Formulario de Privacidad. Dicha solicitud está exclusivamente condicionada a que los agentes especializados en la gestión de éstos derechos puedan confirmar la información y se tengan suficientes garantías de que la persona dice ser quien es y/o de que la representación de un tercero está suficientemente acreditada (normalmente la confirmación pasa porque el cliente, que recibe un correo electrónico de verificación, confirme en su correo electrónico personal registrado en sus sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, se conecta con los departamentos oportunos, para ejecutar las acciones correspondientes en base al derecho ejercido. Finalmente, una vez las acciones necesarias han sido realizadas, se procede a dar respuesta al interesado de acuerdo a una guía interna (en este caso, la guía del derecho de supresión). Manifiesta que este proceso se realiza de acuerdo con su Aviso de Privacidad y su Política interna de privacidad (aporta como Anexo 1 - Índice y sección aplicable de la Política interna de privacidad), así como de los procedimientos internos; en concreto la Guía interna sobre el ejercicio del derecho de supresión (aporta Anexo 2 - Guía interna sobre el ejercicio del derecho de supresión) y con la normativa de protección de datos: Artículo 12 RGPD 1: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 Artículo 11.1 LOPDGDD 2: “Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.” Artículo 12.2 LOPDGDD: “
9. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” En este sentido queremos insistir que no denegamos el ejercicio del derecho (que además se hubiera gestionado de ser ejercido por el Formulario de Privacidad por el equipo y proceso dedicados a tal fin) sino que la situación de excepcionalidad y un error humano en un agente dieron lugar a no reiterar una vez más al CLIENTE, de acuerdo con nuestro Aviso de Privacidad, la disponibilidad del Formulario de Privacidad para el ejercicio de sus derechos. Desarrollaremos este punto en la segunda alegación. Asimismo, estableceremos porqué y cómo hemos mitigado el riesgo de que esto suceda de nuevo. Comisión Europea - ¿Cómo debemos tramitar las solicitudes de las personas que ejercen sus derechos en materia de protección de datos?: “Cuando los datos personales se tratan con medios electrónicos, ustedes deben ofrecer medios para que las solicitudes se presenten electrónicamente.” AEPD - Ejerce tus derechos: “El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que optes por otro medio”. A mayor abundamiento, EDREAMS alega que es consciente de que los clientes pueden ponerse en contacto con ellos por distintas vías con finalidades diversas. Y, por ello, forman a sus agentes de Atención al cliente y realizan acciones de concienciación respecto al ejercicio de derechos. Del mismo modo, facilitan una guía de respuesta, con la finalidad que sepan detectar el ejercicio de derechos y sepan reiterar la información ya recogida en su Aviso de Privacidad, respecto al Formulario de Privacidad como medio para ejercer los derechos. 2.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES En primer lugar, alegan que tras las investigaciones internas comprobaron que, la parte reclamante no ejerció su derecho de acuerdo con el Aviso de Privacidad, mediante el Formulario de Privacidad (mencionado en la alegación primera y mediante el cual dicen que se garantiza que un agente especializado gestione la correspondiente solicitud). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 En segundo lugar, alegan que han analizado los buzones de correo electrónico genéricos de Atención al cliente y han comprobado que recibieron una solicitud de la parte reclamante. Se han puesto en contacto con el equipo de Atención al cliente que les ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a sus procesos internos que supuestamente garantizan la correspondiente gestión de dicha petición, haciendo referencia a su Formulario de Privacidad (como tienen indicado en el proceso interno de gestión de derechos de protección de datos) o a escalar el ejercicio de derecho internamente al departamento especializado que se encarga de ello. Este error manual del agente se produjo debido a que el agente no abrió ticket interno de respuesta al recibir la comunicación de la parte reclamante y por ello no le indica a la parte reclamante que ejerza el derecho en el Formulario de Privacidad, como hubiera debido hacer en aquel momento. Además, esto se produjo en un contexto de situación excepcional en la cual se encontraba EDREAMS dada la saturación sin precedentes de solicitudes en sus buzones de correo electrónico de Atención al cliente que recibieron por la situación provocada por la COVID-
