← España

PS-00015-2022

1/36  Expediente N.º: PS/00015/2022 IMI Reference: A61VMA 298021- Case Register 79805 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19 de mayo de 2019 interpuso reclamación ante la autoridad francesa de protección de datos. La reclamación se dirige contra VACACIONES EDREAMS S.L., con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante denuncia que EDREAMS hizo un cargo en su tarjeta por un servicio Prime que había solicitado meses antes, pero del cual no se le había informado que se renovaba automáticamente. Los datos de la tarjeta utilizada eran, además, los que se habían introducido para una reserva adquirida en el pasado, con lo que acusa a la entidad de retener información personal sin su autorización. Tras ponerse en contacto con el responsable para solicitar la devolución del importe, su área privada dejó de ser accesible y la información de sus viajes fue eliminada. Se puso en contacto por e-mail con Atención al Cliente (a la dirección customerservicefr@contact.edreams.com) para ejercitar sus derechos de acceso, supresión y oposición a recibir comunicaciones comerciales, pero le remitieron a la vía telefónica; en ésta le instaron a remitir una carta por vía postal a la dirección que venía indicada en el portal web, y cuando hizo esto, la carta fue devuelta por desconocido. El cargo en la cuenta de la parte reclamante se realizó el 14 de enero de 2019. La solicitud de acceso a datos, supresión y oposición a recibir comunicaciones comerciales se realizó el día 23 de enero de 2019. Junto con la reclamación aporta: - Copia de un recibo en una tarjeta a nombre de la parte reclamante en el que se observa un cargo realizado en fecha del 14 de enero de 2019 por EDREAMS con un importe de 54,99€. - Captura de pantalla de una cuenta ligada al correo ***EMAIL.1 (la parte reclamante indica que es la cuenta a la que se refiere en su reclamación; en adelante, el email de la parte reclamante) en la que se observa que no existen tarjetas asociadas a la cuenta. Esta pantalla muestra un mensaje de error en la que se indica que su sesión se ha interrumpido y que tiene que volver a reiniciarla. No se observa la fecha de captura de esta pantalla. - Copia de un correo electrónico enviado desde el email de la parte reclamante a customerservice-fr@contact.edreams.com, fechado el 23 de enero de 2019, en el que solicita una copia de sus datos e indica que no puede acceder a ellos a través de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 cuenta en EDREAMS desde que se quejó a atención al cliente. En este correo, también solicita que supriman sus datos y que no los utilicen con fines comerciales. - Copia de un correo electrónico enviado desde customerservicefr@contact.edreams.com hacia el email de la parte reclamante, de fecha 23 de enero de 2019, como respuesta al anterior correo en el que se le indica que debe contactar por teléfono para todo lo relacionado con su cuenta premium, y se le facilita el número de teléfono al que debe llamar. - Captura de pantalla del sitio web “edreams.fr” en el que se observa que, en el pie de la página web muestra las siguientes dos direcciones postales: - Dirección de EDREAMS: C/ Conde de Peñalver, 5, 1 Ext. Izq. - MADRID. - Dirección de ATOUT FRANCE: Sis 79/81 rue Clichy - PARIS. - Copia de carta dirigida a EDREAMS, pero dirigida a la dirección de ATOUT FRANCE por la parte reclamante fechada el 1 de febrero de 2019. A esta carta, se acompaña un resguardo de carta certificada con aviso de recepción en el que se puede ver que la dirección a la que se envió es la de ATOUT FRANCE y que fue devuelta al destinatario por el motivo de “receptor desconocido en la dirección”. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 21 de mayo de 2021, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) la citada reclamación. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EDREAMS tiene su sede social y establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada” la autoridad francesa de protección de datos. TERCERO: Con fecha 1 de junio de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 Contestación a requerimiento de información presentada en representación de EDREAMS con registro de entrada O00007128e2100036023, con entrada en la AEPD el 27 de agosto de 2021, en la que se aporta, entre otra, la siguiente información respecto a la utilización de los datos de pago de la parte reclamante: 1. Declaración de que los datos de la tarjeta de crédito fueron recogidos durante la reserva de un vuelo el 14 de enero de 2018, en la que la parte reclamante se suscribió también al servicio Prime durante un año con renovación automática, realizándose esta renovación de manera automática el 14 de enero de 2019. 2. Explicación de los pasos que tiene que seguir el usuario del sitio web de EDREAMS acompañada de capturas de pantallas del propio sitio web en francés. Se aprecia que, durante la contratación de un viaje, se puede escoger la opción de contratar el servicio Prime. 3. Copia de varios extractos de los términos y condiciones en francés (junto con la traducción al español) del sitio web de EDREAMS a fecha del 14 de enero de 2018 (que es la fecha en la que indican que se produjo la contratación del servicio Prime). En estos extractos se indica, entre otras cosas, lo siguiente: 3.1. Que la contratación del servicio Prime se realiza al completar la reserva de un vuelo que sea elegible para el servicio Prime en el sitio web de EDREAMS. 3.2. Que “USTED ENTIENDE QUE SU SUSCRIPCIÓN SE RENOVARÁ AUTOMÁTICAMENTE Y NOS AUTORIZA (SIN PREVIO AVISO, A MENOS QUE LO EXIJA LA LEGISLACIÓN APLICABLE) A CARGAR LA CUOTA ANUAL DE SUSCRIPCIÓN A EDREAMS PRIME UTILIZANDO LA TARJETA DE PAGO REGISTRADA EN SU CUENTA.”. 3.3. Se especifica lo siguiente respecto a los datos de pago: “Conservación de tus datos bancarios: Utilizaremos los datos de pago que introdujiste al registrarte en eDreams Prime, o en el caso de un registro de prueba gratuito, cuando realizaste tu última compra en nuestro sitio en los últimos 12 meses, a menos que acordemos otra cosa entre tú y Nosotros. También aceptas que al registrarte en eDreams Prime aceptas que tus datos bancarios también se utilicen para pagar la renovación de tu suscripción a eDreams Prime. Si los datos bancarios que tenías en el momento de registrarte en eDreams Prime han caducado, te pediremos que los actualices o, en su caso, realizaremos el pago de la renovación de tu suscripción utilizando los datos bancarios que nos proporcionaste cuando hiciste un pedido en el Sitio y que aceptaste conservar.” 4. Indicación de que la licitud del tratamiento de los datos de la tarjeta de crédito de la parte reclamante se basa en el artículo 6.1.b del RGPD, al ser datos necesarios para la ejecución del contrato ya que “resultaba esencial para la prestación del servicio de Prime el recabar los datos de pago para ejecutar la obligación de pago y beneficiarse de dicho servicio de suscripción contratado”. En este sentido, EDREAMS alega la aplicación de las Recomendaciones del Comité Europeo de Protección de Datos nº 02/2021 sobre la base jurídica para el almacenamiento de datos de tarjetas de crédito con el único fin de facilitar nuevas transacciones en línea, adoptadas el 19 de mayo de 2021, que en la nota al pie de página 2 de la página 2 establece: “Hay que señalar que no incluye las entidades de pago que operan en las tiendas en línea, ni las autoridades públicas. Tampoco el almacenamiento de datos de tarjetas de crédito para cualquier otro fin, por ejemplo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 para el cumplimiento de una obligación legal, o para establecer un pago recurrente en casos de contrato de prestación continuada o de suscripción a un servicio de larga duración (por ejemplo, un contrato que estipule el suministro de un determinado bien cada mes, o la suscripción a un servicio de streaming de música o películas).” En la misma contestación a requerimiento de información presentada en representación de EDREAMS con registro de entrada O00007128e2100036023, con entrada en la AEPD el 27 de agosto de 2021, se aporta, entre otra, la siguiente información respecto a la limitación de acceso de la parte reclamante a su cuenta alrededor del día 23 de enero de 2019: 5. Confirmación de que la parte reclamante había registrado en eDreams Prime una cuenta asociada al email de la parte reclamante. 6. Indicación de que la limitación del acceso a la cuenta de la parte reclamante se pudo deber a un error de la parte reclamante al acceder a la cuenta o a una incidencia puntual del sitio web, y se indica que han analizado las incidencias informáticas del periodo entre el 14 y el 24 de enero de 2019, y se ha identificado que se produjo una incidencia el día 23 de enero de 2019 que duró 6 horas que pudo haber impedido a la parte reclamante acceder a sus datos en ese momento. Indican que, al haber transcurrido más de dos años y medio, no se ha podido confirmar si dicho incidente limitó concretamente el acceso a la cuenta de la parte reclamante. 7. Indicación de que, en las condiciones generales se indica que la suscripción también se puede cancelar por vía telefónica en el servicio gratuito de atención al cliente. Y se aporta una copia de las condiciones generales de usuario en francés en las que se encuentra, entre otras, la siguiente información: “…A MOINS QUE VOUS NE NOTIFIEZ VACACIONES EDREAMS, AVANT LE RENOUVELLEMENT, QUE VOUS SOUHAITEZ ANNULER OU QUE VOUS NE SOUHAITEZ PAS RENOUVELER AUTOMATIQUEMENT VOTRE ABONNEMENT A EDREAMS PRIME VEUILLEZ CONTACTER LE SERVICE CLIENT PRIME PAR TÉLÉPHONE” (traducido: “A MENOS QUE NOTIFIQUE A VACACIONES EDREAMS, ANTES DE LA RENOVACIÓN, QUE DESEA CANCELAR O NO DESEA RENOVAR AUTOMÁTICAMENTE SU SUSCRIPCIÓN A EDREAMS PRIME (POR FAVOR, PÓNGASE EN CONTACTO CON EL SERVICIO DE ATENCIÓN AL CLIENTE PRIME POR TELÉFONO)”). Respecto a este número de teléfono de atención al cliente, se indica lo siguiente en las condiciones generales: “Service client exclusif : numéro de téléphone prioritaire (le numéro vous sera envoyé via l’email de confirmation de votre inscription à eDreams Prime)” (traducido: “Servicio de atención al cliente exclusiva: número de teléfono prioritario (el número que se enviará a través del correo electrónico de confirmación de registro de eDreams Prime)”). En la misma contestación a requerimiento de información presentada en representación de EDREAMS con registro de entrada O00007128e2100036023, con entrada en la AEPD el 27 de agosto de 2021, se aporta, entre otra, la siguiente información respecto a la solicitud de acceso y supresión de la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 8. Copia de la política de privacidad publicada en el sitio web de EDREAMS en 2018. En esta política de privacidad se indica, entre otras cosas, lo siguiente respecto a la manera de ejercer los derechos de protección de datos: “Para ejercer estos derechos, por favor, envía un correo electrónico a dpo@edreamsodigeo.com o envía tu solicitud por correo postal a: Protección de Datos – Paseo Zona Franca, 195-205, 08038 Barcelona, España. En tu solicitud, deberás indicar de forma clara (

  1. i)tu identidad, con indicación de, al menos, tu nombre completo y la dirección de correo electrónico que utilizaste al comprar o registrarte en eDreams, y (
  2. ii)el derecho o derechos que ejercitas. También puedes acudir a la Agencia Española de Protección de Datos (www.agpd.
