PS-00014-2023

(1)del Reglamento General de Protección de Datos (en adelante, RGPD). Y solicita que la información se reciba en formato electrónico, al igual que se ha solicitado electrónicamente. - Impresión de un correo electrónico enviado desde A.A.A., fechado el 17 de noviembre de 2020 con asunto “***ASUNTO.1” al correo de B.B.B., en el que se indica que, para atender a su petición, contacte con el número de teléfono del departamento de atención al cliente correspondiente, y se dan los teléfonos de Alemania, Suiza y Austria. - Copia de carta que la parte reclamante indica que se envió a A.A.A. el día 19 de noviembre de 2020 en la que su representante agradece la respuesta del día 17 de noviembre de 2020 pero solicita que den respuesta por escrito a la carta enviada por e-mail el 16 de noviembre de 2020, e indica que contactar por teléfono para recibir esta información no es la manera apropiada de hacerlo. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/41 de febrero de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 7 de febrero de

1. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EDREAMS tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Hamburgo (Alemania), las autoridades de Baden-Wurtemberg y Berlín (Alemania) y la de Francia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 4 de marzo de 2022, de conformidad con el artículo 64.3 de la de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: El 7 de junio de 2022 la AEPD solicita, a través del Sistema IMI, a la autoridad de protección de datos de Hamburgo (Alemania), información adicional sobre el asunto, concretamente, los correos electrónicos enviados por la parte reclamante a EDREAMS. La autoridad de protección de datos de Hamburgo (Alemania), compartió a través de IMI, el día 10 de junio de 2022, la siguiente documentación: - . Correo electrónico enviado por la parte reclamante a EDREAMS con fecha 16 de noviembre de
2. - . Correo electrónico enviado por la parte reclamante a EDREAMS con fecha 19 de noviembre de
3. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/41 El día 8 de junio de 2022, se obtiene una impresión de la política de privacidad publicada en los sitios web opodo.es y opodo.de, de la que se obtiene, entre otra, la siguiente información:
4. El responsable del tratamiento es Vacaciones eDreams S.L. El día 9 de junio de 2022, se recibe en la AEPD escrito de respuesta a requerimiento de información, presentado en nombre de EDREAMS, con número de registro de entrada ***REGISTRO.1, en el que se aporta la siguiente información:
5. Indicación de que, al no haber aportado la parte reclamante la dirección de correo electrónico, han buscado a la parte reclamante en su base de datos de reservas de clientes sin haber podido encontrarla después de realizar las siguientes búsquedas: - Por nombre y apellido de la parte reclamante (A.A.A.), no se ha encontrado ningún resultado. - Por apellido de la parte reclamante (A.A.A.) se han encontrado 8 resultados pero ninguno con el nombre A.A.A.. - Por nombre y apellido del representante de la parte reclamante (C.C.C.), no se ha encontrado ningún resultado. - Dentro del buzón A.A.A., no han podido realizar la búsqueda de la solicitud porque su sistema no les permite realizar búsquedas si no conocen el correo electrónico que envió la solicitud.
6. Solicitud de que la parte reclamante proporcione la dirección de correo electrónico con la que hizo la reserva para poder investigar el caso. El día 6 de julio de 2022, se obtiene contestación de la SA Hamburgo a requerimiento de información de la AEPD a través del sistema IMI, en la que se aporta, entre otra, la siguiente información:
7. Indicación de que la solicitud de ejercicio de derechos del artículo 15 del RGPD en nombre de la parte reclamante fue presentada el día 16 de noviembre de 2020, y fue remitido desde la dirección de correo electrónico ***EMAIL.
9. Indicación de que la parte reclamante aporta el número de reserva de 2019 “***RESERVA.1”. El día 11 de octubre de 2022, se notifica requerimiento de información a EDREAMS aportando la información sobre el correo electrónico y el número de reserva aportados por la SA Hamburgo. El día 21 de octubre de 2022, se recibe en la AEPD escrito de respuesta a este requerimiento de información, presentado en nombre de la EDREAMS, con número de registro de entrada ***REGISTRO.2, en el que se aporta, entre otra, la siguiente información:
10. Enlace a la política de privacidad (en castellano y en alemán, publicada en web.archive.org del 25 de septiembre de 2020) que se manifiesta que estaba vigente en el momento de presentar el ejercicio de derecho, dentro de la cual existe, entre otra, la siguiente información: - La última actualización de esta política fue en junio de
11. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/41 - En la versión en castellano se indica lo siguiente: “Puedes acceder a algunos de tus datos y actualizarlos a través de la configuración de tu cuenta o de los servicios de Atención al Cliente. … Para poder ejercer tus derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes indicar claramente tu identidad, especificando tu nombre completo y la dirección de e-mail que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas ejercer. Te responderemos lo antes posible, en un plazo máximo de un mes tras la recepción de tu solicitud validada, a menos que necesitemos más tiempo para gestionar tu solicitud, en cuyo caso te informaremos de ello. Ten en cuenta que posiblemente te pidamos que compruebes tu identidad y tu solicitud antes de llevar a cabo cualquier acción en relación con dicha solicitud. También puedes dirigirte a la Agencia Española de Protección de Datos (https://www.aepd.es/) o demás organismos de supervisión aplicables, si lo deseas. El ejercicio de estos derechos es gratuito a menos que hagas un uso injustificado o excesivo del mismo. En tal caso, tendremos derecho a cobrarte una cantidad razonable en función de los costes administrativos.” - En la versión en alemán se indica lo siguiente: “Sie können auf einige Ihrer Daten über Ihre Kontoeinstellungen oder den Kundendienst zugreifen und diese aktualisieren. … Um Ihre Rechte auszuüben, klicken Sie bitte hier oder senden Sie Ihre Anfrage per Briefpost an die folgende Adresse: Datenschutz – Calle Bailén, 67, 08009 Barcelona, Spanien, Europäische Union. In Ihrer Anfrage müssen Sie Ihre persönliche Identität deutlich angeben, mit Ihrem vollständigen Namen und der EMail-Adresse, mit der Sie gebucht oder ein Konto erstellt haben.” [Traducción no oficial: “Puede acceder a algunos de sus datos sobre la configuración de su cuenta o servicio posventa y actualizarlos. … Para ejercer sus derechos, pulse aquí o envíe su solicitud por carta a la siguiente dirección: Protección de datos — Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En su solicitud, debe indicar claramente su identidad personal, con su nombre y apellidos y la dirección de correo electrónico con la que reservó o creó una cuenta.”]
12. Las siguientes indicaciones, entre otras, sobre la suscripción Prime de la parte reclamante: “Al recibir la información necesaria para dar tratamiento al presente requerimiento de información por parte de esta Agencia (con el caso con el dato identificativo necesario para nosotros de (…), el 6 de octubre de 2022 (número de registro ***REGISTRO.3 procedimos a comprobar inmediatamente que (…) compró con EDREAMS a través de la web Opodo Alemania el 14 de mayo de 2019 y a través de la cual se dio alta en el servicio de Prime (programa de suscripción de EDREAMS) abonando 74.99 EUR con la compra de su reserva y obteniendo un descuento inmediato de -59.70 EUR en su viaje (ver imagen 1 y Anexo 2 - Copia del Contrato o licencia de usuario que la parte reclamante tuvo que aceptar para darse de alta en su servicio). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/41 Un año después, en fecha 14 de mayo de 2020 se le cobró la renovación del servicio Prime pues se trata de un servicio de suscripción anual. El 26 de junio de 2020, el marido de (…), contactó con EDREAMS por teléfono preguntando por su cuenta Prime y respondimos mediante correo electrónico (…) con las instrucciones pertinentes (ver imagen 2). Un año después (es decir, el 14 de mayo de 2021) se volvió a hacer efectivo el pago anual de su suscripción a Prime y (…) solicitó el reembolso del cargo en fecha 10 de junio de 2021, y ese mismo día (el 10 de junio de 2021) fue cancelada su suscripción Prime y reembolsado el importe anual abonado con motivo de la misma.”
13. Impresión de pantalla de los datos de membresía “Prime” de la parte reclamante, entre los que se encuentran el nombre y apellido de la parte reclamante, un correo electrónico, los datos sobre el pago (que incluyen nombre, apellido, número de teléfono y dirección correo electrónico del pagador) y datos de facturación (que incluyen el nombre “***BUFETE.1”, dirección, ciudad, dirección de correo electrónico, número de identificación fiscal, código postal y país).
14. Condiciones Prime a fecha 14 de mayo de 2019 (en su idioma original, el alemán y traducido a castellano), en las que se obtiene, entre otra, la siguiente información respecto a la cancelación del servicio: “También puedes cancelar tu membresía de Opodo Prime en cualquier momento, excepto antes de la expiración del período de membresía correspondiente. Sin embargo, la cuota de afiliación no se reembolsará en caso de rescisión (a menos que ejerza su derecho de cancelación de acuerdo con el artículo 4 de las Condiciones de Uso).
15. derecho de desistimiento Tiene derecho a rescindir este contrato en un plazo de catorce días sin indicar el motivo. El plazo de desistimiento es de catorce días a partir del día de la celebración del contrato.”
16. Indicación de que, en la fecha en que la parte reclamante indica que envió la carta con su solicitud de acceso, la situación de la empresa en aquellos momentos no les permite comprobar en la actualidad la recepción de la solicitud, y esto se expresa en los siguientes términos: “Finalmente, hasta que esta Agencia el pasado 6 de octubre de 2022 no nos hizo llegar el dato identificativo del correo electrónico de (…), no pudimos hacer efectiva la respuesta a su ejercicio de derecho de acceso. Respondemos más en detalle a esta cuestión en la séptima pregunta. Respecto a la recepción de esa carta en nuestras oficinas, debido a que en la fecha en la que se envió nos encontrábamos altamente afectados por la situación derivada de la pandemia producida por el Covid-19, no solo debido al alto volumen de reclamaciones que recibimos por correo postal si no por el hecho de que nuestras oficinas se encontraban con el mínimo personal y estos se encontraban en una situación de ERTE debido a las terribles consecuencias económicas para el sector del turismo, no hemos podido comprobar la recepción de la misma. De igual modo, y confiando en la buena fe de (...), entendemos que la carta fue enviada correctamente en esa fecha aunque, independientemente de eso, debido a que faltaba información esencial para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/41 poder identificar a (...), el derecho de acceso no se habría podido hacer efectivo.”
17. Indicación de que se ha realizado una sensibilización y formación del personal respecto a la recogida de correo postal, y se ha revisado su guía interna sobre la gestión de correo postal. Y se aporta una copia de parte de la guía para la gestión de correo postal que se refiere la gestión postal de asuntos relacionados con protección de datos personales.
18. Copia en idioma inglés de la Guía interna sobre el ejercicio de derecho de acceso. En esta guía se indica cómo se tienen que atender los ejercicios de derecho desde la confirmación de la identidad del solicitante hasta qué contestación hay que dar, incluyendo una plantilla de contestación a los ejercicios de derechos.