10. Pese a estas circunstancias devastadoras tanto económicamente como organizativamente, manifiesta EDREAMS que han intentado continuar contestando de la mejor manera posible a todas las solicitudes de sus clientes, consiguiendo soporte interno de otros equipos para esta gestión y han intentado salir de estos meses lo mejor posible. Indica que en esos canales de Atención al cliente se intenta contestar lo antes posible pero no existe ningún plazo fijo determinado de respuesta, ya que depende del filtrado de temas y la priorización de los mismos, que se realiza de forma manual por el equipo de Atención al cliente y que conlleva riesgos de incorrecta categorización manual a diferencia de lo que ocurre cuando se ejercitan por el medio proporcionado para el ejercicio de derechos (el Formulario de Privacidad). Y manifiesta que es precisamente por dicha razón que se creó un medio específico (mediante el Formulario de Privacidad), cumpliendo supuestamente con la normativa de protección de datos y con el fin de ser capaces de ofrecer un proceso maduro y lo más garantista y transparente posible para que los clientes ejerzan sus derechos de protección de datos. Además, dicho proceso lo han automatizado con una herramienta de privacidad especializada (***HERRAMIENTA.1), para reducir riesgos y mejorar sus respuestas, y se gestiona con alertas para evitar que venzan plazos y dar respuesta a los clientes lo antes posible y con un plazo máximo de treinta días. Señala EDREAMS que prueba de lo mismo es la gestión de la respuesta prioritaria e inmediata al ejercicio del derecho de la parte reclamante con máxima celeridad desde que tuvieron conocimiento del mismo: fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho inmediatamente, realizando todas las acciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 internas en sus sistemas, las comprobaciones oportunas y la parte reclamante conformemente respondido. Indica EDREAMS que muy a su pesar, el caso de la parte reclamante no se dirigió correctamente a la información oportuna y al Formulario de Privacidad. Y que las circunstancias excepcionales y el error manual del agente, así como las medidas implementadas, hacen que el riesgo de reproducirse este caso sea remoto. 3.- MEJORA CONTINUA DE LA TRANSPARENCIA SOBRE EL EJERCICIO DE DERECHOS Alega EDREAMS que aprovecharon este caso (producido por no ejercitar el derecho de forma correcta y a través de los medios adecuados así como por un error manual del agente que no siguió las políticas y guías internas, en un contexto además de excepcionalidad) como una oportunidad para analizar todas las causas y circunstancias de este caso, referidas anteriormente en la segunda alegación, y que les ha permitido tomar medidas extra para evitar que se produzcan situaciones similares. EDREAMS hace hincapié en que considera que su programa de cumplimiento normativo en el ámbito de la privacidad y protección de datos se sustenta en el continuo monitoreo y continua mejora y aprendizaje con el fin de aumentar los niveles de cumplimiento normativo. Señala que, en este contexto de ejercicio de derechos, también mantienen la misma filosofía y toman muy en serio los derechos de los interesados, no solo como una acción de cumplimiento normativo fundamental, sino porque es la mejor manera de garantizar la confianza de sus clientes. Indican que es por ello, que disponen de un equipo dedicado y formado específicamente, así como un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor respuesta posible a sus clientes, mediante el Formulario de Privacidad, y los sistemas internos de coordinación para tratar dichas peticiones de acuerdo con la normativa. Asimismo, como esfuerzo extra para la garantía y salvaguarda del ejercicio de derechos, se forma e indica a los agentes de Atención al cliente para que en caso de recibir cualquier asunto de protección de datos personales, deben dirigir al cliente al Formulario de Privacidad para que éste así pueda ejercer sus derechos. Manifiesta que, pese a entender que este caso se produce en las circunstancias excepcionales antes mencionadas, y al haber recibido varios errores manuales de agentes de Atención al cliente en canales genéricos de dicho servicio, han aprovechado para implementar un Formulario de Atención al cliente, que los clientes accederán, sea vía el Centro de ayuda de Atención al cliente, sea al enviar un correo electrónico a los buzones de correo electrónico todavía genéricos de Atención al cliente todavía disponibles. Dicho formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio de derechos que redirige a su Formulario de Privacidad (como único medio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 que debe usarse para el ejercicio de cualquier derecho de los interesados a efectos de protección de datos personales; ya que se gestiona por un equipo especializado y dedicado a tal finalidad) (se aporta Anexo 3 - Formulario de Atención al cliente y Anexo 4 - Centro de ayuda y preguntas frecuentes). De esta forma, entienden que garantizan un procedimiento especializado y garantista, a la vez que también redireccionan a sus clientes que se pongan en contacto con ellos por otros medios (como son los medios de contacto generales de Atención al cliente) con el fin de tener un sistema que permita que quien quiera ejercer sus derechos, pueda hacerlo sin problemas y mitigando los riesgos de errores manuales de agentes de Atención al cliente. Asimismo, forman anualmente de forma obligatoria en materia de protección de datos y especializada en ejercicio de derechos, incluyendo supuestos prácticos como el presente caso, así como acciones de sensibilización por parte del equipo de Atención al cliente (se aporta Anexo 5 - Artículos de sensibilización sobre el ejercicio de derechos), como por ejemplo, cubriendo temas como “qué es un ejercicio de derechos de protección de datos” y “cómo acompañar a los clientes para que los ejerzan vía el Formulario de Privacidad”. Por otro lado, han realizado en los últimos meses una