  3. es)para solicitar la tutela de tus derechos, si lo consideras oportuno.”. Esta política de privacidad coincide con el contenido histórico de fecha 24 de septiembre de 2018 de la página https://www.edreams.es/politica-de-privacidad/, según la consulta realizada en el sitio web https://web.archive.org. 9. Indicación de que la solicitud de la parte reclamante no llegó por el formulario de privacidad del sitio web de EDREAMS sino que llegó a través del email de atención al cliente y fue tratado como un ejercicio de derecho de borrado, según consta en sus sistemas informáticos, e indican que “los mínimos datos personales están bloqueados, para la posible defensa jurídica en caso de reclamación de consumo”. Y se aporta una captura de pantalla, que se indica que son los datos de la parte reclamante que aparecen en el sistema de reservas; en esta pantalla se observa que son datos referidos a una reserva de fecha “14/01/2018 21:10” en la que los datos personales aparecen sustituidos por asteriscos y se indica como fecha de modificación el “23/05/2018”. 10. Indicación de que “la copia de las comunicaciones que nos daría más información al respecto fueron borradas al dar tratamiento a dicho requerimiento en su momento”. 11. Indicación de que, a raíz del conocimiento de esta reclamación, han vuelto a responder a la solicitud de derechos de acceso y supresión de la parte reclamante; y se aporta una copia del correo electrónico enviado al email de la parte reclamante en francés, y una traducción al español de este correo, en el que se informa que sus datos han sido suprimidos, pero que excepcionalmente: “1/ Mantenemos los datos necesarios para la prestación de todos nuestros servicios como en el caso de la suscripción a nuestra cuenta Prime. La cuenta Prime se renovó en 2019 y por eso se hizo el cargo correspondiente. 2/ Conservamos y almacenamos los datos personales necesario de forma confidencial, permitiendo su tratamiento en caso de denuncia o investigación por parte de las autoridades competentes, respetando los plazos previstos por la legislación vigente. Para ello, le informamos de que el periodo máximo de almacenamiento de datos es de 5 años; transcurrido este periodo, los datos restantes serán debidamente eliminados.” El contenido de la política de privacidad de los sitios web www.edreams.es y www.edreams.fr en la fecha del 14 de enero de 2018 no ha podido ser constatado después de realizadas las consultas en el histórico que aparece en el sitio web https:// web.archive.org/. Sí se ha comprobado que la política de privacidad aportada por EDREAMS es la misma que aparece en el histórico de la página C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 https://www.edreams.es/politica-de-privacidad/ de fecha 24 de septiembre de 2018, y que es distinta a la que aparecía en la fecha del 29 de noviembre de 2017, de acuerdo con la consulta realizada en el sitio https://web.archive.org/. El contenido de los términos y condiciones generales del servicio eDreams Prime en los sitios web www.edreams.es y www.edreams.fr en la fecha del 14 de enero de 2018 no ha podido ser constatado después de realizadas las consultas en el histórico que aparece en el sitio web https://web.archive.org/. El único registro histórico de la página https://www.edreams.es/prime/condiciones-generales-de-venta/ que aparece en https://web.archive.org es de la fecha 28 de febrero de 2021, y no existen versiones anteriores en ese histórico. QUINTO: Con fecha 12 de enero de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 13 de enero de 2022, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 21 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS a fin de dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 22 de julio de 2022, como consta en el acuse de recibo que obra en el expediente SÉPTIMO: Con fecha 30 de julio de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: 1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA Alega EDREAMS que centraliza la gestión del ejercicio de derechos (incluido los derechos de acceso, supresión y oposición a recibir comunicaciones comerciales) a través de su Formulario de Privacidad, enlazado en su Aviso de Privacidad y gestionado mediante un proceso definido y por un equipo formado y dedicado a tal efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 Explica que, inicialmente, el interesado ejerce su derecho mediante el Formulario de Privacidad. Y que dicha solicitud está exclusivamente condicionada a que los agentes especializados en la gestión de estos derechos puedan confirmar la información y se tengan suficientes garantías de que la persona dice ser quien es y/o de que la representación de un tercero está suficientemente acreditada (normalmente la confirmación pasa porque el cliente, que recibe un correo electrónico de verificación, confirme en su correo electrónico personal registrado en nuestros sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, indica que se conecta con los departamentos oportunos, para ejecutar las acciones correspondientes en base al derecho ejercido. Finalmente, una vez las acciones necesarias han sido realizadas, se procede a dar respuesta al interesado de acuerdo a una guía interna (en este caso, las guías de los derechos de acceso, supresión y oposición a recibir comunicaciones comerciales). Manifiesta que este proceso se realiza de acuerdo con su Aviso de Privacidad y su Política interna de privacidad (se aporta Anexo 1 - Índice y sección aplicable de la Política interna de privacidad), así como de los procedimientos internos; en concreto las Guías internas sobre el ejercicio de los derechos de acceso, supresión y oposición a recibir comunicaciones comerciales (se aporta Anexo 2 - Guías internas sobre el ejercicio de derechos en materia de protección de datos (Anexo 2.1 - Guía interna sobre el ejercicio del derecho de acceso; Anexo 2.2 - Guía interna sobre el ejercicio del derecho de supresión; Anexo 2.3 - Guía interna sobre el ejercicio del derecho de oposición a comunicaciones comerciales) y con la normativa de protección de datos. También afirma EDREAMS que es consciente de que los clientes pueden ponerse en contacto con ellos por distintas vías con finalidades diversas y que, por ello, forman a sus agentes de Atención al cliente y realizan acciones de concienciación respecto al ejercicio de derechos. Del mismo modo, facilitan una guía de respuesta, con la finalidad que sepan detectar el ejercicio de derechos y sepan reiterar la información ya recogida en su Aviso de Privacidad, respecto al Formulario de Privacidad como medio para ejercer los derechos. 2.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES En primer lugar, EDREAMS alega que, tras las investigaciones internas, comprobó que, la parte reclamante no ejerció sus derechos por ninguna de los dos medios indicados en la política de privacidad de 2018, vigente en el momento del ejercicio de derechos (se aporta Anexo 3 - Política de privacidad de 2018): “Para ejercer estos derechos, por favor, envía un correo electrónico a dpo@edreamsodigeo.com o envía tu solicitud por correo postal a: Protección de Datos – Paseo Zona Franca, 195-205, 08038 Barcelona, España. En tu solicitud, deberás indicar de forma clara (
  4. i)tu identidad, con indicación de, al menos, tu nombre completo y la dirección de correo electrónico que utilizaste al comprar o registrarte en eDreams, y (
  5. ii)el derecho o derechos que ejercitas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36 En segundo lugar, han analizado los buzones de correo electrónico genéricos de Atención al cliente y han comprobado que recibieron la solicitud de la parte reclamante. Se han puesto en contacto con el equipo de Atención al cliente que les ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a sus procesos internos que garantizan la correspondiente gestión de dicha petición, haciendo referencia a su Formulario de Privacidad (como tienen indicado en el proceso interno de gestión de derechos de protección de datos) o a escalar el ejercicio de derecho internamente al departamento especializado que se encarga de ello. En esos canales de Atención al cliente se intenta contestar lo antes posible pero no existe ningún plazo fijo determinado de respuesta, ya que depende del filtrado de temas y la priorización de los mismos, que se realiza de forma manual por el equipo de Atención al cliente y que conlleva riesgos de incorrecta categorización manual a diferencia de lo que ocurre cuando se ejercitan por el medio adecuado y proporcionado para el ejercicio de derechos (el Formulario de Privacidad). Asimismo, en el caso excepcional en el que un cliente contacte mediante correo postal, (medio que considera obsoleto a día de hoy, especialmente en una empresa de servicios electrónicos), han realizado esfuerzos de sensibilización y formación en el personal de recogida de correo postal por si llegase algún ejercicio de derechos por esa vía para que sea canalizado internamente de la forma correcta (ver Anexo 4 Guía sobre la gestión del correo postal). Aun así, afirman que las direcciones postales de EDREAMS no deben entenderse como vías de contacto pues son solo a efectos fiscales y mercantiles, no como direcciones disponibles y especializadas para recibir cualquier tipo de ejercicio de derechos. Entienden que al ser su negocio 100% digital y en la plataforma de internet, sus clientes están familiarizados con el medio y centralizan la gran mayoría de sus acciones y comunicaciones por vía digital, máxime cuando cambiaron eso con la correspondiente transparencia en su Aviso de Privacidad, facilitando el Formulario de Privacidad a tal efecto. Y afirman que es precisamente por dicha razón que se creó un medio específico (mediante el Formulario de Privacidad), cumpliendo con la normativa de protección de datos y con el fin de ser capaces de ofrecer un proceso maduro y lo más garantista y transparente posible para que los clientes ejerzan sus derechos de protección de datos. Además, añaden que dicho proceso lo han automatizado con una herramienta de privacidad especializada (***HERRAMIENTA.1), para reducir riesgos y mejorar sus respuestas, y se gestiona con alertas para evitar que venzan plazos y dar respuesta a los clientes lo antes posible y con un plazo máximo de treinta días. Alegan que prueba de lo mismo es la gestión de la respuesta prioritaria e inmediata al ejercicio de derechos de la parte reclamante con máxima celeridad desde que se tuvo conocimiento del mismo: fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho inmediatamente realizando todas las acciones internas en sus sistemas, las comprobaciones oportunas y la parte reclamante conformemente respondido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 Muy a su pesar, afirman que el caso de la parte reclamante no se dirigió correctamente a la información oportuna y al Formulario de Privacidad. Las circunstancias excepcionales y el error manual del agente, así como las medidas implementadas (que se trasladan a continuación), hacen que el riesgo de reproducirse este caso sea remoto. 