19. Copia de la plantilla de contestación a ejercicios de derecho en idioma inglés.
20. Indicación de que se envió una respuesta a la parte reclamante el día 17 de octubre de
21. Y se aporta copia de la contestación en alemán y una traducción de esa misma contestación en castellano. En esta contestación se aporta la información que tienen en sus sistemas sobre el correo electrónico ***EMAIL.
22. y sobre el número de reserva ***RESERVA.1, esta información comprende, entre otra, la siguiente: - no se tiene ninguna información en sus sistemas sobre la dirección de correo electrónico ***EMAIL.
23. - se aportan los datos relacionados con la reserva con número ***RESERVA.1, entre los que se incluyen, entre otros: nombre y apellido de la parte reclamante (como pasajero), correo electrónico (que es ***EMAIL.4), número de teléfono, nombre y apellido del pagador y detalles del pago (indicación de que se paga con tarjeta de crédito, nombre del titular de la tarjeta, últimos cuatro dígitos de la tarjeta de crédito y fecha de caducidad). También se aporta información sobre los siguientes aspectos: los fines del tratamiento de datos; las categorías de datos; los destinatarios de los datos; la duración prevista del almacenamiento de los datos; información sobre el ejercicio de derechos de oposición, rectificación, supresión o limitación del tratamiento y el derecho a presentar reclamación ante la autoridad de control competente; el origen de los datos; información sobre decisiones automatizadas y elaboración de perfiles; e información sobre las transferencias de datos a terceros países y las garantías de las transmisiones de los datos.
24. Indicación de que, para evitar incidentes similares, EDREAMS, en su aviso de privacidad, indica como medio para solicitar el ejercicio de derechos un formulario web que permite la gestión de los ejercicios de derechos; este formulario web se gestionaba con una herramienta genérica y, en los últimos meses, se ha migrado a una herramienta especializada en privacidad. Además, se indica que “EDREAMS tiene procesos, herramientas, materiales formativos y demás medidas oportunas ya acreditadas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/41 El día 2 de noviembre de 2022, SA Hamburgo envía un escrito a la AEPD a través del sistema IMI, en el que se aporta, entre otra, la siguiente información:
25. Copia de correo electrónico recibido por la parte reclamante, de fecha 20 de octubre de 2022, en el que se envía, en nombre de EDREAMS, una contestación a la parte reclamante similar a la que EDREAMS había indicado que había enviado a la parte reclamante en su escrito presentado ante la AEPD el 21 de octubre de
27. Una traducción al inglés de la contestación de la parte reclamante a la persona de EDREAMS que envió la contestación a la parte reclamante, con el siguiente contenido: “I am sorry to have to come back to this matter. Please find enclosed the message sent by Opodo, Spain, to my wife's mobile phone number. On the basis of the information provided, which in terms of both content and form does not constitute any sort of competent and intelligent response, the request for information on this page cannot be considered to have been fulfilled. The information is provided for the e-mail address ***EMAIL.
28. On the one hand, this e-mail address does not exist and did not exist in the past. Secondly, the e-mail address that actually exists is the e-mail address of my secretary's office. The request for information in accordance with the GDPR was made via this address. However, it is not the address for which information was requested. The relevant e-mail address of my client is ***EMAIL.
29. Furthermore, it confirms the subscription to a Prime annual subscription in the name of A.A.A.. This subscription, however, does not show up in the further information contained therein. In particular, no customer number is repeatedly provided, although it must exist. With regard to the cancellation of such a subscription, Opodo allegedly requires a customer number as a prerequisite for cancellation. In the name and on behalf of my client, I am politely asked to follow up on the request for information. It is remarkable with what callousness companies can move unchanged despite the validity of the GDPR. Thank you very much in advance for your effort.” Traducción no oficial: “Lamento tener que volver a este asunto. Se adjunta el mensaje enviado por Opodo, España, al número de teléfono móvil de (…). Sobre la base de la información proporcionada, que en términos de contenido y forma no constituye ningún tipo de respuesta competente e inteligente, la solicitud de información en esta página no puede considerarse cumplida. La información se facilita para la dirección de correo electrónico ***EMAIL.
30. Por un lado, esta dirección de correo electrónico no existe y no existía en el pasado. En segundo lugar, la dirección de correo electrónico que realmente existe es la dirección de correo electrónico de la oficina de mi secretaria. La solicitud de información de conformidad con el RGPD se realizó a través de esta dirección. Sin embargo, no es la dirección para la que se solicitó información. La dirección de correo electrónico pertinente de mi cliente es ***EMAIL.
31. Además, confirma la suscripción a una suscripción anual Prime a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/41 nombre de A.A.A.. Esta suscripción, sin embargo, no aparece en la información adicional contenida en la misma. En particular, ningún número de cliente se proporciona repetidamente, aunque debe existir. Con respecto a la cancelación de dicha suscripción, Opodo supuestamente requiere un número de cliente como requisito previo para la cancelación. En nombre y representación de mi cliente, se me pide amablemente que haga un seguimiento de la solicitud de información. Es notable que las empresas insensibles pueden continuar sin cambiar pese a la validez del RGPD. Muchas gracias de antemano por su esfuerzo.” CONCLUSIONES           La parte reclamante aporta copia de dos cartas: una en la que solicita el derecho de acceso y otra en la que responde que quiere recibir la respuesta por escrito, no telefónicamente. La parte reclamante aporta una impresión de un correo de fecha 17 de noviembre de 2020 con asunto “***ASUNTO.1” en el que se le indica que contacte con el número de teléfono del departamento de atención al cliente correspondiente, y se dan los teléfonos de Alemania, Suiza y Austria. EDREAMS indica que no tiene constancia de la recepción del ejercicio de derecho de acceso que presenta la parte reclamante en su reclamación. Indica que en las fechas en que la parte reclamante indica que solicitó el acceso la gestión de las cartas recibidas podía ser deficiente debido a la situación causada por la pandemia del COVID
32. En la política de privacidad publicada en fechas cercanas a cuando la parte reclamante indica que se realizó la solicitud de ejercicio de derecho de acceso, se ofrecían como medios para solicitar los ejercicios de derechos de protección de datos del sitio web ***URL.1 los siguientes: un formulario web, y el envío postal a la dirección “Datenschutz – Calle Bailén, 67, 08009 Barcelona, Spanien, Europäische Union”. En las condiciones Prime, no se indica cuál es el medio de identificación necesario para dar de baja la suscripción Prime. EDREAMS indica que la suscripción Prime de la parte reclamante fue cancelada el 10 de junio de
33. Entre los datos personales aportados por EDREAMS sobre la suscripción Prime de la parte reclamante, se encuentran el nombre y apellido de la parte reclamante, un correo electrónico y los datos sobre el pago (que incluyen nombre, apellido, número de teléfono y dirección correo electrónico del pagador). Entre los datos de la suscripción Prime de la parte reclamante aportados por EDREAMS, se encuentran datos de facturación que corresponden a la entidad “***BUFETE.1” que incluyen el nombre “***BUFETE.1”, dirección, ciudad, dirección de correo electrónico, número de identificación fiscal, código postal y país. El 20 de octubre de 2022, la parte reclamante recibió un correo electrónico en nombre de EDREAMS en el que se aporta la siguiente información: no se tiene ninguna información en sus sistemas sobre la dirección de correo electrónico ***EMAIL.
34. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/41      se aportan los datos relacionados con la reserva con número ***RESERVA.1, entre los que se incluyen, entre otros: nombre y apellido de la parte reclamante (como pasajero), correo electrónico (que es ***EMAIL.4), número de teléfono, nombre y apellido del pagador y detalles del pago (indicación de que se paga con tarjeta de crédito, nombre del titular de la tarjeta, últimos cuatro dígitos de la tarjeta de crédito y fecha de caducidad). También se aporta información relacionada con esta reserva sobre las cuestiones que solicitaba la parte reclamante en la carta que indica en su reclamación que envió a A.A.A. el día 10 de noviembre de 2020: los fines del tratamiento de datos; las categorías de datos; los destinatarios de los datos; la duración prevista del almacenamiento de los datos; información sobre el ejercicio de derechos de oposición, rectificación, supresión o limitación del tratamiento y el derecho a presentar reclamación ante la autoridad de control competente; el origen de los datos; información sobre decisiones automatizadas y elaboración de perfiles; e información sobre las transferencias de datos a terceros países y las garantías de las transmisiones de los datos. Los datos personales sobre la cuenta Prime de la parte reclamante que ha aportado EDREAMS en sus escritos son un subconjunto de los datos de la reserva con número ***RESERVA.1, que EDREAMS envió a la parte reclamante en el correo electrónico de fecha 20 de octubre de
35. La parte reclamante indica que no está satisfecha con la contestación dada por EDREAMS porque la información que se requería era sobre el correo electrónico ***EMAIL.4, y no el de la secretaria; e indica que, entre los datos que faltan por aportar está el número de cliente, que se solicita para cancelar la suscripción. Después de realizadas estas actuaciones de investigación, no se ha podido constatar la existencia de un número de cliente o número miembro Prime u otro identificador propio de la suscripción Prime de la parte reclamante. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VACACIONES EDREAMS, S.L. es una gran empresa constituida en el año 1999, y con un volumen de negocios de XXXXXXXXX euros en el año
36. SÉPTIMO: Con fecha 28 de febrero de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 6/03/2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/41 Este proyecto de decisión se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 1/03/2023, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 21 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 21 de abril de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que EDREAMS mantenía un procedimiento de atención al ejercicio de derechos, que finalmente, el día 17 de octubre de 2022 atendió la solicitud de ejercicio del derecho de acceso formulada por la parte reclamante, que lleva a cabo una mejora continua de sus procesos para la atención de las solicitudes de ejercicio de derechos formuladas por sus clientes, y, por último, formula una serie de alegaciones acerca de la idoneidad, proporcionalidad y graduación de la sanción. DÉCIMO: Con fecha 22 de septiembre de 2023, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a EDREAMS, con NIF B61965778, por una infracción del artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 10.000 € (diez mil euros). Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 29 de septiembre de 2023, como consta en el acuse de recibo que obra en el expediente. UNDÉCIMO: Con fecha 2 de octubre de 2023, EDREAMS presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. DUODÉCIMO: Con fecha 3 de octubre de 2023, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a EDREAMS en fecha 4 de octubre de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/41 DÉCIMO TERCERO: Con fecha 23 de octubre de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Según queda acreditado en las páginas 61 y 62 del expediente, con fecha 14 de mayo de 2019 la parte reclamante realizó una compra con EDREAMS a través de la web Opodo Alemania, dándose de alta en el servicio de Prime (programa de suscripción de EDREAMS) abonando 74.99 EUR con la compra de su reserva y obteniendo un descuento inmediato de -59.70 EUR en su viaje. En la imagen del pago de la reserva y suscripción anual a Prime proporcionada por EDREAMS, puede verse que el correo electrónico es ***EMAIL.