migración de la herramienta del Formulario de Privacidad y gestión de derechos, pasando de una genérica a una especializada en privacidad (como es ***HERRAMIENTA.1) en la cual aparte de ser gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia de protección de datos, trabajan en una automatización de procesos para poder ser más ágiles y reducir riesgos de errores humanos. Manifiestan que sienten lo ocurrido en este caso excepcional. Al mismo tiempo entienden que dadas las circunstancias y las medidas antes descritas, EDREAMS cumple con la normativa de protección de datos así como con las directrices de la propia AEPD (anteriormente referidas en la primera alegación) y que el cierre del procedimiento sancionador contra EDREAMS con un apercibimiento, conlleva una interpretación desproporcionada de máximos de la normativa de protección de datos, en un contexto de pandemia mundial con unos efectos nunca vividos, especialmente por la industria turística en la que ejerce su actividad dicha empresa, así como por los esfuerzos realizados por la misma, máxime cuando han mitigado el riesgo de que vuelva a producirse casos similares a éste, con un Formulario de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando el Aviso de Privacidad, quieran ejercer sus derechos, y puedan ser guiados conformemente y sus derechos gestionados, mediante el Formulario de Privacidad. Reiteran el compromiso del equipo de EDREAMS en el trabajo incansablemente respecto al aprendizaje y la mejora continua de sus procesos, con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de sus clientes en nosotros. Y en este contexto, indican que continuarán en el seguimiento y mejora continua de las políticas, procesos, acciones y medidas aquí referidas. Por todo ello, solicita que se proceda al cierre del procedimiento sancionador sin apercibimiento en base en que se trata de un error manual excepcional, provocado por la gestión de un derecho de supresión referido por un canal genérico de Atención al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 cliente, no contemplado en su Aviso de Privacidad como medio para el ejercicio de derechos, con el servicio de Atención al cliente completamente saturado (como nunca en toda la historia de la compañía y en toda la industria turística, debido a las cancelaciones masivas por parte de las aerolíneas de los vuelos reservados que llegaron a más del 90%, junto con las restricciones de viajes impuestas por los gobiernos debido a la pandemia para el ejercicio de derechos de protección de datos), que EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio de los derechos de los interesados y siempre de forma colaborativa con la AEPD, y que, a mayor abundamiento ha sido mitigado con un Formulario de Atención al cliente en los términos descritos en su tercera alegación. OCTAVO: Con fecha 17 de octubre de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se dirija un apercibimiento a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD. Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 18 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 19 de octubre de 2022, EDREAMS presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. DÉCIMO: Con fecha 21 de octubre de 2022, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de tres días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a EDREAMS en fecha 24 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO PRIMERO: Con fecha 4 de noviembre de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que: PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS En primer lugar, EDREAMS recalca el riguroso respeto con el imperio de la Ley y los derechos de las personas en la diligencia mostrada por EDREAMS en todas sus actuaciones, así como en los esfuerzos y proactividad de ésta en asegurar y proteger los derechos de los interesados. Dicho lo anterior, EDREAMS se reitera en sus alegaciones previas y entiende que cumple con la normativa en los términos descritos a continuación, sin perjuicio de incidir en el presente escrito en aquellas que entiende más relevantes y añadir las que considera pertinentes, en aras a rebatir las fundamentaciones en base a las que se pretende apercibir a EDREAMS por parte de la AEPD. 1.- ACUSACIONES CONTRA EDREAMS SATISFACTORIAMENTE RESUELTAS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 Preliminarmente, EDREAMS recalca que la reclamación interpuesta ante la Autoridad austríaca de protección de datos versaba sobre la presunta vulneración del RGPD respecto de los preceptos relativos a la transparencia de las modalidades de ejercicio de los derechos del interesado. Concretamente, y tal y como se desprende de la Propuesta de Resolución de Procedimiento Sancionador, la parte reclamante denunció ante la Autoridad austríaca de protección de datos las distintas comunicaciones que realizó a direcciones genéricas de correo electrónico de Atención al cliente (entre ellas una dirección de no respuesta, “no-reply@contact.opodo.com”) para la supresión de sus datos personales. EDREAMS alega que ha quedado demostrado que actuó diligentemente en relación a las políticas y protocolos internos, tanto en el departamento interno especializado de gestión de derechos como las formaciones a los agentes de Atención al cliente tal y como se describe en las alegaciones de respuesta al acuerdo de inicio de procedimiento sancionador de este expediente. Por otro lado, respecto a la solicitud de ejercicio de derechos efectuada por la parte reclamante, es menester señalar que se ha dado respuesta inmediata a los derechos ejercidos una vez que la reclamación ha sido puesta en conocimiento de EDREAMS. Asimismo, y en esta línea argumentativa, señala que la AEPD ha valorado positivamente las medidas implementadas por EDREAMS, para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. Por todo ello, y en conjunción con la siguiente alegación, EDREAMS solicita en el presente escrito el archivo del procedimiento sancionador. 