3.CORRECTA LICITUD DEL TRATAMIENTO. CONOCIMIENTO DE LAS CONDICIONES DE PRIME TRANSPARENCIA Y EDREAMS alega que los datos de la parte reclamante se recogieron durante una reserva de vuelo el 14 de enero de 2018, misma fecha en la que la parte reclamante se suscribió a Prime, y pagó la cuota de suscripción a Prime para su primer año. Y que, igualmente, se le comunicó durante la suscripción, se le iba a renovar automáticamente por un segundo año (esto es, el 14 de enero de 2019). Manifiesta que la parte reclamante tenía conocimiento de este tratamiento y no se trata de un cargo indebido, sorpresivo y/o fraudulento pues en su página de resultados, el cliente puede elegir la tarifa Prime, que se muestra vinculada a una suscripción con una cuota anual de 54,99 euros. Si no, puede continuar con el precio estándar, si no quiere contratar la suscripción de Prime que tiene precios más competitivos. Explica que se requiere una acción activa por parte del cliente para darse de alta como miembro de Prime de la cual se vuelve a informar de la renovación anual de forma automática cuando el cliente establece su contraseña, además de que antes de realizar la compra, el resto de Condiciones generales de venta así como de la Política de privacidad, son puestos a disposición del cliente en el proceso de compra, estando siempre disponibles en el pie de todas las páginas de su web. Afirma que debido a la contratación del servicio de Prime de acuerdo a las normas de comercio electrónico por parte de la parte reclamante, resultaba esencial para la prestación del servicio de Prime el recabar los datos de pago para ejecutar la obligación de pago y beneficiarse de dicho servicio de suscripción contratado. Por ello, considera que la licitud del tratamiento de los datos de la citada tarjeta de crédito se basa en el artículo 6.1.b del RGPD. Y que esta consideración es avalada por las Recomendaciones del Comité Europeo de Protección de Datos nº 02/2021 sobre la base jurídica para el almacenamiento de datos de tarjetas de crédito con el único fin de facilitar nuevas transacciones en línea, adoptadas el 19 de mayo de 2021 (“EDPB Recommendations 02/2021 on the legal basis for the storage of credit card data for the sole purpose of facilitating further online transactions adopted on 19 May 2021”). Dicha recomendación insiste en la obligación de gestionar el consentimiento en todos los casos analizados por dicha Recomendación, dejando de forma explícita fuera del ámbito de aplicación de dicha obligación el supuesto en el que hemos descrito: la suscripción a un servicio de larga duración. De esta forma entiende que se desprende la licitud no por haber recabado un consentimiento, sino porque es esencial para la prestación del servicio contratado: la suscripción a Prime. Y que así se establece en la nota al pie de página número 2, de la página 2: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 -En su versión original“It should be noted that they do not cover payment institutions operating in online stores, nor public authorities. Neither the storage of credit card data for any other purpose, for instance for compliance with a legal obligation, or to establish a recurring payment in cases of contract of continuing performance or subscription for a long term service (e.g. a contract which stipulates the supply of a certain good every month, or the subscription for a music or movie streaming service)”. -Traducido al español"Hay que señalar que no incluye las entidades de pago que operan en las tiendas en línea, ni las autoridades públicas. Tampoco el almacenamiento de datos de tarjetas de crédito para cualquier otro fin, por ejemplo para el cumplimiento de una obligación legal, o para establecer un pago recurrente en casos de contrato de prestación continuada o de suscripción a un servicio de larga duración (por ejemplo, un contrato que estipule el suministro de un determinado bien cada mes, o la suscripción a un servicio de streaming de música o películas)". Sin embargo, alega que si el cliente no está satisfecho con su suscripción a Prime o decide darse de baja por cualquier otro motivo, tiene un procedimiento rápido y sencillo que el mismo puede hacer a través de su cuenta sin necesidad de ejercitar un derecho de supresión de datos. 4.- MEJORA CONTINUA DEL LA TRANSPARENCIA SOBRE EL EJERCICIO DE DERECHOS EDREAMS aprovecha este caso (producido por no ejercitar, a su entender, los derechos de forma correcta y a través de los medios adecuados así como por un error manual del agente que no siguió las políticas y guías internas, en un contexto además de excepcionalidad) como una oportunidad para analizar todas las causas y circunstancias de este caso, referidas anteriormente en la segunda alegación, y que les ha permitido tomar medidas extra para evitar que se produzcan situaciones similares. Hace hincapié en que considera que su programa de cumplimiento normativo en el ámbito de la privacidad y protección de datos se sustenta en el continuo monitoreo y continua mejora y aprendizaje con el fin de aumentar los niveles de cumplimiento normativo. En este contexto de ejercicio de derechos, afirma también que mantiene la misma filosofía y toma muy en serio los derechos de los interesados, no solo como una acción de cumplimiento normativo fundamental, sino porque es la mejor manera de garantizar la confianza de sus clientes. Es por ello, que dispone de un equipo dedicado y formado específicamente, así como un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor respuesta posible a sus clientes, mediante el Formulario de Privacidad, y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 sistemas internos de coordinación para tratar dichas peticiones de acuerdo con la normativa. Asimismo, como esfuerzo extra para la garantía y salvaguarda del ejercicio de derechos, se forma e indica a los agentes de Atención al cliente para que en caso de recibir cualquier asunto de protección de datos personales, deben dirigir al cliente al Formulario de Privacidad para que éste así pueda ejercer sus derechos. Pese a entender que este caso se produce en las circunstancias excepcionales antes mencionadas, y al haber recibido varios errores manuales de agentes de Atención al cliente en canales genéricos de dicho servicio, han aprovechado para implementar un Formulario de Atención al cliente, que los clientes accederán, sea vía el Centro de ayuda de Atención al cliente, sea al enviar un correo electrónico a los buzones de correo electrónico todavía genéricos de Atención al cliente todavía disponibles. Explica que dicho formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio de derechos que redirige a su Formulario de Privacidad (como único medio que debe usarse para el ejercicio de cualquier derecho de los interesados a efectos de protección de datos personales; ya que se gestiona por un equipo especializado y dedicado a tal finalidad) (ver Anexo 5 - Formulario de Atención al cliente y Anexo 6 - Centro de ayuda y preguntas frecuentes). De esta forma, se garantiza, a su juicio, un procedimiento especializado y garantista, a la vez que también redireccionan a sus clientes que se pongan en contacto con ellos por otros medios (como son los medios de contacto generales de Atención al cliente) con el fin de tener un sistema que permita que quien quiera ejercer sus derechos, pueda hacerlo sin problemas y mitigando los riesgos de errores manuales de agentes de Atención al cliente. Asimismo, añade que forman anualmente de forma obligatoria en materia de protección de datos y especializada en ejercicio de derechos, incluyendo supuestos prácticos como el presente caso, así como acciones de sensibilización por parte del equipo de Atención al cliente (ver Anexo 7 - Artículo de sensibilización sobre el ejercicio de derechos), como por ejemplo, cubriendo temas como “qué es un ejercicio de derechos de protección de datos” y “cómo acompañar a los clientes para que los ejerzan vía el Formulario de Privacidad”. Por otro lado, indica que han realizado en los últimos meses una migración de la herramienta del Formulario de Privacidad y gestión de derechos, pasando de una genérica a una especializada en privacidad (como es ***HERRAMIENTA.1) en la cual aparte de ser gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia de protección de datos, trabajan en una automatización de procesos para poder ser más ágiles y reducir riesgos de errores humanos. EDREAMS afirma que siente lo ocurrido en este caso excepcional. Y que, al mismo tiempo entiende que dadas las circunstancias y las medidas antes descritas, EDREAMS cumple con la normativa de protección de datos así como con las directrices de la propia AEPD (anteriormente referidas en la primera alegación) y que el cierre del procedimiento sancionador contra EDREAMS con un apercibimiento, conlleva una interpretación desproporcionada de máximos de la normativa de protección de datos, máxime cuando ha mitigado que el riesgo de que vuelva a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 producirse casos similares a éste, con un Formulario de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando el Aviso de Privacidad, quieran ejercer sus derechos, y puedan ser guiados conformemente y sus derechos gestionados, mediante el Formulario de Privacidad. Reitera el compromiso del equipo de EDREAMS en el trabajo incansablemente respecto al aprendizaje y la mejora continua de sus procesos, con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de sus clientes. Y en este contexto, continuará en el seguimiento y mejora continua de las políticas, procesos, acciones y medidas aquí referidas. Por todo lo expuesto, solicita que se proceda al cierre del procedimiento sancionador sin apercibimiento motivado debido a que se trata de un error manual excepcional, provocado por la gestión de un derecho de acceso, supresión y oposición a comunicaciones comerciales por un canal genérico de Atención al cliente, además de no contemplado en su Aviso de Privacidad como medio para el ejercicio de derechos, y que EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio de los derechos de los interesados y siempre de forma colaborativa con la AEPD y que todo esto no se vea mermado por una mala gestión derivada de un fallo humano excepcional, que, a mayor abundamiento ha sido mitigado con un Formulario de Atención al cliente en los términos descritos en la tercera alegación. OCTAVO: Con fecha 28 de septiembre de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se dirija un apercibimiento a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD. Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 30 de septiembre de 2022, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 11 de octubre de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que: PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS EDREAMS se reitera en sus alegaciones previas y entiende que cumple con la normativa en los términos descritos a continuación, sin perjuicio de incidir en el presente escrito en aquellas que entiende más relevantes y añadir las que considera pertinentes, en aras a rebatir las fundamentaciones en base a las que se pretende apercibir a EDREAMS por parte de la AEPD. 1.