37. (…) Un año después, en fecha 14 de mayo de 2020 EDREAMS cobró la renovación del servicio Prime, pues se trata de un servicio de suscripción anual. El 26 de junio de 2020, el marido de la parte reclamante, contactó con EDREAMS por teléfono preguntando por la cuenta Prime, de la cual EDREAM aporta la siguiente anotación en su base de datos: (…) SEGUNDO: El día 16 de noviembre de 2020, la parte reclamante envió a A.A.A., desde el correo electrónico (página 17 del expediente) de B.B.B. (***EMAIL.2), empleado del marido de la parte reclamante, un mensaje al que se le adjuntaba una carta fechada el 10 de noviembre de 2020 en la que su representante solicita el acceso a sus datos de acuerdo con el artículo 15

(1)del Reglamento General de Protección de Datos (en adelante, RGPD). Y solicita que la información se reciba en formato electrónico, al igual que se ha solicitado electrónicamente. El texto del mensaje era el siguiente: “Estimado señor o señora, por favor, abra el documento adjunto. Atentamente XXX” El contenido de la carta adjunta al correo electrónico es el siguiente (traducción no oficial, texto original en alemán): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/41 “Estimado señor o señora: En el asunto antes mencionado, represento los intereses de la Sra. A.A.A.. Me refiero al poder adjunto. En nombre y en nombre de mi cliente, solicito información de conformidad con el artículo 15 del RGPD sobre si ha almacenado datos personales relacionados con mi cliente. Con respecto a estos datos almacenados por usted, mi cliente tiene derecho a recibir información sobre ellos. Por lo tanto, tengo que pedirle que me facilite la siguiente información de conformidad con el artículo 15, apartado 1, del RGPD:

1. a)¿Qué datos sobre mi cliente son almacenados específicamente por usted, o están siendo procesados (por ejemplo, apellidos, nombre, dirección, fecha de nacimiento, profesión, hallazgos médicos, número de cliente o similar)?
2. b)Además, proporcione información sobre los fines para los que se procesan los datos, así como sobre
3. c)las categorías de datos personales tratados con respecto a mi cliente;
4. d)los destinatarios o categorías de destinatarios que ya han recibido los datos de mi cliente o los recibirán en el futuro;
5. e)la duración prevista para el almacenamiento de los datos de mi cliente o, si esto no es posible, los criterios para determinar esta duración;
6. f)sobre la existencia de los derechos de mi cliente a la rectificación, supresión o limitación del tratamiento de sus datos, así como sobre su derecho a oponerse a dicho tratamiento de conformidad con el artículo 21 del RGPD y el derecho de mi cliente a presentar una reclamación ante la autoridad de control competente.
7. g)Si los datos no fueron recopilados de mi cliente, le solicito que me proporcione toda la información disponible sobre el origen de los datos, así como
8. h)indicar si existe una toma de decisiones automatizada, incluida la elaboración de perfiles, de conformidad con el artículo 22 del RGPD. En este caso, por favor, proporcione información significativa sobre la lógica involucrada y los efectos previstos de dicho procesamiento para la persona de mi cliente.
9. i)Además, desea informarme si los datos personales de mi cliente han sido transferidos a un tercer país o a una organización internacional.
10. j)Además, desea comunicar qué garantías adecuadas se proporcionan de conformidad con el artículo 46 del RGPD en relación con la transferencia. Por favor, proporcione una copia de los datos relacionados con el cliente de mi cliente almacenados por usted para la atención de mi bufete de abogados. Después de que esta solicitud se haga electrónicamente y se haya hecho un arreglo diferente en este lado, la información se pondrá a mi disposición en un formato electrónico común. Mi cliente se reserva expresamente el derecho de hacer valer el derecho de eliminación. Por último, quisiera señalar que, de conformidad con el artículo 12, apartado 3, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/41 RGPD, la información debe facilitarse sin demora, pero en el plazo de un mes a más tardar. Si no recibo ninguna información de usted dentro de este plazo, me pondré en contacto con la autoridad de supervisión correspondiente sin más comunicación. Me gustaría señalar las consecuencias jurídicas de conformidad con el artículo 83 del RGPD como medida de precaución. Saludos cordiales TERCERO: Consta en el expediente un correo electrónico recibido el 17 de noviembre de 2020 por B.B.B. en el correo ***EMAIL.2, enviado desde A.A.A., con asunto “***ASUNTO.1”, con el siguiente contenido (traducción no oficial, texto original en alemán): “Estimado cliente, Por favor, póngase en contacto con nuestro servicio de atención al cliente en los siguientes números de teléfono para que podamos atenderle adecuadamente en relación con su asunto: desde Alemania: +XXXXXXXX desde Suiza: +XXXXXXXX (precio normal de una llamada) desde Austria: +XXXXXXXXX. Esperamos tener noticias suyas pronto. Atentamente, Servicio de Atención al Cliente de Opodo.” CUARTO: El día 19 de noviembre de 2020, la parte reclamante envió un mensaje adjuntando una carta desde el correo electrónico de B.B.B. (***EMAIL.2) al correo electrónico A.A.A., en la que su representante agradece la respuesta del día 17 de noviembre de 2020 pero solicita que den respuesta por escrito a la carta enviada por e-mail el 16 de noviembre de 2020, e indica que contactar por teléfono para recibir esta información no es la manera apropiada de hacerlo. El texto del correo de 19 de noviembre de 2020 es el siguiente: “Estimado señor o señora, por favor, abra el documento adjunto. Atentamente XXX” El contenido de la carta adjunta al correo electrónico es el siguiente (traducción no oficial, texto original en alemán): “Estimado señor o señora Muchas gracias por su módulo de texto de fecha 17.11.2020. En este dictamen, la carta que se le envió por correo electrónico el 16.11.2020 y en la que se solicitaba información y solicitando información debe ser contestada sin ambigüedades y en el contexto de una información por escrito. Ponerse en contacto con usted verbalmente no es conveniente. Esperamos recibir su información en forma de texto dentro del plazo establecido. Atentamente XXX“ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/41 QUINTO: Según refiere EDREAMS, con fecha 14 de mayo de 2021 se volvió a hacer efectivo el pago anual de la suscripción a Prime de la parte reclamante, y solicitó el reembolso del cargo en fecha 10 de junio de 2021, y ese mismo día (el 10 de junio de 2021) fue cancelada su suscripción Prime y reembolsado el importe anual abonado con motivo de esta. SEXTO: Consta en el expediente diligencia realiza por el inspector, firmada con fecha 8 de junio de 2022, en la que, consultada la web “opodo.es/política-de-privacidad/, se acredita el siguiente contenido: (…) SÉPTIMO: Con fecha 8 de junio de 2022, en contestación al requerimiento de información formulado por esta Agencia, EDREAMS manifiesta que “no nos ha sido posible dar con (…) que presenta la referida reclamación ante esta Agencia, pese a seguir el protocolo adecuado. La búsqueda ha consistido en la siguiente metodología: a. Búsqueda en nuestros sistemas por nombre y apellido (A.A.A.): en la que no se obtiene ningún resultado. b. Búsqueda en nuestros sistemas por apellido (XXX): en la que se obtienen 8 páginas de resultado, pero ninguna de las reservas contiene el nombre de A.A.A.. c. Búsqueda en nuestros sistemas por el nombre y apellido del (…): en la que no se ha encontrado ningún resultado. d. Búsqueda en el buzón de correo electrónico de A.A.A. (al cual parece que se envió el ejercicio de derechos en la fecha de 10 de noviembre de 2020): en la que no se ha obtenido ningún resultado. Por la configuración de nuestros sistemas solo nos permite patrones de búsqueda por fecha o por dirección de correo electrónico, al no disponer de la última no hemos podido hacer esa comprobación. OCTAVO: Con fecha 21 de octubre de 2022, en contestación al requerimiento de información formulado por esta Agencia, desde EDREAMS se aporta: 1. Política de privacidad vigente a fecha de 10 de noviembre de 2020. Dentro de la política de privacidad, cuya última actualización fue en junio de 2019, que EDREAMS manifiesta que estaba vigente en el momento de presentar el ejercicio de derecho (en castellano y en alemán, publicada en web.archive.org del 25 de septiembre de 2020), en la que puede leerse, entre otra, la siguiente información: - En la versión en castellano se indica lo siguiente: “Puedes acceder a algunos de tus datos y actualizarlos a través de la configuración de tu cuenta o de los servicios de Atención al Cliente. … C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/41 Para poder ejercer tus derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes indicar claramente tu identidad, especificando tu nombre completo y la dirección de e-mail que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas ejercer. Te responderemos lo antes posible, en un plazo máximo de un mes tras la recepción de tu solicitud validada, a menos que necesitemos más tiempo para gestionar tu solicitud, en cuyo caso te informaremos de ello. Ten en cuenta que posiblemente te pidamos que compruebes tu identidad y tu solicitud antes de llevar a cabo cualquier acción en relación con dicha solicitud. También puedes dirigirte a la Agencia Española de Protección de Datos (https://www.aepd.es/) o demás organismos de supervisión aplicables, si lo deseas. El ejercicio de estos derechos es gratuito a menos que hagas un uso injustificado o excesivo del mismo. En tal caso, tendremos derecho a cobrarte una cantidad razonable en función de los costes administrativos.” Traducción no oficial de la versión en alemán: “Puede acceder a algunos de sus datos sobre la configuración de su cuenta o servicio posventa y actualizarlos. … Para ejercer sus derechos, pulse aquí o envíe su solicitud por carta a la siguiente dirección: Protección de datos — Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En su solicitud, debe indicar claramente su identidad personal, con su nombre y apellidos y la dirección de correo electrónico con la que reservó o creó una cuenta.” 2. Las condiciones de uso del servicio de suscripción Prime, en las que puede leerse lo siguiente: “3 Duración, pago y anulación 3.1 La membresía de Opodo Prime dura 12 meses desde la fecha de aceptación por parte de Opodo. Se aplica a las reservas realizadas por usted durante este periodo. 3.2 Nos reservamos el derecho de ofrecer períodos de prueba gratuitos o con descuento a determinados clientes. Al aceptar esta oferta, los clientes se convierten en miembros Prime y pueden utilizar los servicios Prime en consecuencia durante el periodo correspondiente. Al final de este periodo, el cliente se convierte en un miembro de pago de Prime, a menos que la membresía de Prime se termine prematuramente. Los clientes serán informados por separado de las condiciones (como la duración y el pago posterior) del periodo de prueba ofrecido. 3.3 La Membresía Opodo Prime se renovará por otros 12 meses a la vez, a menos que sea cancelada por usted o por nosotros al menos 14 días antes del final del período de suscripción correspondiente. Le notificaremos la renovación pendiente a través de la dirección de correo electrónico que tenemos archivada un mes antes de que expire el período de suscripción respectivo. Si hay algún cambio en los requisitos de elegibilidad, solicitaremos su consentimiento antes de renovar. 3.4 El pago se realizará siempre por adelantado o al inicio del nuevo periodo de suscripción y se liquidará con el medio de pago que usted haya depositado en nosotros, salvo que se acuerde expresamente lo contrario con usted. Además, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/41 aceptas que los datos anteriores se utilicen para la renovación de tu suscripción a Opodo Prime. Si los datos bancarios que figuran en el registro de Opdo Prime han caducado, le pediremos que los actualice o, en ese caso, utilizaremos los datos de pago que nos proporcionó al hacer una reserva en nuestro sitio web en relación con la renovación de su afiliación, siempre que haya consentido su almacenamiento. 