2.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA En lo que respecta a la adopción de medidas tendentes a garantizar la correcta gestión de los ejercicios de derechos, por un lado EDREAMS alega que dispone de un canal oficial, el Formulario de Privacidad (Anexo 1 - Formulario de Privacidad), que es, a su juicio, transparentemente informado y puesto a disposición de los interesados en su Aviso de Privacidad, resultando de fácil acceso para el interesado (Anexo 2 - Aviso de Privacidad: ejercicio de derechos). Por el otro, EDREAMS alega que tiene procesos, herramientas, materiales formativos y demás medidas oportunas ya supuestamente acreditadas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial. En esta última dirección, EDREAMS indica que trabaja incansablemente en mejora continua de las referidas medidas anteriormente, y que, a su entender, se acreditaron conformemente en la alegación tercera de su respuesta al acuerdo de inicio de procedimiento sancionador de fecha 30 de julio de 2022 (con número de registro O00007128e22P0006393), para que en todos sus canales de Atención al cliente se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad), en el caso de que se utilizasen para el ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30 EDREAMS comparte que una organización debe tener un canal oficial que recoja un procedimiento garantista en los términos estipulados por la normativa de protección de datos, así como unas medidas apropiadas que guíen la actuación de cualquier empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus derechos de protección de datos. Sin embargo, entiende que una interpretación en la que se exija el mismo grado de diligencia que debe tener el canal oficial (siempre y cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier otro canal de la organización, conllevaría una sobrecarga y dedicación de recursos desproporcionada de la organización, sin perjuicio de que, además, interpreta que resultaría contraria al hecho de que la normativa requiera un canal oficial para el ejercicio de derechos. La interpretación anteriormente mencionada se basa, a su juicio, en el hecho de que la norma en cuestión (el artículo 12.2 LOPDGDD 2) establece claramente que el responsable del tratamiento puede determinar un canal oficial, siempre y cuando sea fácilmente accesible (como resulta en el caso de EDREAMS). EDREAMS entiende que parece claro que la norma ha querido ir más allá y por ello requiere a las organizaciones una mayor cooperación para potenciar la eficacia de los derechos y, por ello, se ha recogido que las organizaciones no se puedan escudar en el hecho de que el correspondiente derecho se hubiera ejercido por otro canal del oficial, para directamente denegarlo sin más, sin tener controles internos al respecto (en el referido artículo 12.2 LOPDGDD). Pero, ¿acaso eso significa que una organización debe tener en cualquier canal un sistema de filtración y gestión de notificaciones que, no solo sea urgentísimo -debido a dicha naturaleza del plazo de ejercicio de derechos recogido en la normativa de protección de datos-, sino que, además, sea infalible? Y, en caso de no tenerlo, ¿se procedería con la apertura de expediente sancionador contra la organización pese a tener medidas apropiadas para dichos canales no especialmente dedicados al ejercicio de derechos, tal y como ha sucedido en el presente caso y ha sido reconocido por la AEPD? EDREAMS considera desproporcionada una interpretación que conllevara una respuesta positiva a las preguntas anteriores, por lo que ruega que se reconsidere dicha posición interpretativa. Se ruega a la AEPD tenga en cuenta que EDREAMS dispone (y disponía en el momento en el que tuvieron lugar los hechos) de un canal oficial, el cual está, en su opinión, transparentemente informado en el Aviso de Privacidad, y es fácilmente accesible de acuerdo con la normativa, y con medidas técnicas y organizativas implantadas, así como de medidas para reducir el riesgo de un posible error humano en la gestión manual de un agente encargado de un canal no oficial. EDREAMS entiende que no se puede desprender una conclusión que, en la práctica, resulte en que cualquier canal de comunicación de la empresa pudiera ser automáticamente un canal oficial de ejercicio de derechos. Alega que si la ley hubiera pretendido tal conclusión, requiriendo el mismo nivel de diligencia para cualquier canal de la organización, el redactado hubiera debido recoger C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 el siguiente posicionamiento: “El responsable del tratamiento estará obligado a informar al afectado sobre el hecho de que en cualquier medio de contacto de la organización podrá ejercer los derechos que le corresponden, así