- ACUSACIONES CONTRA EDREAMS SATISFACTORIAMENTE RESUELTAS Preliminarmente, EDREAMS desea recalcar que la reclamación interpuesta ante la Autoridad francesa de protección de datos (en adelante, la “CNIL”, de acuerdo con sus siglas oficiales; Commission nationale de l'informatique et des libertés) versaba sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 diversas cuestiones, incluyendo la presunta vulneración del RGPD respecto de los preceptos relativos a la transparencia de las modalidades de ejercicio de los derechos del interesado. Concretamente, y tal y como se desprende de la Propuesta de Resolución de Procedimiento Sancionador, la parte reclamante denunció ante la CNIL lo siguiente: 1. La realización de un cargo en su tarjeta por un servicio Prime que había solicitado meses antes, pero del cual presuntamente no se le había informado que se renovaba automáticamente. 2. La retención de información personal sin autorización de la parte reclamante como consecuencia de haberse utilizado los datos de la tarjeta de la parte reclamante para una reserva adquirida anteriormente. 3. La cuestión de su solicitud de acceso a datos, supresión y oposición a recibir comunicaciones comerciales. A su entender, ha quedado demostrado que EDREAMS actuó diligentemente con relación a los dos primeros puntos señalados en la reclamación, quedando circunscrita la presunta infracción a la restauración de las garantías y de los derechos de los afectados. A este respecto, tal y como ha sido señalado por la AEPD: “no es objeto del presente procedimiento si los datos de la tarjeta de crédito de la parte reclamante se recogieron de forma indebida ni si el tratamiento en cuestión no es lícito. Tampoco lo es si hay o no un procedimiento específico para cancelar la suscripción a Prime sin solicitar la supresión de los datos personales del cliente”. Por otro lado, respecto a la solicitud de ejercicio de derechos efectuada por la parte reclamante, EDREAMS señala que se ha dado respuesta inmediata a los derechos ejercidos por el afectado una vez que la reclamación ha sido puesta en conocimiento de EDREAMS. Por lo tanto, EDREAMS ha atendido la solicitud de la parte reclamante, aunque fuera del plazo establecido. En relación con el correo postal que la parte reclamante dice haber enviado ejercitando sus derechos ante EDREAMS, alega que EDREAMS no recibió dicho ejercicio de derechos porque se envió a una dirección que no pertenece a EDREAMS. Según como se acredita en el primer antecedente de hecho de la propuesta de resolución de procedimiento sancionador, la parte reclamante aporta una captura de pantalla del pie de página de su sitio web de www.edreams.fr. En dicho pie de página se comparte la dirección de EDREAMS como titular del sitio web (“C/ Conde de Peñalver, 5, 1 Ext. Izq. - Madrid”) y se proporciona la información de que EDREAMS está conformemente registrada en ATOUT FRANCE aportando la dirección de dicho organismo independiente (“Sis 79/81 rue Clichy - París”) de acuerdo con la normativa francesa aplicable. Además de ser obligatorio estar inscrito en ATOUT FRANCE, ello debe mencionarse en los términos en los que lo menciona para la venta de billetes de avión en Francia, y se debe incluir esa dirección de ATOUT FRANCE para conocimiento de los clientes pero afirma EDREAMS que no se puede entender en ningún caso que sea una dirección de EDREAMS (se puede decir que de forma análoga pasa cuando para el ejercicio de derechos se incluye la dirección postal de la AEPD y no se entiende como una dirección de la compañía ni como una dirección que redirige el correo postal a la compañía si no como un organismo independiente con una finalidad distinta que la comunicación con la compañía pertinente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/36 Pues bien, alega que la parte reclamante envió la carta a la dirección de ATOUT FRANCE y la misma fue devuelta al remitente por receptor desconocido, como no podía ser de otra forma. Considerando todo lo anterior, EDREAMS estima excesivo la apertura de un procedimiento sancionador, dado que, con carácter general, en otros supuestos similares al presente, no se ha considerado oportuno por parte de la AEPD la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, optándose en la medida de lo posible por mecanismos alternativos al mismo, como el relativo al procedimiento de tutela de derechos, véase, entre otros, la Resolución número R/00611/2021, de fecha 18 de agosto de 2021 (véase en el enlace TD/00160/2021): “No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente”. Asimismo, y en esta línea argumentativa, cabe señalar que la AEPD ha valorado positivamente las medidas implementadas por EDREAMS, para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. Por todo ello, y en conjunción con la siguiente alegación, EDREAMS solicita el archivo del procedimiento sancionador. 2.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA EDREAMS alega que, en lo que respecta a la adopción de medidas tendentes a garantizar la correcta gestión de los ejercicios de derechos, dispone de un canal oficial, el Formulario de Privacidad (Anexo 1 - Formulario de Privacidad), que es transparentemente informado y puesto a disposición de los interesados en su Aviso de Privacidad, resultando supuestamente de fácil acceso para el interesado (Anexo 2 Aviso de Privacidad: ejercicio de derechos). Por el otro, manifiesta que tiene procesos, herramientas, materiales formativos y demás medidas oportunas ya supuestamente acreditadas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial. En esta última dirección, EDREAMS afirma que trabaja incansablemente en la mejora continua de las referidas medidas anteriormente, y que se acreditaron, a su juicio, conformemente en la alegación tercera de su respuesta al acuerdo de inicio de procedimiento sancionador de fecha 28 de septiembre de 2022 (con número de registro REGAGE22s00042569349), para que en todos sus canales de Atención al cliente se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad), en el caso de que se utilizasen para el ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36 EDREAMS comparte que una organización debe tener un canal oficial que recoja un procedimiento garantista en los términos estipulados por la normativa de protección de datos, así como unas medidas apropiadas que guíen la actuación de cualquier empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus derechos de protección de datos. Sin embargo, entiende que una interpretación en la que se exija el mismo grado de diligencia que debe tener el canal oficial (siempre y cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier otro canal de la organización, conllevaría una sobrecarga y dedicación de recursos desproporcionada de la organización, sin perjuicio de que, además, interpreta que resultaría contraria al hecho de que la normativa requiera un canal oficial para el ejercicio de derechos. EDREAMS basa la interpretación anteriormente mencionada en el hecho de que la norma en cuestión (el artículo 12.2 LOPDGDD) establece claramente que el responsable del tratamiento puede determinar un canal oficial, siempre y cuando sea fácilmente accesible (como supuestamente resulta en el caso de EDREAMS). A juicio de EDREAMS, parece claro que la norma ha querido ir más allá y por ello requiere a las organizaciones una mayor cooperación para potenciar la eficacia de los derechos y, por ello, se ha recogido que las organizaciones no se puedan escudar en el hecho de que el correspondiente derecho se hubiera ejercido por otro canal del oficial, para directamente denegarlo sin más, sin tener controles internos al respecto (en el referido artículo 12.2 LOPDGDD). Pero se pregunta, ¿acaso eso significa que una organización debe tener en cualquier canal un sistema de filtración y gestión de notificaciones que, no solo sea urgentísimo debido a dicha naturaleza del plazo de ejercicio de derechos recogido en la normativa de protección de datos-, sino que, además, sea infalible? Y, en caso de no tenerlo, ¿se procedería con la apertura de expediente sancionador contra la organización pese a tener medidas apropiadas para dichos canales no especialmente dedicados al ejercicio de derechos, tal y como ha sucedido en el presente caso y ha sido reconocido por la AEPD? EDREAMS considera desproporcionada una interpretación que conllevara una respuesta positiva a las preguntas anteriores, por lo que ruega que se reconsidere dicha posición interpretativa. EDREAMS dispone (y disponía en el momento en el que tuvieron lugar los hechos) de un canal oficial, el cual está, a su entender, transparentemente informado en el Aviso de Privacidad, y es fácilmente accesible de acuerdo con la normativa, y con medidas técnicas y organizativas implantadas, así como de medidas para reducir el riesgo de un posible error humano en la gestión manual de un agente encargado de un canal no oficial. EDREAMS entiende que no se puede desprender una conclusión que, en la práctica, resulte en que cualquier canal de comunicación de la empresa pudiera ser automáticamente un canal oficial de ejercicio de derechos. Afirma que si la ley hubiera pretendido tal conclusión, requiriendo el mismo nivel de diligencia para cualquier canal de la organización, el redactado hubiera debido recoger el siguiente posicionamiento: “El responsable del tratamiento estará obligado a informar al afectado sobre el hecho de que en cualquier medio de contacto de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36 organización podrá ejercer los derechos que le corresponden, así como facilitar la lista de los mismos.” Entiende que la posición de EDREAMS queda alineada con el considerando 59 RGPD, toda vez que EDREAMS ha creado fórmulas y medios electrónicos que permiten solicitar de forma gratuita el ejercicio de los derechos de los interesados. Y que dichas fórmulas y medios han sido informados a todo interesado de forma transparente y leal en sus distintos formularios y avisos de privacidad web, y en el proceso de contratación. Adicionalmente, insiste en que los canales de Atención al cliente, como el empleado por la parte reclamante, están destinados a finalidades de consumo, y, por lo tanto, no se puede tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de derechos. Aun así, con el fin de intentar garantizar que el interesado tenga el Formulario de Privacidad a su disposición pese a un posible error humano excepcional de un agente de Atención al cliente, EDREAMS ha implementado una nota al pie de los correos electrónicos genéricos de Atención al cliente, mediante la que se informa a los clientes, una vez más, de la existencia del Formulario de Privacidad para una gestión sencilla del ejercicio de derechos y que permite la correcta verificación de la identidad de los interesados (Anexo 3 - Nota al pie de los correos electrónicos de Atención al cliente). Por todo ello, EDREAMS considera que el precepto en cuestión requiere un deber de diligencia razonable, pero no maximalista. Y, en esta lógica, sin perjuicio de la posición anteriormente reconocida respecto a la interpretación del precepto en cuestión, EDREAMS insiste en que lo ocurrido en este caso tiene carácter excepcional, y se reitera en el compromiso de continuar trabajando incansablemente en la mejora continua de sus procesos, herramientas, y formación en todos sus canales de Atención al cliente para que, en el caso de que se utilizasen para el ejercicio de derechos, se dirija a los clientes al canal especial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad). Adicionalmente, EDREAMS desea dejar constancia y demostrar que las medidas vigentes en el momento de presunta infracción cumplían con las más rigurosas normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos y que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Asimismo, EDREAMS traslada a la AEPD la aceptación de cualquier tipo de propuesta de mejora o recomendación por parte de esta AEPD en lo relativo al cumplimiento de la normativa. Por todo ello, solicita que se dicte resolución que señale el archivo del Expediente número PS/00015/2022. Y que la AEPD tenga en cuenta en su resolución: (