3. Según las condiciones Prime a fecha 14 de mayo de 2019 (en su idioma original, el alemán y traducido a castellano), en las que se obtiene, entre otra, la siguiente información respecto a la cancelación del servicio: También puedes cancelar tu membresía de Opodo Prime en cualquier momento, excepto antes de la expiración del período de membresía correspondiente. Sin embargo, la cuota de afiliación no se reembolsará en caso de rescisión (a menos que ejerza su derecho de cancelación de acuerdo con el artículo 4 de las Condiciones de Uso). 4. Derecho de desistimiento Tiene derecho a rescindir este contrato en un plazo de catorce días sin indicar el motivo. El plazo de desistimiento es de catorce días a partir del día de la celebración del contrato.” 4. Se aportan los datos de membresía “Prime” de la parte reclamante, entre los que se encuentran el nombre y apellido de la parte reclamante, un correo electrónico, los datos sobre el pago (que incluyen nombre, apellido, número de teléfono y dirección correo electrónico del pagador) y datos de facturación (que incluyen el nombre “***BUFETE.1”, dirección, ciudad, dirección de correo electrónico, número de identificación fiscal, código postal y país). (…) 5. Se aporta copia en idioma inglés de la Guía interna sobre el ejercicio de derecho de acceso. En esta guía se indica cómo se tienen que atender los ejercicios de derecho desde la confirmación de la identidad del solicitante hasta qué contestación hay que dar, incluyendo una plantilla de contestación a los ejercicios de derechos. 6. Copia de la plantilla de contestación a ejercicios de derecho en idioma inglés: (…) NOVENO: Con fecha 17 de octubre de 2022, EDREAMS, desde el correo electrónico ***EMAIL.3 ha remitido al correo de la parte reclamante ***EMAIL.4 el siguiente mensaje (traducción no oficial del original en alemán): “Estimada Sra. A.A.A.: En primer lugar, gracias por ponerse en contacto con el Departamento de Protección de Datos de eDreams ODIGEO. Su confianza es muy importante para nosotros y, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/41 igual modo, nos comprometemos a proteger la privacidad y la seguridad de los datos personales de nuestros clientes. En fecha 06 de octubre de 2022, nos ha llegado una solicitud del ejercicio de sus derechos de protección de datos de acceso, reconocidos en los artículos 13 y siguientes del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), así como en los artículos 11 y siguientes de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) por parte de la Agencia Española de Protección de Datos (AEPD). Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy. Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes. Dicho lo anterior, le adjuntamos una copia del correo de confirmación de la reserva nº ***RESERVA.1, en el cual se confirmaba también el inicio de la membresía a la suscripción anual Opodo Prime, a nombre de A.A.A.. Dicho correo electrónico fue enviado a posteriori de la compra, en fecha 14/05/2019 (14:52h), a la dirección de correo electrónico proporcionada: ***EMAIL.4. Así pues, y en referencia a su petición de ejercicio de su derecho de acceso, eDreams ODIGEO pasa a dar respuesta a las cuestiones planteadas por su abogado que recepcionamos en el escrito adjunto de la AEPD:
11. a)¿Cuáles son los datos del consumidor específicamente guardados o procesados (Por ejemplo: Nombre, Apellido, Dirección, Fecha de nacimiento, Ocupación, Número de cliente, etc.)? Los datos personales se mencionan en el fichero de datos en cual incluye datos de identificación (por ejemplo, nombre completo, nombre de usuario, identificador interno...), contacto (por ejemplo, dirección de correo electrónico, dirección física, número de teléfono), dispositivo informático y conexión (por ejemplo, dirección IP), comunicación (por ejemplo, registros telefónicos, buzón de voz, correo electrónico), datos de transacción (por ejemplo, detalles de pago de nuestros servicios adquiridos, detalles de la tarjeta de crédito) y datos de reserva (por ejemplo, su viaje). En su caso, no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.3. Acerca del localizador de reserva nº ***RESERVA.1, asociado a la dirección de correo electrónico ***EMAIL.3 (proporcionada en el momento de la compra), disponemos de la siguiente información: Tipo de Datos Referencia de la Reserva ***RESERVA.1 Fecha de la reserva ***FECHA.1 Website ***URL.1 IP ***IP.1 Nombre completo del comprador B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/41 Correo electrónico ***EMAIL.3 Dirección postal ***DIRECCIÓN.1 Número de teléfono ***TELÉFONO.1 Nombre completo de los pasajeros B.B.B. A.A.A. Detalles del pago (…) Detalles de los vuelos Referencia de la reserva ***REFERENCIA.1 Destinatarios 1) Compañías aéreas operadoras de los vuelos: KLM Royal Dutch Airlines 2) Sistemas de gestión y conexión de las reservas y de los reembolsos: AMADEUS / IATA BSP-Link 3) Entidades de pago involucradas durante el proceso de pago de su reserva: CCA 4) Proveedores de servicios (alojamiento, servicios de comunicación, servicios de fraude y seguridad, etc.). *** Nota: Los datos de la tarjeta de crédito sólo son compartidos entre BBVA y nosotros.
12. b)Los fines del tratamiento de los datos. Tratamos sus datos con las siguientes finalidades: reserva (o servicios aceptados o contratados), comunicaciones (por ejemplo, enviarle comunicaciones necesarias o comerciales; recuerde que puede optar por no recibir ninguna comunicación comercial mediante la opción de darse de baja en el pie de página de cualquier comunicación comercial), cuando promovemos un servicio seguro y de confianza (Por ejemplo, cuando analizamos ataques fraudulentos a nuestros sitios web o sistemas) y mejoramos nuestros servicios (en cuyo caso procuraremos utilizar datos seudónimos o anónimos para tales fines) o para fines legales (por ejemplo, para responder a reclamaciones o solicitudes suyas, como la presente). Para más información sobre nuestros objetivos, consulte la sección 4 (“¿Por qué recogemos sus datos personales y en qué base legal nos basamos?”) de nuestro Aviso de privacidad.
13. c)Las categorías de datos de carácter personal. Las categorías están mencionadas en el archivo de datos y en la respuesta a la pregunta a).
14. d)Los destinatarios o las categorías de destinatarios de los datos. Además de las principales categorías de socios de viaje y proveedores de servicios mencionados en el fichero de datos, centralizamos internamente nuestros servicios tecnológicos y de gestión a través de la Red Internacional eDreams, SLU de nuestro grupo de empresas, ubicada en España (Unión Europea). Otras categorías de destinatarios se mencionan en la sección 6 (“¿Quiénes serán los destinatarios de sus datos personales?”) de nuestro Aviso de privacidad en nuestros sitios web y aplicación: ● Proveedores de servicios: para prestarle nuestros servicios, necesitamos compartir sus datos con terceros. Especificamos y regulamos contractualmente la transferencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/41 o el tratamiento de datos cuando lo exige la ley, con las medidas de seguridad adecuadas. ● Nuestras empresas del grupo: Compartimos sus datos dentro de las empresas de nuestro grupo para fines internos relacionados con la centralización de la administración. ● Autoridades competentes: Podremos revelar sus datos a las autoridades policiales cuando así lo exija la ley o cuando sea estrictamente necesario para la prevención, detección o persecución de delitos o fraudes, o cuando la ley nos obligue a ello, que como #responsable de los datos. ● Otros: Estos destinatarios pueden estar ubicados fuera del EEE, lo que implica transferencias internacionales de datos. Abordamos la cuestión de las transferencias internacionales de datos en la respuesta a la pregunta j).
15. e)La duración prevista del almacenamiento de los datos o, si esto no es posible, los criterios para la determinación de esta duración. El período de almacenamiento estándar es de un máximo de 5 años después de la celebración de su contrato (reserva) con nosotros, teniendo en cuenta las principales disposiciones legales relativas a una posible impugnación de la propia reserva, el viaje, nuestros servicios y las obligaciones administrativas y contables y fiscales.
16. f)La existencia de los derechos del consumidor sobre la corrección, supresión o la restricción del tratamiento de sus datos, así como su derecho a oponerse a dicho tratamiento, de acuerdo con el artículo 21 del RGPD, y el derecho a quejarse a la autoridad competente. No consta que el sujeto haya ejercido nunca el derecho de rectificación, supresión o restricción. Por supuesto, puede ejercer sus derechos en cualquier momento en nuestro formulario de protección de datos, como se menciona en nuestro Aviso de privacidad. No existe un derecho de objeción previo jamás ejercido por el sujeto. Por supuesto, puede ejercer sus derechos en cualquier momento en nuestro formulario de protección de datos, como se menciona en nuestro Aviso de privacidad. En referencia a su derecho a reclamar ante la autoridad de control competente, le informamos de que todo interesado tiene derecho a presentar una reclamación ante la autoridad de control competente que corresponda, en particular en el Estado miembro de su residencia, y el derecho a un recurso judicial efectivo de conformidad con el artículo 47 de la Carta, si el interesado considera que se están infringiendo sus derechos en virtud del presente Reglamento o si la autoridad de control no atiende una reclamación: rechaza o desestima una reclamación en su totalidad o en parte, o no actúa cuando es necesario para proteger los derechos del interesado. La investigación que sigue a una denuncia debe llevarse a cabo en la medida en que sea apropiada en el caso concreto, sin perjuicio de la revisión judicial. La autoridad de control debe informar al interesado de la evolución y el resultado de la reclamación en un plazo razonable y, si el caso requiere una investigación más profunda o la coordinación con otra autoridad de control, se debe dar información provisional al interesado. Para facilitar la presentación de reclamaciones, cada autoridad de control debe adoptar medidas como proporcionar un formulario de reclamación que también pueda rellenarse electrónicamente, sin excluir otros medios de comunicación.
17. g)Origen de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/41 Hay diferentes orígenes de los que los datos pueden provenir principalmente de "datos que usted nos da" y "datos que recogemos de usted". Las siguientes categorías de datos se refieren a un individuo (las categorías no son exclusivas, los datos pueden cruzar varias categorías): ● Datos de identificación y contacto: Datos que usted nos proporciona, utilizados para identificarle como persona física y/o datos que utilizamos para contactar con usted. ● Datos de la cuenta y de la configuración: "Datos que nos proporciona". Datos que usted genera al utilizar su cuenta. ● Datos de pago: "Datos que comparte con nosotros". Datos que nos proporciona para realizar el pago. ● Datos relacionados con los viajes: "Datos que comparte con nosotros". Los datos que nos ha facilitado durante el proceso de reserva, todo lo que seleccione en el formulario de pedido y todo lo que modifique o adquiera posteriormente como complemento del pedido original. ● Datos de comunicación: "Datos que usted nos proporciona" y "Datos que recogemos de usted". Datos de todas las comunicaciones de texto y voz intercambiadas entre usted y nosotros en relación con sus solicitudes. ● Datos de navegación y del dispositivo: "Datos que recogemos de usted". Datos que podemos recoger automáticamente de su dispositivo cuando visita nuestras Plataformas.