como facilitar la lista de los mismos”. Entiende que la posición de EDREAMS queda alineada con el considerando 59 RGPD, toda vez que EDREAMS ha creado fórmulas y medios electrónicos que permiten solicitar de forma gratuita el ejercicio de los derechos de los interesados. Dichas fórmulas y medios, alega, han sido informados a todo interesado de forma transparente y leal en sus distintos formularios y avisos de privacidad web, y en el proceso de contratación. Adicionalmente, insiste en que los canales de Atención al cliente, como el empleado por la parte reclamante, están destinados a finalidades de consumo, y, por lo tanto, no se puede tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de derechos. Aun así, con el fin de intentar garantizar que el interesado tenga el Formulario de Privacidad a su disposición pese a un posible error humano excepcional de un agente de Atención al cliente, EDREAMS ha implementado una nota al pie de los correos electrónicos genéricos de Atención al cliente, mediante la que se informa a los clientes, una vez más, de la existencia del Formulario de Privacidad para una gestión sencilla del ejercicio de derechos y que permite la correcta verificación de la identidad de los interesados (Anexo 3 - Nota al pie de los correos electrónicos de Atención al cliente). Por todo ello, EDREAMS considera que el precepto en cuestión requiere un deber de diligencia razonable, pero no maximalista. Y, en esta lógica, sin perjuicio de la posición anteriormente reconocida respecto a la interpretación del precepto en cuestión, EDREAMS insiste en que lo ocurrido en este caso tiene carácter excepcional, y se reitera en el compromiso de continuar trabajando incansablemente en la mejora continua de sus procesos, herramientas, y formación en todos sus canales de Atención al cliente para que, en el caso de que se utilizasen para el ejercicio de derechos, se dirija a los clientes al canal especial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad). Adicionalmente, es intención de EDREAMS dejar constancia y demostrar que las medidas vigentes en el momento de presunta infracción cumplían con las más rigurosas normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos y que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Asimismo, EDREAMS traslada a la AEPD, dentro del escrupuloso respeto de esta entidad a la normativa de protección de datos y de su disposición a colaborar con la AEPD, la aceptación de cualquier tipo de propuesta de mejora o recomendación por parte de esta AEPD en lo relativo al cumplimiento de la normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 Por todo ello, solicita que se dicte resolución de archivo del presente procedimiento sancionador y que la AEPD tenga en cuenta en su resolución: (i) el carácter excepcional del caso, debido a que la parte reclamante no ha ejercido sus derechos por el canal destinado y descrito en el Aviso de Privacidad (Formulario de Privacidad), sino a través de canales genéricos de Atención al cliente en un momento de saturación sin precedentes de solicitudes en los buzones de correo electrónico de Atención al cliente que recibieron por la devastadora situación provocada por la COVID-19; (ii) que, con relación a los canales destinados a cuestiones de consumo, la expectativa de respuesta de ejercicio de derechos no puede ser la misma que la de los canales destinados al ejercicio de derechos ofrecidos por EDREAMS; (iii) que se ha dado respuesta satisfactoria al ejercicio de los derechos presentados por la parte reclamante; y (iv) que EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio de los derechos de los interesados y siempre de forma colaborativa con la AEPD, y que todo esto no se vea mermado por este caso excepcional. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: - El 28 de octubre de 2020 a las 12:00 hrs se envió un correo electrónico desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que solicita se eliminen sus datos personales y se realicen las gestiones para que los socios a los que se les hubiera cedido sus datos, también los eliminen. SEGUNDO: El 28 de octubre de 2020 a las 12:02 hrs se envió un correo electrónico automático desde la dirección de correo electrónico no-reply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. TERCERO: El 9 de noviembre de 2020 a las 10:43 hrs se envió un correo electrónico desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que aún no recibió respuesta a su solicitud. CUARTO: El 12 de noviembre de 2020 a las 15:59 hrs se envió un correo electrónico a la parte reclamante desde la dirección de correo electrónico customerservicede@contact.opodo.com, en el que se le da instrucciones para obtener un reembolso de su vuelo. QUINTO: El 13 de noviembre de 2020 a las 16:23 hrs se envió un correo electrónico desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la tercera vez que solicita la supresión de sus datos personales. SEXTO: El 13 de noviembre de 2020ª las 16:25 hrs se envió un correo electrónico automático a la parte reclamante desde la dirección de correo electrónico noreply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. SÉPTIMO: El 24 de noviembre de 2020 a las 19:04 hrs se envió un correo electrónico desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la cuarta vez que solicita la supresión de sus datos personales. OCTAVO: El 