  6. i)el carácter excepcional del caso, debido a que la parte reclamante no ha ejercido sus derechos por el canal destinado y descrito en nuestro Aviso de Privacidad (Formulario de Privacidad), sino a través de canales genéricos de Atención al cliente, así como a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 una dirección postal errónea; (
  7. ii)que, con relación a los canales destinados a cuestiones de consumo, la expectativa de respuesta de ejercicio de derechos no puede ser la misma que la de los canales destinados al ejercicio de derechos ofrecidos por EDREAMS; (iii) que de forma extemporánea, se ha dado respuesta satisfactoria al ejercicio de los derechos presentados por la parte reclamante; y (
  8. iv)que EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio de los derechos de los interesados y siempre de forma colaborativa con la AEPD, y que todo esto no se vea mermado por este caso excepcional. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: EDREAMS recogió los datos de la tarjeta de crédito de la parte reclamante durante la reserva de un vuelo el 14 de enero de 2018, en la que la parte reclamante se suscribió también al servicio Prime durante un año con renovación automática, realizándose esta renovación de manera automática el 14 de enero de 2019. SEGUNDO: A fecha 14 de enero de 2018, los términos y condiciones en francés del sitio web de EDREAMS indicaban, entre otras cosas, lo siguiente: - "Para inscribirse en eDreams Prime, simplemente busque y reserve un vuelo elegible para eDreams Prime en nuestro Sitio. Una vez que llegue a la página de pago, antes de completar su compra, puede agregar el listado de eDreams Prime a su carrito. Al introducir tus datos y añadir la suscripción a eDreams Prime a tu cesta, se mostrará una cuota única que se añadirá al precio total antes de completar tu compra. Vacaciones eDreams validará el registro enviándole un correo electrónico de confirmación (fecha de vigencia). En este caso, comprará los vuelos reservados al precio de socio, más la cuota de inscripción. La aceptación expresa de la puesta en marcha de eDreams Prime antes de que finalice el plazo de desistimiento se formaliza mediante la reserva de un Precio para Socios”. - “Al final de cada año de registro o al expirar el período de prueba gratuito, se renovará automáticamente por un período de un año, a menos que notifique a vacaciones edreams, antes de la renovación, que desea cancelar o no desea renovar automáticamente su suscripción a edreams prime (por favor, póngase en contacto con el servicio de atención al cliente prime por teléfono). Usted entiende que su suscripción se renovará automáticamente y nos autoriza (sin previo aviso, a menos que lo exija la legislación aplicable) a cargar la cuota anual de suscripción a edreams prime utilizando la tarjeta de pago registrada en su cuenta. La cuota anual se pagará por adelantado y/o al principio del plazo. - Conservación de tus datos bancarios: utilizaremos los datos de pago que introdujiste al registrarte en edreams prime, o en el caso de un registro de prueba gratuito, cuando realizaste tu última compra en nuestro sitio en los últimos 12 meses, a menos que acordemos otra cosa entre tú y nosotros. También aceptas que al registrarte en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 edreams prime aceptas que tus datos bancarios también se utilicen para pagar la renovación de tu suscripción a edreams prime. Si los datos bancarios que tenías en el momento de registrarte en eDreams Prime han caducado, te pediremos que los actualices o, en su caso, realizaremos el pago de la renovación de tu suscripción utilizando los datos bancarios que nos proporcionaste cuando hiciste un pedido en el Sitio y que aceptaste conservar. No podrás beneficiarte de eDreams Prime hasta que no hayas pagado la cuota anual. Puedes cancelar tu suscripción a eDreams Prime en cualquier momento durante tu suscripción a eDreams Prime. Se le informa de que la cuota de suscripción a eDreams Prime no se reembolsará (a excepción del ejercicio de su derecho de desistimiento de acuerdo con el artículo 4 de las CGC)”. Respecto a este número de teléfono de atención al cliente, se indicaba lo siguiente en las condiciones generales: “Servicio de atención al cliente exclusivo: número de teléfono prioritario (el número que se enviará a través del correo electrónico de confirmación de registro de eDreams Prime)”). TERCERO: En la cuenta bancaria de la parte reclamante se observa un cargo de EDREAMS por 54,99€, con fecha 14 de enero de 2019. CUARTO: Luego de que la parte reclamante llamara al departamento de atención al cliente para expresar su insatisfacción y solicitar un reembolso, no pudo acceder a su cuenta, mostrándose el siguiente mensaje “Un error ha ocurrido. Parece que su sesión ha sido interrumpida. Por favor, reinicie su búsqueda. Realice la misma búsqueda nuevamente. Pruebe con otras fechas”. QUINTO: El 23 de enero de 2019 a las 07:40 hs la parte reclamante envió un correo electrónico desde la dirección ***EMAIL.1 a la dirección customerservicefr@contact.edreams.com con el siguiente texto: “Estimado Señor/Señora Escribo en continuación de mi llamada telefónica realizada el 21 de enero de 2019. Estaba desagradablemente sorprendida de encontrar que me había debitado de mi tarjeta American Express 54,99 € el 14 de enero de 2019 por una renovación de la subscripción premium, que nunca quise ni solicité. Cuando llamé para acordar una solución amigable, se protegió detrás de los términos y condiciones generales de venta, diciéndome que me habría enviado un correo electrónico 30 días antes de la fecha de renovación y que si no se obtiene respuesta, se renovaría de forma automática, y que su posición era irrevocable. Sin embargo, no puedo encontrar ni un rastro de haber recibido este correo electrónico en ninguno de mis ordenadores (ni en correo no deseado ni en carpetas eliminadas). Asimismo, y lo que es más grave, me ha debitado de mi tarjeta AMEX cuando no la había registrado en su sitio (como se muestra en la captura de pantalla de fecha 21 de enero de 2019 cuando mi tarjeta fue debitada. Además, desde que le llamé el 21 de enero de 2019, el acceso a mi cuenta aparece extrañamente en gris (vea nueva captura de pantalla de hoy) y mi historial de pedidos ha desaparecido… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 Entenderá que estas prácticas comerciales son inaceptables, y que por tanto solicito la cancelación de mi suscripción premium y que se cancele el débito de la suma de 54,99€. Por favor puede: - Decirme si hay datos sobre mí incluidos en sus archivos informáticos o manuales. Si así fuera, me gustaría recibir una copia, en lenguaje sencillo, de todos esos datos (incluidos comentarios y notas), de acuerdo con el artículo 15 del RGPD. - Como titular de la cuenta ***EMAIL.2 en el sitio www.edreams.fr. (…), quisiera cerrar mi cuenta y pedirle, de acuerdo con el artículo 17.1 del RGPD, que suprima todos mis datos personales asociados, entre ellos, nombre completo, domicilio, teléfono, fecha de nacimiento, números de tarjetas de crédito, historial de compra. - También quisiera solicitarle que note que me opongo a que mis datos de contacto, contenido en sus ficheros, sean usados con fines de marketing directo, de acuerdo con el artículo 21.2 del RGPD. Asimismo, por favor suprima mis datos de los ficheros de prospectos (artículo 17.1 del RGPD) y notifique esta solicitud de supresión a los destinatarios a los que hubiera enviado mis datos (artículo 19 del RGPD). Agradecería me informe de las medidas tomadas en respuesta a mi solicitud lo antes posible y como máximo un mes después de recibirlo (artículo 12.3 del RGPD). También agradecería que me diera un domicilio postal de su departamento de atención al cliente en Francia (el cual no pareciera estar publicado en su sitio web), si desea recibir esta carta por correo certificado con acuse de recibo. Si no responde, informaré a la CNIL y a la DGCCRF sobre sus inaceptables prácticas comerciales. Suyo, sinceramente A.A.A.” SEXTO: El 23 de enero de 2019 a las 09:45hs se envió correo desde customerservicefr@contact.edreams.com a ***EMAIL.1 con el texto: “Hola, A.A.A., Gracias por su correo electrónico. Para todas las solicitudes sobre la finalización de su membresía Prime, por favor contacte al Escritorio de Renovación del Servicio por teléfono al: Desde Francia: 0805 98 26 32 Desde el extranjero*: +33 1 85 14 97 01 *(Costo de una llamada internacional) Departamento abierto de Lunes a Viernes de 9:00 am a 6:00 pm (zona horaria de Francia). Saludos, Servicio de Atención al Cliente de eDreams” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 SÉPTIMO: La parte reclamante llamó al departamento de atención al cliente y le dijeron que enviara una carta postal a EDREAMS al domicilio que figura en la página web. OCTAVO: En 2018, la política de privacidad publicada en el sitio web de EDREAMS en español indicaba, entre otras cosas, lo siguiente respecto a la manera de ejercer los derechos de protección de datos: “Para ejercer estos derechos, por favor, envía un correo electrónico a dpo@edreamsodigeo.com o envía tu solicitud por correo postal a: Protección de Datos – Paseo Zona Franca, 195-205, 08038 Barcelona, España. En tu solicitud, deberás indicar de forma clara (
  9. i)tu identidad, con indicación de, al menos, tu nombre completo y la dirección de correo electrónico que utilizaste al comprar o registrarte en eDreams, y (
  10. ii)el derecho o derechos que ejercitas. También puedes acudir a la Agencia Española de Protección de Datos (www.agpd.