18. h)Información sobre la lógica implicada, el alcance y el impacto previsto cuando se toma una decisión automatizada (incluída la elaboración de perfiles). No tomamos decisiones automatizadas basadas en la elaboración de perfiles más allá del interés legítimo de la prevención del fraude y la personalización de su experiencia de usuario, marketing y publicidad. En cualquier caso, dicha decisión automatizada no tendrá efectos legales ni le afectará materialmente de forma similar. En caso de que tomemos una decisión automatizada, tomaremos todas las medidas adecuadas y le informaremos.
19. i)Si los datos del consumidor fueron enviados a un tercer país u otra organización internacional.
20. j)Las garantías adecuadas de conformidad con el artículo 46 en relación con la Transmisión de datos. Como se explica en nuestro Aviso de privacidad, nuestros servidores están ubicados en la Unión Europea. Sin embargo, para facilitar nuestras operaciones globales (es decir, a través de proveedores de servicios), la transferencia de sus datos a los destinatarios descritos anteriormente puede implicar la transferencia de sus datos a terceros países cuyas leyes de protección de datos pueden no ser tan completas como las de los países de la Unión Europea. En este sentido, tanto el sector de los viajes como el de los servicios en línea requieren la transferencia internacional de datos. Por ejemplo, los proveedores intermediarios, como los sistemas de distribución global (que gestionan las reservas en línea para las aerolíneas), están ubicados en todo el mundo y algunos tienen sus sistemas en nubes informáticas. Cuando las excepciones al artículo 49 del RGPD (en particular las establecidas en las subsecciones (
21. b)y (c)) no se aplican, seguimos el artículo 46 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/41 Como tal vez sepa, el Tribunal de Justicia de la Unión Europea en el caso Schrems II tuvo un impacto en cómo las empresas manejan las transferencias internacionales de datos. El Escudo de la Privacidad de EE.UU. ha sido anulado y las cláusulas contractuales estándar se consideran válidas, siempre que incluyan también las salvaguardias adicionales adecuadas en algunos casos. Nos referimos a estas medidas en nuestros contratos de encargo de tratamiento (en lo sucesivo denominados “DPA”)junto con las cláusulas contractuales tipo (en lo sucesivo denominadas “SCC”) para reducir los riesgos de dichas transferencias internacionales de datos. Entre otras cosas, exigimos a nuestros encargados de tratamiento de datos (en adelante denominados "importadores"), que cumplan con las siguientes medidas técnicas y organizativas (en lo sucesivo denominadas "TOM") aplicables a una transferencia internacional de datos, así como cualquier otra TOM apropiada (de acuerdo con las recomendaciones del Consejo Europeo de Protección de Datos), y por la presente confirmar: ● La utilización de TOM para proteger los datos personales y para protegerlos contra las escuchas en tránsito y en reposo (incluidos los intentos de vigilancia por parte de las autoridades públicas o de terceros no autorizados) mediante el uso de un cifrado adecuado en reposo y en tránsito. ● Unas sólidas medidas de protección de todos los datos personales, incluidos los europeos, como una política eficaz y actualizada y un equipo jurídico que siempre revisa cuidadosamente cada solicitud de datos de las autoridades para asegurarse de que cumple la legislación aplicable, incluida la europea. Esto incluye la revisión de la necesidad y la proporcionalidad de cada solicitud, la impugnación de cada solicitud y la información al responsable del tratamiento antes de compartir dichos datos. ● Registro actualizado de cada solicitud de datos de las autoridades con la información pertinente. ● Evaluación previa y continua del riesgo potencial de recibir solicitudes de datos por parte de las autoridades públicas y que considera que el riesgo es bajo. ● Supervisión de cualquier tratamiento internacional de datos y capacidad para auditar. ● Aplicar una solución estricta de privacidad por diseño en la prestación de servicios. ● Garantizar la plena vigencia de los derechos de los interesados. ● Evaluación previa y continua de que el nivel de protección de datos en su jurisdicción (incluidas las jurisdicciones de los subencargados) es sustancialmente equivalente a la protección garantizada en la UE por el RGPD a la luz de la Carta de los Derechos Fundamentales de la UE y/o los riesgos de protección de datos son bajos, teniendo en cuenta las circunstancias (con justificación del importador, si procede). El importador debe basarse en las características de su herramienta, en las circunstancias del tratamiento de los datos, en varios informes de diferentes organizaciones creíbles que analizan los riesgos, en las garantías de otros organismos, etc. (que son "pertinentes, objetivas, fiables, verificables y disponibles públicamente o accesibles de otro modo"). a la "experiencia práctica documentada del importador con instancias de solicitud anteriores relevantes". ● Designación de un representante en la UE de acuerdo con el artículo 27 y 4.17 del RGPD (si su organización no está ubicada en la UE). Si el importador considera que la transferencia internacional de datos puede no ser plenamente conforme con el presente DPA, las SCC o la legislación aplicable, el importador aplicará inmediatamente todas las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/41 necesarias para que dicha transferencia internacional de datos sea conforme. Si esto no es posible, el importador lo notificará al responsable del tratamiento para que se tomen las medidas necesarias, como la rescisión del contrato. El importador confirma mediante la firma de este DPA que: ● No ha creado intencionadamente puertas traseras o programaciones similares que puedan ser utilizadas para acceder al sistema y/o a los datos personales; ● No ha establecido o modificado intencionadamente sus procesos empresariales para facilitar el acceso a datos o sistemas personales; ● Las leyes nacionales o las políticas gubernamentales no exigen que el importador cree o mantenga puertas traseras o facilite el acceso a los datos o sistemas personales, ni que el importador posea o divulgue los datos. ● El importador garantiza la aplicación de estrictas políticas de seguridad y protección de datos, basadas en certificaciones o códigos de conducta de la UE o en normas internacionales (por ejemplo, normas ISO) y mejores prácticas (por ejemplo, ENISA), teniendo en cuenta el estado de la técnica, de acuerdo con el riesgo de las categorías de datos personales tratados. Finalmente, le recordamos que si desea acceder a una de sus reservas en concreto, normalmente puede hacerlo directamente desde la página web de XXXXXX, haciendo clic en "Gestionar mi reserva" e introduciendo la información requerida (dirección de correo electrónico y número de reserva). Le animamos a que lea nuestro Aviso de privacidad en línea para tomar otras medidas si es necesario. Si tiene alguna otra pregunta o duda, también puede ponerse en contacto con nuestro equipo de privacidad utilizando el formulario que figura en nuestra Aviso de privacidad. Quedamos a su disposición para cualquier información adicional. Cordialmente, El equipo de DPO Grupo eDreams ODIGEO” DÉCIMO: El día 2 de noviembre de 2022, la autoridad de protección de datos de Hamburgo remite un escrito a la AEPD a través del sistema IMI, en el que se aporta, correo electrónico enviado por la parte reclamante con fecha 20 de octubre de 2022 a EDREAMS, en contestación a su correo electrónico de fecha 17 de octubre de 2022 (Traducción no oficial de original en alemán): “Lamento tener que volver a este asunto. Se adjunta el mensaje enviado por Opodo, España, al número de teléfono móvil de (…). Sobre la base de la información proporcionada, que en términos de contenido y forma no constituye ningún tipo de respuesta competente e inteligente, la solicitud de información en esta página no puede considerarse cumplida. La información se facilita para la dirección de correo electrónico ***EMAIL.3. Por un lado, esta dirección de correo electrónico no existe y no existía en el pasado. En segundo lugar, la dirección de correo electrónico que realmente existe es la dirección de correo electrónico de la oficina de mi secretaria. La solicitud de información de conformidad con el RGPD se realizó a través de esta dirección. Sin embargo, no es la dirección para la que se solicitó información. La dirección de correo electrónico pertinente de mi cliente es ***EMAIL.4. Además, confirma la suscripción a una suscripción anual Prime a nombre de A.A.A.. Esta suscripción, sin embargo, no aparece en la información adicional contenida en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/41 En particular, ningún número de cliente se proporciona repetidamente, aunque debe existir. Con respecto a la cancelación de dicha suscripción, Opodo supuestamente requiere un número de cliente como requisito previo para la cancelación. En nombre y representación de mi cliente, se me pide amablemente que haga un seguimiento de la solicitud de información. Es notable que las empresas insensibles pueden continuar sin cambiar pese a la validez del GDPR. Muchas gracias de antemano por su esfuerzo.” FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos, teléfono y correo electrónico, entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que EDREAMS es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que EDREAMS está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/41 control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EDREAMS tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 15 del RGPD regula el Derecho de acceso del interesado. III Contestación a las alegaciones presentadas al acuerdo de inicio y a la propuesta de resolución A) En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: “PRIMERA. - SOBRE EL SUPUESTO DE HECHO” En esta alegación EDREAMS realiza una enumeración de manera cronológica de lo que considera los hechos objeto del presente procedimiento sancionador. Sin embargo, en los Hechos Probados de este documento es donde se concretan aquellos que han sido establecidos de manera concluyente y que constituyen la base fáctica del presente caso. Sin perjuicio de lo establecido en los Hechos Probados, pueden realizarse las siguientes precisiones respecto al relato argumentado por EDREAMS: - Respecto al punto 4, según EDREAMS, el 10 de noviembre de 2020 (...) envió un correo electrónico a la dirección A.A.A.. Sin embargo, el 10 de noviembre de 2020 no es la fecha en la que la parte reclamante envió el correo electrónico, que fue enviado el día 16 de noviembre de 2020. El 10 de noviembre de 2020 está fechada la carta que se adjunta al correo electrónico enviado el día 16 de noviembre de 2020. - Respecto al punto 5, EDREAMS reconoce que uno de sus agentes respondió al correo de la parte reclamante, por lo que la solicitud de la parte reclamante llegó a EDREAMS. Sin embargo, en la respuesta enviada a la parte reclamante con fecha 17 de octubre de 2022, refiere no tener constancia de su recepción: “…que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado”. - Respecto a los puntos 8 y 9, EDREAMS relata el abono, cancelación y reembolso del cargo de la suscripción Prime de la parte reclamante. Estas afirmaciones se realizan sin que se aporte ningún medio de prueba que acredite estas circunstancias. - Respecto al punto 12 y 13, en los cuales EDREAMS expresa la imposibilidad de identificar a la parte reclamante, cabe señalar que, con independencia de que el correo electrónico proporcionado por esta Agencia no fuera el de la parte reclamante sino de quien envió su solicitud de ejercicio de derecho de acceso, EDREAMS tenía el nombre y apellido de la parte reclamante, así como el número de su reserva, por lo que en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/41 base a estos datos pudo tener acceso a los datos de la parte reclamante, entre otros a su correo (***EMAIL.4). Por ello, no hay motivo para que la solicitud del ejercicio del derecho de acceso no fuera atendida debidamente, no como se hizo por EDREAMS en la contestación enviada el 17 de octubre de 2022, reenviando los datos de la reserva, con el siguiente texto: “[…] En su caso, no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.3. Acerca del localizador de reserva nº ***RESERVA.1, asociado a la dirección de correo electrónico ***EMAIL.3 (proporcionada en el momento de la compra) […]” Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA. - SOBRE EL PROCEDIMIENTO DE ATENCIÓN AL EJERCICIO DE DERECHOS EN EL MOMENTO DE LOS HECHOS” EDREAMS señala que tiene un canal oficial, el Formulario de Privacidad, como medio oportuno mediante el cual todo interesado pueda ejercer sus derechos, sin que el correo electrónico al que la parte reclamante dirigió su solicitud del ejercicio del derecho de acceso fuera el medio oportuno; aunque EDREAMS tenía previsto un proceso de escalado, no fue utilizado por el empleado, tal y como refiere la propia EDREAMS: “Si bien este proceso estaba claramente definido, el agente no procedió con el mismo, y además, ante el segundo correo recibido, este no ejerció acción alguna.” En contestación a esta alegación, la existencia de un “Formulario de Privacidad”, mediante el cual EDREAMS centraliza la gestión del ejercicio de derechos, no debe impedir que una solicitud de ejercicio de derechos en materia de protección de datos de carácter personal deba ser atendida cuando se presente por otros medios, como ocurre en el presente caso, en el que la parte reclamante dirigió su solicitud al correo electrónico (A.A.A.). Tal y como la propia EDREAMS recoge en sus alegaciones, el artículo 12.2 de la LOPDGDD dispone que: “El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” (el subrayado es nuestro). Que las solicitudes de ejercicio del derecho de acceso a los datos personales no se circunscriban a las peticiones realizadas a través de un canal determinado, es un criterio compartido con el Comité Europeo de Protección de Datos (en adelante, CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD), con fecha 28 de marzo de 2023 ha adoptado unas orientaciones para proporcionar una base clara y transparente sobre el ejercicio del derecho de acceso (Directrices 01/2022 sobre los derechos de los interesados- el derecho de acceso) “Guidelines 01/2022 on data subject rights - Right of access”. En el apartado 3.1.2 (párrafos 52 https://edpb.europa.eu/system/files/2023C/ Jorge Juan, 6 28001 – Madrid a 57) de las citadas Directrices www.aepd.es sedeagpd.gob.es 26/41 04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf), se expresa lo siguiente acerca de los requisitos de la solicitud del ejercicio del derecho de acceso (traducción no oficial): “52. Como se señaló anteriormente, el RGPD no impone ningún requisito a los interesados en relación con el formulario de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos el RGPD que los interesados deben observar al elegir un canal de comunicación a través del cual entran en contacto con el responsable. 