25 de noviembre de 2020 a las 08:57 hrs se envió un correo electrónico a la parte reclamante desde la dirección de correo electrónico noreply@contact.opodo.com, en el que se le indica que para completar su proceso de registro como miembro premium debe contactar de forma telefónica. NOVENO: El 27 de noviembre de 2020 a las 08:47 hrs se envió un correo electrónico desde la dirección de correo electrónico de la parte reclamante a customer servicede@contact.opodo.com, en el que indica que es la quinta vez que solicita la supresión de sus datos personales. DÉCIMO: El 27 de noviembre de 2020 a las 08:49 hrs se envió un correo electrónico automático a la parte reclamante desde la dirección de correo electrónico noreply@contact.opodo.com, en el que se le agradece por contactar con Opodo, se le dice que se procesará su solicitud lo más pronto posible, se le informa que puede gestionar su reserva de forma electrónica y se le recomienda visitar su Centro de Ayuda para más información. DÉCIMO PRIMERO: El agente de EDREAMS que procesó la solicitud de la parte reclamante cerró el ticket sin haberlo gestionado adecuadamente. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo
11. En el caso examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de supresión de los datos personales se regula en el artículo 17 del RGPD y las modalidades de ejercicio de los derechos de los interesados se detallan en el artículo 12 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS:
12. EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA Alega EDREAMS que centraliza la gestión del ejercicio de derechos a través de un Formulario de Privacidad y que se le da curso a las solicitudes que se reciben a través de este formulario cumpliendo con la normativa de protección de datos. También afirma que es consciente de que los clientes pueden ponerse en contacto con la empresa a través de otras vías y que, por ello, forman a sus agentes de Atención al cliente y realizan acciones de concienciación respecto al ejercicio de derechos. Y facilitan una guía de respuesta a estos agentes para que sepan detectar el ejercicio de derechos y sepan reiterar la información respecto al Formulario de Privacidad como medio para ejercer los derechos. Al respecto, esta Agencia valora los esfuerzos realizados por EDREAMS para formar a sus agentes en el ejercicio de derechos que pudiera solicitarse a través de otras vías distintas al Formulario de Privacidad. Pero no es objeto del presente procedimiento si el procedimiento previsto para atender los ejercicios de derechos solicitados a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 del Formulario de Privacidad cumple o no con los requisitos de la normativa de protección de datos. Por todo lo expuesto, se desestima la presente alegación.
13. EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES EDREAMS alega en primer lugar que la parte reclamante no ejerció su derecho de acuerdo con su Aviso de Privacidad, mediante su Formulario de Privacidad. En segundo lugar, alega que la solicitud de la parte reclamante se realizó a través de los buzones de correo electrónico genéricos de Atención al cliente. Y que el equipo de Atención al cliente ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a los procesos internos de EDREAMS (haciendo referencia al Formulario de Privacidad o escalando el ejercicio de derecho internamente al departamento especializado que se encarga de ello). Y que esto se produjo en un contexto de situación excepcional en la cual se encontraba EDREAMS dada la saturación sin precedentes de solicitudes en sus buzones de correo electrónico de Atención al cliente que recibieron por la situación provocada por la COVID-
14. También se alega que en los canales de Atención al cliente se intenta contestar lo antes posible, pero no existe un plazo fijo determinado de respuesta y que el filtrado y la priorización de los temas se realiza de forma manual por el equipo de Atención al cliente y conlleva riesgos de incorrecta categorización manual. Asimismo, alega EDREAMS que una vez tuvo conocimiento del ejercicio de derechos de la parte reclamante fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho inmediatamente realizando todas las acciones internas en sus sistemas, las comprobaciones oportunas y la parte reclamante fue conformemente respondida. Finalmente, afirma que las circunstancias excepcionales y el error manual del agente, así como las medidas implementadas, hacen que el riesgo de reproducirse este caso sea remoto. Al respecto, esta Agencia desea señalar que el hecho de no haberse dirigido la parte reclamante a los canales previstos por EDREAMS para solicitar el ejercicio de sus derechos, no implica que la empresa no estuviera obligada a atender tal solicitud. Máxime cuando la petición se realizó a través del correo electrónico de Atención al cliente, un canal del cual puede esperarse razonablemente que está en condiciones de dar curso debidamente a la solicitud en cuestión. Esta Agencia valora los esfuerzos realizados para formar al personal de Atención al cliente, pero ello no obsta a que, en el presente caso, la empresa cerró por error el ticket de la solicitud en cuestión sin haberlo gestionado adecuadamente, tal y como afirma EDREAMS en sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 Por todo lo expuesto, se desestima la presente alegación.