  11. es)para solicitar la tutela de tus derechos, si lo consideras oportuno.”. Esta política de privacidad coincide con el contenido histórico de fecha 24 de septiembre de 2018 de la página https://www.edreams.es/politica-de-privacidad/, según la consulta realizada en el sitio web https://web.archive.org. NOVENO: En el pie del sitio web de EDREAMS en francés aparecían dos direcciones: - Dirección de EDREAMS: C/ Conde de Peñalver, 5, 1 Ext. Izq. - MADRID. - Dirección de ATOUT FRANCE: Sis 79/81 rue Clichy - PARIS. DÉCIMO: El 1 de febrero de 2019 la parte reclamante envió un correo postal a la dirección E-DREAMS 79-81 rue de Clichy 75009 PARIS, con el mismo texto del correo electrónico enviado el 23 de enero de 2019. DÉCIMO PRIMERO: El envío número 1A 154 346 0865 4 con destino EDREAMS, 7981 calle de Clichy 75009 PARIS, ha sido devuelto a la parte reclamante por “receptor desconocido en la dirección”. DÉCIMO SEGUNDO: En el sistema de reservas de EDREAMS, aparecen como datos de la parte reclamante una reserva de fecha “14/01/2018 21:10” en la que los datos personales aparecen sustituidos por asteriscos y se indica como fecha de modificación el “23/05/2018”. DÉCIMO TERCERO: El agente de EDREAMS que procesó la solicitud de la parte reclamante cerró el ticket sin haberlo gestionado adecuadamente. DÉCIMO CUARTO: A raíz del conocimiento de esta reclamación, EDREAMS ha respondido a la solicitud de derechos de acceso y supresión de la parte reclamante con el siguiente texto: “1/ Mantenemos los datos necesarios para la prestación de todos nuestros servicios como en el caso de la suscripción a nuestra cuenta Prime. La cuenta Prime se renovó en 2019 y por eso se hizo el cargo correspondiente. 2/ Conservamos y almacenamos los datos personales necesario de forma confidencial, permitiendo su tratamiento en caso de denuncia o investigación por parte de las autoridades competentes, respetando los plazos previstos por la legislación vigente. Para ello, le informamos de que el periodo máximo de almacenamiento de datos es de 5 años; transcurrido este periodo, los datos restantes serán debidamente eliminados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, correo electrónico y tarjeta bancaria entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que EDREAMS está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de supresión de los datos personales se regula en el artículo 17 del RGPD y las modalidades de ejercicio de los derechos de los interesados se detallan en el artículo 12 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: 1. EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA Alega EDREAMS que centraliza la gestión del ejercicio de derechos a través de un Formulario de Privacidad y que se le da curso a las solicitudes que se reciben a través de este formulario cumpliendo con la normativa de protección de datos. También afirma que es consciente de que los clientes pueden ponerse en contacto con la empresa a través de otras vías y que, por ello, forman a sus agentes de Atención al cliente y realizan acciones de concienciación respecto al ejercicio de derechos. Y facilitan una guía de respuesta a estos agentes para que sepan detectar el ejercicio de derechos y sepan reiterar la información respecto al Formulario de Privacidad como medio para ejercer los derechos. Al respecto, esta Agencia valora los esfuerzos realizados por EDREAMS para formar a sus agentes en el ejercicio de derechos que pudiera solicitarse a través de otras vías distintas al Formulario de Privacidad. Pero no es objeto del presente procedimiento si el procedimiento previsto para atender los ejercicios de derechos solicitados a través del Formulario de Privacidad cumple o no con los requisitos de la normativa de protección de datos. Por todo lo expuesto, se desestima la presente alegación. 2. EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES EDREAMS alega en primer lugar que la parte reclamante no ejerció sus derechos por ninguno de los medios indicados en la política de privacidad de 2018, vigente en el momento del ejercicio de derechos. En segundo lugar, alega que la solicitud de la parte reclamante se realizó a través de los buzones de correo electrónico genéricos de Atención al cliente. Y que el equipo de Atención al cliente ha informado que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en base a los procesos internos de EDREAMS (haciendo referencia al Formulario de Privacidad o escalando el ejercicio de derecho internamente al departamento especializado que se encarga de ello). También se alega que en los canales de Atención al cliente se intenta contestar lo antes posible, pero no existe un plazo fijo determinado de respuesta y que el filtrado y la priorización de los temas se realiza de forma manual por el equipo de Atención al cliente y conlleva riesgos de incorrecta categorización manual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 Indica EDREAMS que para el caso de que un cliente les contacte mediante correo postal, ha realizado esfuerzos de sensibilización y formación al personal de recogida de correo postal, por si llegase algún ejercicio de derechos por esa vía para que sea canalizado internamente de la forma correcta. Pero que las direcciones postales de EDREAMS no deben entenderse como vías de contacto, pues son solo a efectos fiscales y mercantiles. Y que entienden que al ser un negocio 100% digital y en internet, sus clientes están familiarizados con el medio y centralizan la gran mayoría de sus acciones y comunicaciones por vía digital. Alega EDREAMS que una vez tuvo conocimiento del ejercicio de derechos de la parte reclamante fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho inmediatamente realizando todas las acciones internas en sus sistemas, las comprobaciones oportunas y la parte reclamante fue conformemente respondida. Finalmente, afirma que las circunstancias excepcionales y el error manual del agente, así como las medidas implementadas, hacen que el riesgo de reproducirse este caso sea remoto. Al respecto, esta Agencia desea señalar que el hecho de no haberse dirigido la parte reclamante a los canales previstos por EDREAMS para solicitar el ejercicio de sus derechos, no implica que la empresa no estuviera obligada a atender tal solicitud. Máxime cuando la petición se realizó a través del servicio de Atención al cliente, un canal del cual puede esperarse razonablemente que está en condiciones de dar curso debidamente a la solicitud en cuestión. Esta Agencia valora los esfuerzos realizados para formar al personal de Atención al cliente y al personal de recogida de correo postal, pero ello no obsta a que, en el presente caso, la empresa cerró por error el ticket de la solicitud en cuestión sin haberlo gestionado adecuadamente, tal y como afirma EDREAMS en sus alegaciones. Por todo lo expuesto, se desestima la presente alegación. 3. CORRECTA LICITUD DEL TRATAMIENTO. TRANSPARENCIA Y CONOCIMIENTO DE LAS CONDICIONES DE PRIME EDREAMS alega que los datos de la tarjeta de la parte reclamante se recogieron durante una reserva de vuelo de fecha 14 de enero de 2018, fecha en la que se suscribió a Prime y pagó la cuota de suscripción a Prime para su primer año. Ese mismo día se le comunicó durante la suscripción que se le iba a renovar automáticamente por un segundo año el 14 de enero de 2019. Afirma que la parte reclamante tenía conocimiento de este tratamiento y no se trata de un cargo indebido, dado que se requiere una acción activa del cliente para darse de alta como miembro de Prime. Y que la licitud del tratamiento de los datos de la citada tarjeta de crédito se basa en el artículo 6.1.b del RGPD. No obstante, afirma EDREAMS que si el cliente no está satisfecho con su suscripción a Prime o decide darse de baja por cualquier otro motivo, tiene un procedimiento rápiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 do y sencillo que el mismo puede hacer a través de su cuenta sin necesidad de ejercitar un derecho de supresión de datos. Al respecto, esta Agencia desea señalar que no es objeto del presente procedimiento si los datos de la tarjeta de crédito de la parte reclamante se recogieron de forma indebida ni si el tratamiento en cuestión no es lícito. Tampoco lo es si hay o no un procedimiento específico para cancelar la suscripción a Prime sin solicitar la supresión de los datos personales del cliente. Por tanto, por todo lo expuesto, se desestima la presente alegación. 4. MEJORA CONTINUA DE LA TRANSPARENCIA SOBRE EL EJERCICIO DE DERECHOS EDREAMS alega que dispone de un equipo dedicado y formado específicamente, así como un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor respuesta posible a sus clientes, mediante el Formulario de Privacidad. Asimismo, se forma e indica a los agentes de Atención al Cliente para que en caso de recibir cualquier asunto de protección de datos personales, dirijan al cliente al Formulario de Privacidad para que ejerza sus derechos. Al haber recibido varios errores manuales de agentes de Atención al Cliente en canales genéricos de dicho servicio, EDREAMS ha aprovechado para implementar un Formulario de Atención al Cliente, que los clientes accederán sea vía el Centro de ayuda de Atención al Cliente, sea al enviar un correo electrónico a los buzones de correo electrónico todavía genéricos de Atención al cliente todavía disponibles. Este formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio de derechos, que redirige al Formulario de Privacidad. Asimismo, EDREAMS forma anualmente de forma obligatoria en protección de datos y en ejercicio de derechos, incluyendo supuestos prácticos como el presente, así como acciones de sensibilización sobre el ejercicio de derechos por parte del equipo de Atención al cliente. Por otro lado, EDREAMS ha realizado en los últimos meses una migración de la herramienta del Formulario de Privacidad y gestión de derechos, pasando de una genérica a una especializada en privacidad en la cual aparte de ser gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia de protección de datos, se trabaja en una automatización de procesos para poder ser más ágiles y reducir riesgos de errores humanos. Entiende EDREAMS que dadas las circunstancias y las medidas antes descritas, cumple con la normativa de protección de datos así como con las directrices de la propia AEPD y que el cierre del procedimiento sancionador contra EDREAMS con un apercibimiento, conlleva una interpretación desproporcionada de máximos de la normativa de protección de datos, máxime cuando ha mitigado que el riesgo de que vuelva a producirse casos similares a éste, con un Formulario de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando el Aviso de Privacidad, quieran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 ejercer sus derechos, y puedan ser guiados conformemente y sus derechos gestionados, mediante el Formulario de Privacidad. Al respecto, esta Agencia valora positivamente las medidas implementadas para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. Pero, en el presente caso, no es menos cierto que la parte reclamante había solicitado el ejercicio de un derecho que no ha sido atendido debidamente por parte de EDREAMS. El hecho de que haya adoptado las medidas tendientes a que una situación como la del presente procedimiento no vuelva a producirse es, precisamente, una de las circunstancias que se tienen en cuenta para sustituir la posibilidad de imponer una multa por la opción de dirigir un apercibimiento. Por todo lo expuesto, se desestima la presente alegación. En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS EDREAMS se reitera en sus alegaciones previas y entiende que cumple con la normativa en los términos descritos a continuación, sin perjuicio de incidir en el presente escrito en aquellas que entiende más relevantes y añadir las que considera pertinentes, en aras a rebatir las fundamentaciones en base a las que se pretende apercibir a EDREAMS por parte de la AEPD. Al respecto, esta Agencia se reitera en su respuesta a las alegaciones presentadas al acuerdo de inicio del presente procedimiento sancionador. 