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante, si el interesado realiza una solicitud a través de un canal de comunicación proporcionado por el responsable que es diferente del indicado como preferible, la solicitud se considerará, en general, eficaz y el responsable del tratamiento deberá tramitar dicha solicitud. En consecuencia, los responsables del tratamiento deben llevar a cabo todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos del interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un empleado que está de permiso, un mensaje automático informando al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). 54. Cabe señalar que el responsable del tratamiento no está obligado a actuar en respuesta a una solicitud enviada al azar o dirección de correo electrónico incorrecta (o postal), no proporcionada directamente por el responsable, o a cualquier canal de comunicación que es evidente que no está destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado, que pueda ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico de sus empleados que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados (p. ej.conductores, personal de limpieza, etc.). Dichas solicitudes no se considerarán eficaces, si el responsable del tratamiento ha proporcionado claramente al interesado el canal de comunicación adecuado. Sin embargo, si el interesado envía una solicitud al empleado del responsable que se ocupa de los asuntos del interesado a diario (contacto único de un cliente, como, por ejemplo, administrador de cuentas personales), dicho contacto no debe ser considerado como aleatorio y el responsable debe hacer todos los esfuerzos razonables, para tramitar dicha solicitud de manera que pueda ser redirigida al punto de contacto y responder dentro de los plazos establecidos para por el GDPR. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan, en la medida de lo posible, mecanismos para mejorar la comunicación interna entre los empleados en las solicitudes recibidas por aquellos que puedan no ser competente para atender tales solicitudes, con el fin de facilitar el ejercicio de los derechos de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/41 57. La fecha de recepción de la solicitud por parte del responsable del tratamiento activa, por regla general, el plazo de un mes para que el responsable del tratamiento facilite información sobre las medidas adoptadas en respuesta a una solicitud, de conformidad con el artículo 12, apartado 3 del RGPD. El CEPD considera como buenas prácticas de los responsables del tratamiento confirmar la recepción de las solicitudes por escrito, por ejemplo, enviando correos electrónicos (o información por correo, si fuese aplicable) a las personas solicitantes, que confirmen que sus solicitudes han sido recibidas y que el período de un mes va desde el día X hasta el día Y” (el subrayado es nuestro). Estos criterios determinan una interpretación amplia en cuanto a la aceptación de las solicitudes del ejercicio del derecho de acceso dirigidas por un interesado al responsable del tratamiento. Con carácter general, la solicitud del ejercicio del derecho de acceso a los datos personales debe ser considerada eficaz, por lo que los responsables del tratamiento deben hacer todos los esfuerzos razonables para asegurar que se facilita el ejercicio de los derechos de los interesados. La parte reclamante envió la solicitud a un correo electrónico (16 y 19 de noviembre de 2022) que pertenece a EDREAMS, concretamente a su servicio de atención al cliente (A.A.A.). Este servicio no puede entenderse excluido de la obligación de la atención de las solicitudes de ejercicio de derechos que formulen los clientes de EDREAMS, ya sea directamente o mediante el traslado a la unidad correspondiente. Según el apartado 55 de la Guía 01/2022, el responsable del tratamiento no está obligado a responder a una solicitud, enviada a la dirección de correo electrónico de sus empleados, que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados, como conductores o servicio de limpieza. Sin embargo, un departamento cuya actividad es la atención al público, como es el servicio de atención al cliente de EDREAMS, que realiza funciones que conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de acceso a sus datos personales. De este modo, la propia EDREAMS, según explica en su alegación SEGUNDA, tiene procesos internos para que el equipo de atención al cliente gestione las solicitudes de ejercicio de derechos en materia de protección de datos, que no se aplicaron a la solicitud realizada por la parte reclamante: “…Por todo ello, el agente actuó manifiestamente en contra de las instrucciones ofrecidas por EDREAMS no solo a través de procedimientos implementados, sino también a través de formaciones y acciones de concienciación periódicas realizadas.” La actuación negligente del empleado en la atención a la solicitud del ejercicio del derecho de acceso no exime de responsabilidad a EDREMAS. La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/41 separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” Continua la sentencia argumentando acerca de la de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma."(el subrayado es nuestro). Por todo lo expuesto, se desestima la presente alegación. “TERCERA. - SOBRE EL CUMPLIMIENTO DEL CONTENIDO DEL ARTÍCULO 15 RGPD POR EDREAMS En esta alegación EDREAMS considera que ha dado debida respuesta a la solicitud de ejercicio del derecho de acceso formulada por la parte reclamante. Sin embargo, en escrito realizado por EDREAMS fechado el 8 de junio de 2022, remitido en contestación al requerimiento de información formulado por esta Agencia, se dice: “Por la configuración de nuestros sistemas solo nos permite patrones de búsqueda por fecha o por dirección de correo electrónico, al no disponer de la última no hemos podido hacer esa comprobación… SOLICITAMOS 1. Que la reclamante proporcione el dato identificativo de la dirección de correo electrónico con la que hizo la reserva…” Con fecha 21 de octubre de 2022, EDREAMS manifestó: “Al recibir la información necesaria para dar tratamiento al presente requerimiento de información por parte de esta Agencia (con el dato identificativo necesario para nosotros de (...)) el 6 de octubre de 2022 (número de registro ***REGISTRO.3) procedimos a comprobar inmediatamente que (...) compró con EDREAMS a través de la web XXXXXX el 14 de mayo de 2019 y a través de la cual se dió alta en el servicio de Prime (programa de suscripción de EDREAMS) abonando 74.99 EUR con la compra de su reserva y obteniendo un descuento inmediato de -59.70 EUR en su viaje (ver imagen 1 y Anexo 2 - Copia del Contrato o licencia de usuario que el reclamante tuvo que aceptar para darse de alta en su servicio).” En la imagen posterior a este texto, como puede comprobarse en la imagen reproducida en el punto 4 de los Hecho Probado Octavo, consta el correo electrónico de la parte reclamante “***EMAIL.1”, por lo que, teniendo el correo electrónico de la parte reclamante, EDREAMS, según sus propias afirmaciones, tenía el dato necesario para realizar la búsqueda de los datos de la parte reclamante en sus archivos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/41 A mayor abundamiento, continúa el escrito de EDREAMS de fecha 21 de octubre de 2022, en el que contesta a la parte reclamante: “Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy.” Con fecha 7 de junio de 2022, esta Agencia había remitido a EDREAMS dos documentos de la parte reclamante. En el primero de ellos, fechado el 10 de noviembre de 2020, el representante de la parte reclamante realiza una solicitud de ejercicio de derecho de acceso respecto a su representada, y, en el segundo, fechado el 19 de noviembre de 2020, se insiste en recibir contestación a la solicitud por escrito. Pese a la apertura del presente procedimiento, el traslado de la solicitud del ejercicio del derecho de acceso realizado por esta Agencia y las demás circunstancias que han sido puestas en conocimiento de EDREAMS, no considera oportuno dar respuesta a la solicitud en cuestión. En el correo electrónico remitido por EDREAMS a la parte reclamante con fecha 17 de octubre de 2022, se realiza la contestación de la solicitud del ejercicio del derecho de acceso en una búsqueda sobre la dirección de correo electrónico de la persona que envió la solicitud, no sobre los datos de la parte reclamante: “…no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.3.” En consecuencia, no había motivo para que EDREAMS no atendiese a la solicitud del ejercicio del derecho de acceso. En su lugar, se remiten los datos asociados al localizador de reserva nº ***RESERVA.1 tal y como se describe en el Hecho Probado Noveno. En su contestación a la parte reclamante de 17 de octubre de 2022, EDREAMS le remite a su formulario de privacidad: “Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes.” Por todo lo expuesto, se desestima la presente alegación. “CUARTA. - MEJORA CONTINUA DE LOS PROCESOS DE EJERCICIO DE DERECHOS EN EDREAMS” Las medidas adoptadas por EDREAMS en orden a procurar el debido cumplimiento por parte de sus empleados de la normativa de protección de datos, sin desvirtuar su responsabilidad en los hechos, junto con el intento de atención del ejercicio del derecho de acceso con motivo del requerimiento de información realizado por esta Agencia, han sido tenidas en cuenta a efectos de formular la propuesta de sanción a imponer. Por todo lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/41 “QUINTA. - SOBRE LA IDONEIDAD, PROPORCIONALIDAD Y GRADUACIÓN DE LA SANCIÓN” Esta alegación se compone a su vez diversos argumentos, que se resumen y son contestados a continuación. Según EDREAMS: 1. “Ha facilitado a la CLIENTA la información correcta y suficiente en relación con lo dispuesto en el artículo 15 RGPD y a la petición del derecho de acceso realizada por la CLIENTA.” En respuesta a esta alegación, cabe señalar que, tal y como se ha explicado en la contestación a su alegación TERCERA, EDREAMS no atendió debidamente la solicitud de ejercicio del derecho de acceso pese a la apertura del presente procedimiento, el traslado de la solicitud del ejercicio del derecho de acceso realizado por esta Agencia y las demás circunstancias que han sido puestas en conocimiento de EDREAMS. Si bien se enviaron los datos de la reserva la nº ***RESERVA.1, realizada por la parte reclamante, la búsqueda en la base de datos con la dirección de correo electrónico ***EMAIL.3, no había motivo para que EDREAMS no atendiese a la solicitud del ejercicio del derecho de acceso sobre el correo ***EMAIL.1. Además de la reserva, según el Hecho Probado Primero, la parte reclamante había sido titular del servicio Prime (suscripción de EDREAMS), por lo que sus datos personales debían constar en la base de datos de EDREAMS. Además, EDREAMS ha enviado una respuesta a la parte reclamante una vez que se le formuló el requerimiento de información por parte de esta Agencia. 2. “De acuerdo con las conclusiones del informe de actuaciones previas de investigación, la AEPD reconoce que este no es un caso en el que haya tenido lugar una reincidencia en relación con los mismos hechos.” A este respecto, no se puede considerar que la no concurrencia de un agravante pueda atenuar la responsabilidad del infractor, de este modo, el Tribunal Supremo ha recogido de forma reiterada que la ausencia de las agravantes de reincidencia o reiteración no constituyen atenuante, doctrina sentada, entre otras, en la Sentencia del Tribunal Supremo de 19 de julio de 2016, Nº de Recurso: 1348/2016. En la Sentencia de Audiencia Nacional de 5 de mayo de 2021, Nº de Recurso 1437/2020, se indica que: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. A mayor abundamiento, constan en la base de datos de esta Agencia una serie de procedimientos sancionadores incoados a EDREAMS (XXXXXXX, XXXXXXX y XXXXXXX) en los que se ha dictado resolución sancionando la falta de atención de ejercicio de derechos reconocidos por el RGPD, por lo que la infracción objeto de este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/41 procedimiento no se trata de un caso aislado, sino que se trata de una conducta infractora que EDREAMS ha cometido de forma reiterada. 3. “Para esta clase de supuestos, la LOPDGDD tiene prevista la apertura de un procedimiento de tutela de derechos que no tiene la condición de procedimiento sancionador.” Como se motivó en el acuerdo de inicio, la falta de atención del ejercicio del derecho de acceso supone una infracción del RGPD, el cual otorga a las autoridades de control una serie de poderes correctivos, entre los que se encuentra “…imponer una multa con arreglo al artículo 83…” (artículo 58.2.