15. MEJORA CONTINUA DE LA TRANSPARENCIA SOBRE EL EJERCICIO DE DERECHOS EDREAMS alega que dispone de un equipo dedicado y formado específicamente, así como un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor respuesta posible a sus clientes, mediante el Formulario de Privacidad. Asimismo, se forma e indica a los agentes de Atención al Cliente para que en caso de recibir cualquier asunto de protección de datos personales, dirijan al cliente al Formulario de Privacidad para que ejerza sus derechos. Al haber recibido varios errores manuales de agentes de Atención al Cliente en canales genéricos de dicho servicio, EDREAMS ha aprovechado para implementar un Formulario de Atención al Cliente, que los clientes accederán sea vía el Centro de ayuda de Atención al Cliente, sea al enviar un correo electrónico a los buzones de correo electrónico todavía genéricos de Atención al cliente todavía disponibles. Este formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio de derechos, que redirige al Formulario de Privacidad. Asimismo, EDREAMS forma anualmente de forma obligatoria en protección de datos y en ejercicio de derechos, incluyendo supuestos prácticos como el presente, así como acciones de sensibilización sobre el ejercicio de derechos por parte del equipo de Atención al cliente. Por otro lado, EDREAMS ha realizado en los últimos meses una migración de la herramienta del Formulario de Privacidad y gestión de derechos, pasando de una genérica a una especializada en privacidad en la cual aparte de ser gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia de protección de datos, se trabaja en una automatización de procesos para poder ser más ágiles y reducir riesgos de errores humanos. Entiende EDREAMS que dadas las circunstancias y las medidas antes descritas, cumple con la normativa de protección de datos así como con las directrices de la propia AEPD y que el cierre del procedimiento sancionador contra EDREAMS con un apercibimiento, conlleva una interpretación desproporcionada en un contexto de pandemia mundial con unos efectos nunca vividos, especialmente por la industria turística en la que ejerce su actividad dicha empresa, así como por los esfuerzos realizados por la misma, máxime cuando han mitigado que el riesgo de que vuelva a producirse casos similares a éste, con un Formulario de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando el Aviso de Privacidad, quieran ejercer sus derechos, y puedan ser guiados conformemente y sus derechos gestionados, mediante el Formulario de Privacidad. Al respecto, esta Agencia valora positivamente las medidas implementadas para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. Pero, en el presente caso, no es menos cierto que la parte reclamante había solicitado el ejercicio de un derecho que no ha sido atendido debidamente por parte de EDREAMS. El hecho de que haya adoptado medidas tendientes a que una situación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30 como la del presente procedimiento no vuelva a producirse es, precisamente, una de las circunstancias que se tienen en cuenta para sustituir la posibilidad de imponer una multa por la opción de dirigir un apercibimiento. Por todo lo expuesto, se desestima la presente alegación. En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS Al respecto, esta Agencia se reitera en su respuesta a las alegaciones presentadas al acuerdo de inicio del presente procedimiento sancionador. 1.- ACUSACIONES CONTRA EDREAMS SATISFACTORIAMENTE RESUELTAS Preliminarmente, EDREAMS recalca que la reclamación interpuesta ante la Autoridad austríaca de protección de datos versaba sobre la presunta vulneración del RGPD respecto de los preceptos relativos a la transparencia de las modalidades de ejercicio de los derechos del interesado. Concretamente, y tal y como se desprende de la Propuesta de Resolución de Procedimiento Sancionador, la parte reclamante denunció ante la Autoridad austríaca de protección de datos las distintas comunicaciones que realizó a direcciones genéricas de correo electrónico de Atención al cliente (entre ellas una dirección de no respuesta, “no-reply@contact.opodo.com”) para la supresión de sus datos personales. EDREAMS alega que ha quedado demostrado que actuó diligentemente en relación a las políticas y protocolos internos, tanto en el departamento interno especializado de gestión de derechos como las formaciones a los agentes de Atención al cliente tal y como se describe en las alegaciones de respuesta al acuerdo de inicio de procedimiento sancionador de este expediente. Al respecto, esta Agencia desea señalar que no ha quedado demostrado en el presente expediente que hubiera actuado diligentemente en relación a las políticas y protocolos internos, tanto en el departamento interno especializado de gestión de derechos como las formaciones a los agentes de Atención a cliente, toda vez que no es objeto del presente procedimiento dicha cuestión. Por otro lado, respecto a la solicitud de ejercicio de derechos efectuada por la parte reclamante, EDREAMS señala que se ha dado respuesta inmediata a los derechos ejercidos una vez que la reclamación ha sido puesta en su conocimiento. Al