1.- ACUSACIONES CONTRA EDREAMS SATISFACTORIAMENTE RESUELTAS EDREAMS alega que ha quedado demostrado que actuó diligentemente respecto de los dos primeros puntos de la reclamación en cuestión: 1. La realización de un cargo en su tarjeta por un servicio Prime que había solicitado meses antes, pero del cual presuntamente no se le había informado que se renovaba automáticamente. 2. La retención de información personal sin autorización de la parte reclamante como consecuencia de haberse utilizado los datos de la tarjeta de la parte reclamante para una reserva adquirida anteriormente. Al respecto, esta Agencia desea señalar que no ha quedado demostrado en el presente procedimiento absolutamente nada en cuanto a estas dos cuestiones, toda vez que, tal y como señala EDREAMS en su propia alegación, esta Agencia ha indicado que no es objeto del presente procedimiento. Por otro lado, alega EDREAMS que, respecto a la solicitud de ejercicio de derechos efectuada por la parte reclamante, se ha dado respuesta inmediata a los derechos ejercidos, aunque fuera del plazo establecido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 Al respecto, esta Agencia únicamente desea resaltar que es el mismo responsable el que reconoce que el ejercicio de derechos de la parte reclamante ha sido atendido fuera de plazo. En relación con el correo postal que la parte reclamante dice haber enviado ejercitando sus derechos ante EDREAMS, alega EDREAMS que no recibió dicho ejercicio de derechos porque se envió a una dirección que no le pertenece. Indica que la parte reclamante aporta una captura de pantalla del pie de página del sitio web de www.edreams.fr, en el que se comparte la dirección de EDREAMS como titular del sitio web (“C/ Conde de Peñalver, 5, 1 Ext. Izq. - Madrid”) y se proporciona la información de que EDREAMS está conformemente registrada en ATOUT FRANCE aportando la dirección de dicho organismo independiente (“Sis 79/81 rue Clichy París”) de acuerdo con la normativa francesa aplicable, pero no se puede entender en ningún caso que sea una dirección de EDREAMS. Pues bien, la parte reclamante envió la carta a la dirección de ATOUT FRANCE y la misma fue devuelta al remitente por receptor desconocido, como no podía ser de otra forma. Al respecto, esta Agencia reconoce que la parte reclamante ha enviado la solicitud correspondiente por correo postal a un domicilio que no era el de EDREAMS. No obstante, ello se ha debido a un malentendido, toda vez que en dicha llamada EDREAMS no dio por recibida el ejercicio del derecho en cuestión ni se le indicó a la parte reclamante la dirección postal a la que debía enviar la citada solicitud, sino que se le remitió a la información publicada en la página web sin más detalle. Dado que en la página web se encontraban publicadas las dos direcciones (una de las cuales era en Francia) y no se le dio más indicaciones por parte de la empresa, la parte reclamante envió la solicitud a la dirección de su país. EDREAMS estima excesivo la apertura de un procedimiento sancionador, dado que, con carácter general, en otros supuestos similares al presente, no se ha considerado oportuno por parte de la AEPD la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, optándose en la medida de lo posible por mecanismos alternativos al mismo, como el relativo al procedimiento de tutela de derechos, véase, entre otros, la Resolución número R/00611/2021, de fecha 18 de agosto de 2021 (véase en el enlace TD/00160/2021): “No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente”. Al respecto, esta Agencia desea señalar que la Resolución número R/00611/2021 se trata de un supuesto totalmente distinto, toda vez que es un caso de alcance nacional y no transfronterizo, como el presente. En este sentido, el artículo 60 “Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas” del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36 “1. La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control principal y las autoridades de control interesadas se intercambiarán toda información pertinente. (…) 3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista. (…)” Y el artículo 64 “Forma de iniciación del procedimiento y duración” de la LOPDGDD establece: “ (…) 2. Cuando fuesen de aplicación las normas establecidas en el artículo 60 del Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción del proyecto de acuerdo de inicio de procedimiento sancionador, del que se dará conocimiento formal al interesado a los efectos previstos en el artículo 75 de esta ley orgánica”. Por tanto, la tramitación a seguir en cada caso es diferente, toda vez que para las reclamaciones de carácter transfronterizo debe seguirse el cauce previsto en el referido artículo 60 del RGPD. Por último, EDREAMS señala que la AEPD ha valorado positivamente las medidas implementadas por EDREAMS, para mitigar el riesgo de que un caso como el de la presente reclamación pudiera volver a producirse. Al respecto, esta Agencia desea señalar nuevamente que el hecho de que se haya adoptado las medidas tendientes a mitigar el riesgo de que una situación como la del presente procedimiento vuelva a producirse es, precisamente, una de las circunstancias que se tienen en cuenta para sustituir la posibilidad de imponer una multa por la opción de dirigir un apercibimiento. Por todo lo expuesto, se desestima todo lo indicado en la presente alegación. 2.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA EDREAMS alega que, en lo que respecta a la adopción de medidas tendentes a garantizar la correcta gestión de los ejercicios de derechos, dispone de un canal oficial, el Formulario de Privacidad, que considera es transparentemente informado y puesto a disposición de los interesados en su Aviso de Privacidad, resultando supuestamente de fácil acceso para el interesado. Por otro lado, manifiesta que tiene procesos, herramientas, materiales formativos y demás medidas oportunas ya supuestamente acreditadas en las que se contempla que no se puede denegar el hipotético ejercicio de derechos por el simple hecho de que se ejercite por otros canales que no sean el canal oficial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 En esta última dirección, EDREAMS afirma que trabaja incansablemente en la mejora continua de las referidas medidas anteriormente, y que considera se acreditaron conformemente en la alegación tercera de su respuesta al acuerdo de inicio de procedimiento sancionador de fecha 28 de septiembre de 2022 (con número de registro REGAGE22s00042569349), para que en todos sus canales de Atención al cliente se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos (el referido Formulario de Privacidad), en el caso de que se utilizasen para el ejercicio de derechos. Al respecto, esta Agencia se reitera en que no es objeto del presente procedimiento si el procedimiento previsto para atender los ejercicios de derechos solicitados a través del Formulario de Privacidad cumple o no con los requisitos de la normativa de protección de datos. EDREAMS alega que comparte que una organización debe tener un canal oficial que recoja un procedimiento garantista en los términos estipulados por la normativa de protección de datos, así como unas medidas apropiadas que guíen la actuación de cualquier empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus derechos de protección de datos. Sin embargo, entiende que una interpretación en la que se exija el mismo grado de diligencia que debe tener el canal oficial (siempre y cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier otro canal de la organización, conllevaría una sobrecarga y dedicación de recursos desproporcionada de la organización, sin perjuicio de que, además, interpreta que resultaría contraria al hecho de que la normativa requiera un canal oficial para el ejercicio de derechos y cita para ello el artículo 12.2 LOPDGDD. Se pregunta también si eso significa que una organización debe tener en cualquier canal un sistema de filtración y gestión de notificaciones que, no solo sea urgentísimo debido a dicha naturaleza del plazo de ejercicio de derechos recogido en la normativa de protección de datos-, sino que, además, sea infalible. Y si, en caso de no tenerlo, se procedería con la apertura de expediente sancionador contra la organización pese a tener medidas apropiadas para dichos canales no especialmente dedicados al ejercicio de derechos, tal y como ha sucedido en el presente caso y ha sido reconocido por la AEPD. EDREAMS considera desproporcionada una interpretación que conllevara una respuesta positiva a las preguntas anteriores, por lo que ruega que se reconsidere dicha posición interpretativa. E insiste en que dispone de un canal oficial transparentemente informado en el Aviso de Privacidad y fácilmente accesible de acuerdo con la normativa, y con medidas técnicas y organizativas implantadas, así como de medidas para reducir el riesgo de un posible error humano en la gestión manual de un agente encargado de un canal no oficial. EDREAMS entiende que no se puede desprender una conclusión que, en la práctica, resulte en que cualquier canal de comunicación de la empresa pudiera ser automáticamente un canal oficial de ejercicio de derechos y cita para ello al considerando 59 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 Adicionalmente, insiste en que los canales de Atención al cliente, como el empleado por la parte reclamante, están destinados a finalidades de consumo, y, por lo tanto, no se puede tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de derechos. Aun así, con el fin de intentar garantizar que el interesado tenga el Formulario de Privacidad a su disposición pese a un posible error humano excepcional de un agente de Atención al cliente, EDREAMS ha implementado una nota al pie de los correos electrónicos genéricos de Atención al cliente, mediante la que se informa a los clientes, una vez más, de la existencia del Formulario de Privacidad para una gestión sencilla del ejercicio de derechos y que permite la correcta verificación de la identidad de los interesados. Por todo ello, EDREAMS considera que el precepto en cuestión requiere un deber de diligencia razonable, pero no maximalista. Adicionalmente, EDREAMS desea dejar constancia y demostrar que las medidas vigentes en el momento de presunta infracción cumplían con las más rigurosas normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos y que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Asimismo, EDREAMS traslada a la AEPD la aceptación de cualquier tipo de propuesta de mejora o recomendación por parte de esta AEPD en lo relativo al cumplimiento de la normativa. Al respecto, esta Agencia desea señalar que el citado considerando