23. i)del RGPD). Al tratarse de un caso transfronterizo según lo dispuesto en el artículo 4.23) del RGPD, esta Agencia, como autoridad de control principal, debe cumplir con el mandato impuesto en el artículo 60.1 del RGPD, por el cual: “La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso”. Pues bien, consultadas las demás autoridades de control interesadas sobre este caso, el consenso alcanzado a través del proyecto de decisión, notificado a EDREAMS con fecha 01/03/2023, determina la necesidad de apertura del presente procedimiento sancionador en los términos fijados en el citado proyecto de decisión. 4. “Igualmente, EDREAMS considera que en caso similares se llegó a apercibir a EDREAMS.” En respuesta a este argumento es de aplicación la contestación dada en el apartado anterior, en cuanto al poder sancionador que el RGPD atribuye a la autoridad de control competente, y la valoración jurídica de los hechos realizada por las autoridades interesadas, finalmente consensuada a través de la aprobación del proyecto de decisión previo al acuerdo de inicio del presente procedimiento. Según el artículo 83.4 del RGPD, en el caso de las empresas, las infracciones se sancionarán con una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, por lo que, teniendo en cuenta el volumen de negocios de EDREAMS recogido en el Antecedente Sexto, la cuantía de la sanción queda muy lejos del importe máximo que permite dicho artículo. Por último, hay que señalar que la proporcionalidad de las sanciones que se proponen ha quedado motivada tanto en el acuerdo de inicio y en la presente propuesta de resolución. Por todo lo expuesto, se desestima la presente alegación. B) En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: “PRIMERA.REITERACIÓN PRESENTADAS.” C/ Jorge Juan, 6 28001 – Madrid DE LAS ALEGACIONES PREVIAMENTE www.aepd.es sedeagpd.gob.es 32/41 En respuesta a esta alegación, se debe resaltar que cada una de las alegaciones al acuerdo de inicio efectuadas por EDREAMS, tuvo una fundamentada contestación en la propuesta de resolución, por lo que esta Agencia se reitera en su respuesta a las alegaciones presentadas al acuerdo de inicio del presente procedimiento sancionador. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- SOBRE EL CONTEXTO Y LA ACTUACIÓN DILIGENTE DE EDREAMS PARA ASEGURAR QUE SE FACILITÓ EL EJERCICIO DE LOS DERECHOS” “2.1. Contexto: Efectos de la pandemia COVID-19 en EDREAMS” Entiende EDREAMS que debe ser considerado el contexto de pandemia mundial en el que se realizó la solicitud de ejercicio de derecho de acceso, con unos efectos nunca vividos, especialmente por la industria turística en la que ejerce su actividad dicha empresa, y teniendo en cuenta los esfuerzos realizados por la misma. Sin embargo, en noviembre de 2020, cuando la parte reclamante envió a EDREAMS la solicitud, los efectos negativos de la pandemia en la actividad económica eran considerablemente inferiores a los producidos entre marzo y abril de 2020. EDREAMS menciona una web donde se recoge la noticia de un ERTE que afectaba al 90% de su plantilla, pero esta noticia está fechada en marzo de 2020. Mientras que el pico máximo de trabajadores en ERTE se produjo en abril de 2020, con más de 3,5 millones de trabajadores, en noviembre de 2020 se redujo a menos de 750.000 (Fuente: https://www.lamoncloa.gob.es/serviciosdeprensa/notasprensa/inclusion/Paginas/2020/ 021220-ertes.aspx), por lo que no podemos considerar que los datos de marzo sean extrapolables a noviembre de 2020. Además, el primer correo de la parte reclamante, enviado el 16 de noviembre de 2020 (Hecho Probado Segundo), tuvo respuesta por EDREAMS al día siguiente, el 17 de noviembre de 2020 (Hecho Probado Tercero). La reducción de trabajadores a causa del ERTE quizás hubiera podido justificar un retraso en la respuesta, pero esto no fue así, ya que no hubo demora en la contestación al primer correo enviado por la parte reclamante, por lo que la falta de personal disponible para realizar las tareas correspondientes no puede ser el motivo por el que la solicitud no fuera debidamente atendida. “2.2. Actuación diligente de EDREAMS para asegurar que se facilitó el ejercicio de los Derechos” En este apartado EDREAMS afirma que “había desplegado los esfuerzos razonables dadas las circunstancias, destacando mencionar los siguientes en relación con el ejercicio del derecho realizado por (...)”, enumerando a continuación una serie de medidas adoptadas para facilitar el ejercicio de derechos de sus clientes. Por ello, EDREAMS entiende que ha realizado esfuerzos razonables para asegurar que se facilita el ejercicio de los derechos de los interesados, sin que le sea exigible una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/41 obligación de resultado, así como tampoco la imposición de una responsabilidad objetiva. Concretamente, respecto a las circunstancias del caso, EDREAMS refiere: “[…] era técnicamente imposible (ya no solo desproporcionado) esperar que EDREAMS pudiese en particular haber adoptado una medida que hubiese permitido comprobar que el agente no escaló una solicitud de ejercicio de derechos que no estaba identificada como tal ni en el asunto, cuerpo o título del adjunto enviado en las comunicaciones de (...) con fecha 16 y 19 de noviembre de 2020.” En respuesta a esta alegación, cabe señalar que el Hecho Probado Segundo consta el contenido de la carta adjunta al correo electrónico enviado por la parte reclamante el 16 de noviembre de 2020. En este documento se hace referencia claramente al artículo 15 del RGPD (traducción no oficial, original en alemán): “[…] En nombre y en nombre de mi cliente, solicito información de conformidad con el artículo 15 del RGPD sobre si ha almacenado datos personales relacionados con mi cliente. Con respecto a estos datos almacenados por usted, mi cliente tiene derecho a recibir información sobre ellos. Por lo tanto, tengo que pedirle que me facilite la siguiente información de conformidad con el artículo 15, apartado 1, del RGPD: […]” Por lo tanto, no es cierto que la solicitud del ejercicio del derecho de acceso no estuviera identificada debidamente. No podemos compartir los argumentos de EDREAMS relativos a la desproporción en cuanto a la necesidad de haber adoptado una medida que hubiese permitido comprobar que el agente no escaló una solicitud de ejercicio de derechos, teniendo en cuenta que la petición se hizo de forma reiterada por la parte reclamante, quedando sin contestación en el segundo correo. En la contestación a la alegación SEGUNDA de EDREAMS al acuerdo de inicio, ya se fundamentó que el envío de una solicitud de ejercicio de derecho de acceso a un servicio de atención al cliente debe considerarse eficaz de acuerdo con los criterios establecidos por el Comité Europeo de Protección de Datos en sus 01/2022 sobre los derechos de los interesados- el derecho de acceso. Además, el cumplimiento de las obligaciones del RGPD es una cuestión interna de los obligados por el mismo. Como ya se indicó en la respuesta a su alegación QUINTA al acuerdo de inicio, constan en la base de datos de esta Agencia una serie de procedimientos sancionadores incoados a EDREAMS (XXXXXXXXX, XXXXXXXXX y XXXXXXXXX) en los que se ha dictado resolución sancionando la falta de atención de ejercicio de derechos reconocidos por el RGPD, por lo que la infracción objeto de este procedimiento no se trata de un caso aislado, sino que se trata de una conducta infractora que EDREAMS ha cometido de forma reiterada. Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA” En esta alegación EDREAMS rechaza la aplicación a este caso de la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020) en cuanto al supuesto de hecho recogido en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/41 misma (una brecha de seguridad), mientras que en este caso EDREAMS atribuye a un error humano la falta de atención de la solicitud de ejercicio del derecho de acceso y, sin embargo, sí entiende aplicable la fundamentación de esta sentencia en cuanto a la inadmisibilidad de la responsabilidad objetiva. Por último, relaciona estos argumentos con los ya planteados en la alegación anterior: existencia de una pandemia, del contenido de los correos electrónicos no se desprendía que estuvieran relacionados con el ejercicio de derechos y todas las medidas y procedimientos adoptados por EDREAMS en materia de atención de derechos. En contestación a esta alegación, cabe señalar que la Sentencia del Tribunal Supremo es traída a colación con relación a la responsabilidad de EDREAMS por la actuación negligente de sus empleados, sin que, según la doctrina establecida por dicha sentencia, el responsable del tratamiento pueda excusarse en su actuación diligente separadamente de la actuación de sus empleados. Así mismo, dicha Sentencia establece los requisitos para exigir la responsabilidad a las personas jurídicas por los actos cometidos por los empleados de éstas en base, no a la responsabilidad objetiva como refiere EDREAMS, sino a “la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz”. Todo ello ya se fundamentó en la contestación a la alegación SEGUNDA al acuerdo de inicio. Respecto a considerar que la infracción se ha cometido por un “error humano”, el cual EDREAMS identifica con “no haber escalado la consulta para su valoración por el equipo competente, tal y como ha quedado acreditado en las alegaciones presentadas al acuerdo de inicio del procedimiento sancionador”, de la actuación de EDREAMS en la falta de atención de la solicitud de ejercicio del derecho de acceso cabe resaltar que: Primero. La solicitud no fue atendida pese a que la representación de la parte reclamante reiteró su petición (Hechos Probados Segundo y Cuarto), no existiendo ningún tipo de control sobre este tipo de comunicaciones por parte de EDREAMS. Segundo. EDREAMS no tiene constancia de haber recibido ninguna solicitud de ejercicio del derecho de acceso, como afirma en la respuesta enviada a la parte reclamante: (Hecho Probado Noveno): “Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy. Tercero. En la contestación remitida a la parte reclamante, EDREAMS le remite a su formulario para la respuesta a la solicitud de ejercicio de derecho de acceso. En la carta remitida a la parte reclamante se dice: “Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/41 Cuarto. EDREAMS sostiene que no puede encontrar los datos personales de la parte reclamante a menos que sea con su correo electrónico, no puede identificar a sus clientes mediante otros datos personales, como nombres y apellidos (Hecho Probado Séptimo). En la contestación al requerimiento de información remitido por esta Agencia se dice (página 61 del expediente): “Inmediatamente, procedimos a la diligente búsqueda de (...) en nuestros sistemas. Esta es la fase previa para dar tratamiento a cualquier reclamación en la que