respecto, esta Agencia desea resaltar que es el mismo responsable el que reconoce que el ejercicio de derechos de la parte reclamante no fue atendido en plazo sino una vez recibió la reclamación por parte de la AEPD. Asimismo, y en esta línea argumentativa, EDREAMS señala que la AEPD ha valorado positivamente las medidas implementadas para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 Al respecto, esta Agencia desea señalar nuevamente que el hecho de que se haya adoptado medidas tendientes a mitigar el riesgo de que una situación como la del presente procedimiento vuelva a producirse es, precisamente, una de las circunstancias que se tienen en cuenta para sustituir la posibilidad de imponer una multa por la opción de dirigir un apercibimiento. Por todo lo expuesto, se desestima todo lo indicado en la presente alegación. 2.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA En lo que respecta a la adopción de medidas tendentes a garantizar la correcta gestión de los ejercicios de derechos, por un lado EDREAMS alega que dispone de un canal oficial, el Formulario de Privacidad (Anexo 1 - Formulario de Privacidad), que es, a su juicio, transparentemente informado y puesto a disposición de los interesados en su Aviso de Privacidad, resultando de fácil acceso para el interesado (Anexo 2 - Aviso de Privacidad: ejercicio de derechos). Por el otro, EDREAMS alega que tiene procesos, herramientas, materiales formativos y demás medidas oportunas ya supuestamente acreditadas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial. En esta última dirección, EDREAMS indica que trabaja incansablemente en mejora continua de las referidas medidas anteriormente, y que, a su entender, se acreditaron conformemente en la alegación tercera de su respuesta al acuerdo de inicio de procedimiento sancionador de fecha 30 de julio de 2022 (con número de registro O00007128e22P0006393), para que en todos sus canales de Atención al cliente se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad), en el caso de que se utilizasen para el ejercicio de derechos. Al respecto, esta Agencia se reitera en que no es objeto del presente procedimiento si el procedimiento previsto para atender los ejercicios de derechos solicitados a través del Formulario de Privacidad cumple o no con los requisitos de la normativa de protección de datos. EDREAMS alega que comparte que una organización debe tener un canal oficial que recoja un procedimiento garantista en los términos estipulados por la normativa de protección de datos, así como unas medidas apropiadas que guíen la actuación de cualquier empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus derechos de protección de datos. Sin embargo, entiende que una interpretación en la que se exija el mismo grado de diligencia que debe tener el canal oficial (siempre y cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier otro canal de la organización, conllevaría una sobrecarga y dedicación de recursos desproporcionada de la organización, sin perjuicio de que, además, interpreta que resultaría contraria al hecho de que la normativa requiera un canal oficial para el ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 Y se pregunta si una organización debe tener en cualquier canal un sistema de filtración y gestión de notificaciones urgentísimo e infalible, o de lo contrario la AEPD procedería a la apertura de un expediente sancionador, lo cual considera desproporcionado. Alega que EDREAMS dispone (y disponía en el momento en el que tuvieron lugar los hechos) de un canal oficial, el cual está, en su opinión, transparentemente informado en el Aviso de Privacidad, y es fácilmente accesible de acuerdo con la normativa, y con medidas técnicas y organizativas implantadas, así como de medidas para reducir el riesgo de un posible error humano en la gestión manual de un agente encargado de un canal no oficial. EDREAMS entiende que no se puede desprender una conclusión que, en la práctica, resulte en que cualquier canal de comunicación de la empresa pudiera ser automáticamente un canal oficial de ejercicio de derechos. Entiende que la posición de EDREAMS queda alineada con el considerando 59 RGPD, toda vez que EDREAMS ha creado fórmulas y medios electrónicos que permiten solicitar de forma gratuita el ejercicio de los derechos de los interesados. Dichas fórmulas y medios, alega, han sido informados a todo interesado de forma transparente y leal en sus distintos formularios y avisos de privacidad web, y en el proceso de contratación. Adicionalmente, insiste en que los canales de Atención al cliente, como el empleado por la parte reclamante, están destinados a finalidades de consumo, y, por lo tanto, no se puede tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de derechos. Aun así, indica que EDREAMS ha implementado una nota al pie de los correos electrónicos genéricos de Atención al cliente, mediante la que se informa a los clientes de la existencia del Formulario de Privacidad para una gestión sencilla del ejercicio de derechos y que permite la correcta verificación de la identidad de los interesados. Al respecto, esta Agencia desea señalar que el citado considerando