(59)del RGPD dispone que: “Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas”. Estos mecanismos no son obligatorios y tampoco cabe entender que solamente serán atendidas aquellas solicitudes de ejercicio de derechos que se realicen únicamente a través de los cauces establecidos por los responsables de tratamiento en sus políticas de privacidad. Más bien al contrario, cada responsable de tratamiento tiene la facultad de organizarse como mejor considere, siempre que se proporcione respuesta satisfactoria al ejercicio de los derechos que soliciten los interesados, en el plazo legalmente previsto. Pero la organización que hubiera previsto este responsable de tratamiento no puede ser óbice para la satisfacción de un derecho que le reconoce a los interesados el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/36 En el presente caso, EDREAMS ha decidido centralizar todas las solicitudes de ejercicios de derechos relativas en la dirección de correo electrónico dpo@edreamsodigeo.com y en un formulario electrónico, además de facilitar un domicilio postal en España. Ahora bien, el hecho de que una solicitud determinada se dirija por otro canal, no implica que EDREAMS no deba darle debida respuesta, en tanto que responsable de tratamiento. Evidentemente no se pretende (según alega EDREAMS) “que una organización debe tener en cualquier canal un sistema de filtración y gestión de notificaciones que, no solo sea urgentísimo -debido a dicha naturaleza del plazo de ejercicio de derechos recogido en la normativa de protección de datos-, sino que, además, sea infalible. Y si, en caso de no tenerlo, se procedería con la apertura de expediente sancionador contra la organización pese a tener medidas apropiadas para dichos canales no especialmente dedicados al ejercicio de derechos”. Pero en este caso, no puede negarse que al enviar un correo electrónico a la dirección de atención al cliente customerservice-fr@contact.edreams.com, la parte reclamante podía esperar razonablemente que su solicitud fuera atendida por parte de EDREAMS. En este sentido, en el apartado 53 de las citadas Directrices 01/2022 sobre los derechos de los interesados- Derecho de acceso, el EDPB “…anima a los responsables de tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante, si el interesado realiza una solicitud a través de un canal de comunicación proporcionado por el responsable de tratamiento que es diferente de la indicada como preferible, la solicitud se considerará, en general, eficaz y el responsable del tratamiento deberá tramitar dicha solicitud en consecuencia (véanse los ejemplos a continuación). Los responsables de tratamiento deben realizar todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos del interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un empleado que está de permiso, un mensaje automático informando al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable).” En este sentido, esta Agencia insiste en que la dirección de correo electrónico de atención al cliente es una dirección perfectamente válida para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los interesados, toda vez que es la dirección de correo electrónico preferente por parte de los clientes para comunicarse con la empresa para cualquier cuestión (con independencia de que se facilite un aviso al pie de página de los correos electrónicos que se envíen, cuestión que no es objeto del procedimiento, como se ha indicado anteriormente). También se considera que es obligación de EDREAMS el arbitrar los mecanismos internos necesarios para que esa solicitud de derechos fuera redirigida internamente al equipo que la empresa determinó como el más idóneo para dar debida respuesta. En este sentido, esta Agencia desea hacer referencia al primer ejemplo del apartado 56 de las citadas Directrices en el que “un responsable de tratamiento X proporciona, en su página web y en su política de privacidad, dos correos electrónicos – el correo electrónico general del responsable de tratamiento: contacto@X.com y el correo electrónico del punto de contacto de protección de datos del responsable de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/36 tratamiento: solicitudes@X.com. De forma adicional, el responsable de tratamiento X indica en su página web que para enviar cualquier consulta o solicitud respecto al tratamiento de datos personales, se debe contactar con el punto de contacto de protección de datos al correo electrónico indicado. Sin embargo, el interesado envía una solicitud al correo electrónico general del responsable de tratamiento: contacto@X.com. En este caso, el responsable de tratamiento debe realizar todos los esfuerzos razonables para que sus servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico general, para que se pueda redirigir al punto de contacto de protección de datos y sea respondida dentro del plazo establecido por el RGPD. Es más, el responsable de tratamiento no puede extender el plazo para responder a la solicitud, solamente porque el interesado ha enviado una solicitud al correo electrónico general del responsable de tratamiento y no al punto de contacto de protección de datos.” Al respecto, esta Agencia entiende que este primer ejemplo sería el supuesto que se dio en el presente caso. La parte reclamante ha enviado su solicitud de ejercicio de derechos a una dirección de correo de atención al cliente proporcionada por la empresa a la que se dirige. Por tanto, el responsable de tratamiento (EDREAMS) debió realizar todos los “esfuerzos razonables para que sus servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico general, para que se pueda redirigir al punto de contacto de protección de datos y sea respondida dentro del plazo establecido por el RGPD”, tal y como indican las citadas Directrices, de forma tal que fuera redirigida al punto de contacto de protección de datos que correspondiera, a fin de poder atenderla en el plazo establecido por el RGPD. Por tanto, esta Agencia considera que sí que la parte reclamante podía “esperar razonablemente” que su solicitud fuera atendida al enviarla a la dirección customerservice-fr@contact.edreams.com. A mayor abundamiento, esta Agencia desea señalar que el apartado 56 de las citadas Directrices dispone que “Sin embargo, el CEPD recomienda, como una buena práctica, que los responsables de tratamiento introduzcan, cuando sea posible, mecanismos para mejorar la comunicación interna entre empleados sobre las solicitudes recibidas por aquellos que no son los competentes para lidiar con esas solicitudes. Para facilitar el ejercicio de derechos de los interesados”. En este sentido, no resulta descabellado (ni impracticable ni un esfuerzo desproporcionado) que el responsable de tratamiento deba implementar los mecanismos internos necesarios para que, al menos en lo que respecta a las direcciones de correo electrónico de atención al cliente, en las que se espera recibir solicitudes de todo tipo (entre ellas, de ejercicios de derechos que el RGPD reconoce a los interesados), dichas solicitudes se redirijan internamente a la brevedad al equipo destinado a tal efecto, a fin de que sean respondidas dentro del plazo previsto por el RGPD (y que las mismas Directrices indican no puede ser ampliado por el mero hecho de haberse enviado a una dirección de correo electrónico genérico). En cuanto a las medidas por las que se pregunta EDREAMS para ello, bastaría en este caso, por ejemplo, con el reenvío del correo electrónico con la solicitud del derecho a la dirección de correo electrónico del equipo previsto por EDREAMS a tal fin. El hecho de que en el presente caso todas las solicitudes de derechos del RGPD deban dirigirse a un determinado punto de contacto, es una cuestión ajena a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/36 interesados, que únicamente incumbe a la organización que EDREAMS estimó conveniente y no puede obligarse a estos interesados a conocer la organización de EDREAMS ni imponerles un determinado punto de contacto para ejercitar sus derechos, si bien esta Agencia (y las citadas Directrices) reconoce la posibilidad de que los responsables de tratamiento proporcionen una dirección de correo electrónica preferida para el ejercicio de estos derechos. En cualquier caso, esta Agencia considera que la dirección de correo electrónico customerservice-fr@contact.edreams.com no puede ser entendida como una dirección “aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento”, ni tampoco “cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado”, en los términos reseñados en las Directrices 01/2022 del Comité Europeo de Protección de Datos, sin perjuicio de que EDREAMS hubiera previsto una dirección de correo electrónico distinta preferente. En el presente caso, esta Agencia considera que al enviar un correo electrónico a la dirección customerservice-fr@contact.edreams.com la parte reclamante podía esperar razonablemente que su solicitud fuera atendida. Y que, en todo caso, era obligación de EDREAMS reenviar dicha solicitud internamente al equipo destinado a tal efecto. Por tanto, por todo lo expuesto, esta Agencia desestima todo lo indicado en la presente alegación. IV Derecho de supresión El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  4. d)los datos personales hayan sido tratados ilícitamente;
  5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. (…) 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  7. a)para ejercer el derecho a la libertad de expresión e información; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/36
  8. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  9. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  10. h)e i), y apartado 3;
  11. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  12. e)para la formulación, el ejercicio o la defensa de reclamaciones.” En el presente caso, consta que la parte reclamante había solicitado a EDREAMS la supresión de sus datos personales el 23 de enero de 2019. V Ejercicio de los derechos del interesado El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/36 En el presente caso, consta que la parte reclamante solicitó la supresión de sus datos personales el 23 de enero de 2019. Como mínimo, a 19 de mayo de 2019 no había recibido respuesta por parte de EDREAMS. Y no consta acreditado en el expediente que se le hubiera respondido a la parte reclamante antes de haber recibido el requerimiento de información de esta Agencia, junto con la reclamación correspondiente. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador se considera que los hechos conocidos son constitutivos de una infracción, imputable a EDREAMS, por vulneración del artículo 12 del RGPD, en relación con el artículo 17 del RGPD. VI Tipificación de la infracción del artículo 12 del RGPD La citada infracción del artículo 12 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  13. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  14. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  15. k)de esta ley orgánica”. VII Sanción por la infracción del artículo 12 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  16. b)del artículo 58 “Poderes” lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/36 “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  17. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que no consta en esta Agencia que se hubieran resuelto procedimientos por infracciones similares de EDREAMS en el año anterior a los hechos, a que la parte reclamante envió la solicitud a la dirección de correo electrónico de atención al cliente en vez de a la indicada en la política de privacidad y a una dirección postal distinta de la de EDREAMS en España y a que la supresión de los datos de la parte reclamante habría sido atendida con anterioridad a haber recibido el requerimiento de información de esta Agencia, todo lo cual permite considerar una disminución de la culpa en los hechos, se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a EDREAMS. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, un apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/36 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.