no se nos facilita el correo electrónico del cliente, que es nuestro identificador único de cliente, de acuerdo con nuestras condiciones de uso… Por todo ello, y debido a que fue excepcionalmente imposible determinar a (...) con certeza tras la adecuada búsqueda”. En consecuencia, teniendo en cuenta todas estas circunstancias, la falta de atención de la solicitud formulada por la parte reclamante no se debe a un “error humano aislado” como argumenta EDREAMS, sino que existe culpabilidad por falta de la diligencia exigible a EDREAMS en la adecuada tramitación de ejercicio del derecho de acceso a sus datos de carácter personal, para lo cual EDREAMS tiene previsto un procedimiento a través de un formulario, pero esto no le exime de la obligación de atender aquellas otras solicitudes que le sean dirigidas sin el uso de dicho formulario. De esta forma, el apartado 55 de las Directrices 01/2022 del CEPD, sobre los derechos de los interesados- el derecho de acceso, aquel departamento cuya actividad es la atención al público, como es el servicio de atención al cliente de EDREAMS, que realiza funciones que conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de acceso a sus datos personales. Por último, como ya se dijo en la propuesta de resolución, constan en la base de datos de esta Agencia una serie de procedimientos sancionadores incoados a EDREAMS (XXXXXXX, XXXXXXX y XXXXXX) en los que se ha dictado resolución sancionando la falta de atención de ejercicio de derechos reconocidos por el RGPD, por lo que la infracción objeto de este procedimiento no se trata de un caso aislado, sino que se trata de una conducta infractora que EDREAMS ha cometido de forma reiterada. Por todo lo expuesto, se desestima la presente alegación. “CUARTA.- SOBRE LA INADMISIBILIDAD DEL INCUMPLIMIENTO POR PARTE DE EDREAMS DEL ARTÍCULO 15 RGPD” EDREAMS alega que ha dado debida respuesta a la solicitud de ejercicio del derecho de acceso, aportando la copia “facilitada por email a (...) el 17 de octubre de 2022 (y no por teléfono, como indica (...)…” Para poder identificar adecuadamente a la parte reclamante, EDREAMS señala la necesidad de obtener un dato que no había sido aportado previamente y que considera inequívoco: el email con el que la parte reclamante realizó la reserva. Solo cuando EDREAMS tuvo acceso al número de reserva y al email de la persona que realizó la reserva se pudo acceder al dicho correo y se pudo identificar correctamente y de forma inequívoca a (...). Según EDREAMS, la AEPD concluye que el contenido remitido a (...) el pasado 17 de octubre de 2022 es insuficiente para entender que la solicitud del derecho de acceso no fuese atendida incluso en ese momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/41 En contestación a esta alegación debe señalarse que, según se acredita en el Hecho Probado Primero la suscripción anual al servicio Prime proporcionado por EDREAMS, se realizó con el correo electrónico de la parte reclamante ***EMAIL.4. Sin embargo, pese a tener el correo de la parte reclamante, en la contestación remitida por EDREAMS, tal y como consta en el Hecho Probado Noveno, se dice lo siguiente: “En su caso, no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.3.” A continuación, no se realiza la búsqueda por el correo de la parte reclamante sino con el de la persona que remitió la solicitud de ejercicio del derecho de acceso, y así se hace constar en los datos de la reserva aportados a la parte reclamante (traducción no oficial, original en alemán): “Acerca del localizador de reserva nº ***RESERVA.1, asociado a la dirección de correo electrónico ***EMAIL.3 (proporcionada en el momento de la compra), disponemos de la siguiente información:” (Último párrafo de la página 144 del expediente). En la comparativa del contenido de la respuesta al ejercicio de derecho de acceso entregada el 17 de octubre de 2022 con el contenido del artículo 15 RGPD aportada por EDREAMS como Anexo 2 a las alegaciones, sí se refiere al correo “***EMAIL.4”, pero no así en la contestación original remitida a la parte reclamante, según la propia documentación remitida por EDREAMS obrante en el expediente (páginas 143 a 155). En consecuencia, no se puede determinar que los datos remitidos por EDREAMS sean los que corresponden a la parte reclamante, por lo que no puede darse por atendida su solicitud del ejercicio del derecho de acceso. Por todo lo expuesto, se desestima la presente alegación. “QUINTA.- SOBRE LA IDONEIDAD, PROPORCIONALIDAD Y GRADUACIÓN DE LA SANCIÓN” En esta alegación, EDREAMS realiza un resumen de los argumentos expuestos en las alegaciones anteriores: se ha atendido la solicitud de ejercicio de derecho cuando pudo identificar a (...), las circunstancias excepcionales vividas provocadas por la pandemia comprometieron la operativa del sector turístico, la parte reclamante fue poco clara en el ejercicio de su derecho por diversos motivos, no existe reincidencia por EDREAMS y, por último, que el fondo del asunto versa exclusivamente sobre la presunta falta de atención de una solicitud de ejercicio de los derechos, para lo cual, la LOPDGDD tiene prevista la apertura de un procedimiento de tutela de derechos que no tiene la condición de procedimiento sancionador. Los fundamentos de esta alegación han tenido debida respuesta en las alegaciones anteriores, se especifican aquí a modo de resumen: 1.- EDREAMS no atendió la solicitud de ejercicio del derecho de acceso de la parte reclamante, sino que envió los datos referidos al localizador de reserva nº ***RESERVA.1, asociado a la dirección de correo electrónico ***EMAIL.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/41 2.- El motivo de la falta de atención de la solicitud del ejercicio del derecho de acceso no puede ser la falta de personal por la situación excepcional causada por el COVID19, cuando la contestación al primer correo enviado por la parte reclamante se produjo al día siguiente de su envío, por lo que la falta de personal disponible para realizar las tareas correspondientes no puede ser el motivo por el que la solicitud no fuera debidamente atendida 3.- El servicio de atención al cliente de EDREAMS, que realiza funciones que conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de acceso a sus datos personales. 4.- La infracción objeto de este procedimiento, la falta de atención de una solicitud de ejercicio del derecho de acceso, no se trata de un caso aislado. En la base de datos de esta Agencia una serie de procedimientos sancionadores incoados a EDREAMS (XXXXXXX, XXXXXXX y XXXXXXX) en los que se ha dictado resolución sancionando la falta de atención de solicitudes de ejercicio de derechos reconocidos por el RGPD. En la respuesta a su alegación TERCERA, enumeran las cuestiones que ponen de manifiesta la deficiente gestión de la solicitud remitida por la parte reclamante. 5.- La vulneración del artículo 15 del RGPD por la falta de atención de una solicitud de ejercicio del derecho de acceso supone una infracción de dicha norma. El artículo 58.2.
24. i)del RGPD otorga a las autoridades de control una serie de poderes correctivos, entre los que se encuentra “…imponer una multa con arreglo al artículo 83…” Esta Agencia, como autoridad de control principal en un caso transfronterizo, debe cumplir con el mandato impuesto en el artículo 60.1 del RGPD, por el cual: “La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso”. Consultadas las demás autoridades de control interesadas sobre este caso, el consenso alcanzado a través del proyecto de decisión, notificado a EDREAMS con fecha 01/03/2023, determinaba la necesidad de apertura del presente procedimiento sancionador en los términos fijados en el citado proyecto de decisión. Por todo lo expuesto, se desestima la presente alegación. IV Derecho de acceso del interesado El Artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
25. a)los fines del tratamiento;
26. b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/41
27. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
28. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
29. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
30. f)el derecho a presentar una reclamación ante una autoridad de control;
31. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
32. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente caso, con fecha 16 de noviembre de 2020 la parte reclamante solicitó a EDREAMS el ejercicio del derecho de acceso a sus datos personales mediante correo electrónico, enviado al buzón de correo electrónico “A.A.A.”. Esta dirección de correo electrónico es proporcionada por EDREAMS a sus clientes como dirección de contacto, según se ha podido comprobar en los “Términos y Condiciones de Opodo.de” aportados por EDREAMS en contestación al requerimiento de información realizado por esta Agencia. En la respuesta de EDREAMS a la solicitud formulada por la parte reclamante se le indica que contacte con un número de teléfono del departamento de atención al cliente correspondiente, y se dan los teléfonos de Alemania, Suiza y Austria. El 19 de noviembre de 2020 la parte reclamante volvió a solicitar a EDREAMS la atención de su solicitud por correo electrónico, sin obtener ninguna respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/41 IV Tipificación y calificación de la infracción del artículo 15 del RGPD De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera EDREAMS no ha atendido debidamente el ejercicio del derecho de acceso en el plazo de un mes a partir de la recepción de la solicitud formulada por la parte reclamante. Los hechos conocidos son constitutivos de una infracción del artículo 15 del RGPD, imputable a EDREAMS, tipificada en el artículo 83.5 del RGPD, que estipula lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
33. a)…
34. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1.
35. k)de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
36. a)…
37. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (…).” V Sanción por la infracción del artículo 15 del RGPD Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Circunstancias del artículo 83.2 del RGPD tenidas en cuenta como atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/41 - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (apartado k): Se ha dado contestación a la solicitud de acceso de la parte reclamante el día 20 de octubre de 2022, después de haber recibido el requerimiento de información de la AEPD que fue notificado el 11 de octubre de 2022. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad desarrollada por EDREAMS requiere de forma habitual el tratamiento de los datos personales de sus clientes. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite imponer una sanción de 10.000 € (diez mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 10.000 € (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva