PS-00026-2023 | Europaius

1/19  Expediente Nº: EXP202204836 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EASYJET AIRLINE COMPANY LIMITED (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 3 de noviembre de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202204836 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 21/03/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra EASYJET AIRLINE COMPANY LIMITED con NIF N0066592G (en adelante, EASYJET), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “Buenos días. El día 28 de diciembre solicité el acceso a mis datos en ejercicio de mi derecho de acceso, a la empresa Easyjet, en el marco de una reclamación por incumplimiento del Reglamento (CE) nº 261/2004, a todos los datos relativos a mi persona en su poder, además de los relacionados a dicho expediente. Recibí solamente un mero acuse de recibido el día 30 de diciembre del mismo año. Hasta el día de hoy no he recibido respuesta alguna a mi petición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 El día 18 de marzo realicé un recordatorio a la compañía y la misma me contestó desentendiéndose de la solicitud de acceso, negando la existencia de la misma, aún existiendo el acuse de recibo.” Junto a la reclamación aporta, entre otros, la siguiente documentación: - Correo electrónico de la parte reclamante, de fecha 28/12/2021, enviado a las direcciones electrónicas ***EMAIL.1 y ***EMAIL.2, con el asunto “Reclamación Reglamento (CE) nº261/2004-Solicitud Derecho de Acceso”. Su contenido hace alusión a una reclamación presentada por la parte reclamante en relación con el hecho de que se le denegó embarcar en un vuelo de la compañía, así como, a la solicitud del ejercicio de su derecho de acceso. - Correo electrónico de la dirección ***EMAIL.2, de fecha 30/12/2021, en el que indica que el correo anterior será reenviado al equipo competente para su consulta, pero que, debido al periodo vacacional, la respuesta puede retrasarse. - Correo electrónico de la dirección ***EMAIL.3, de fecha 18/03/2022, cuyo contenido es el siguiente: “Estimado Sr. A.A.A., Gracias por su respuesta. Por favor, tenga en cuenta que somos un departamento diferente y que no hemos recibido ninguna solicitud relacionada con Política de Protección de Datos en su nombre. Solo somos responsables de la parte de Política de Protección de Datos y nuestro equipo no gestiona reclamaciones. Por favor, háganos saber si desea recibir la información que easyJet tiene sobre usted en una solicitud de acceso a los datos del sujeto, y estaremos encantados de ayudarle. Para cualquier otra cuestión o reclamación que pueda tener, en el equipo de Privacidad no podemos ayudarle. Por favor, tenga en cuenta que si no recibimos respuesta en un plazo de 17 días, su solicitud será automáticamente archivada. (…)” - Correo electrónico de la parte reclamante, de fecha 18/03/2022, enviado a la dirección electrónica ***EMAIL.3 y ***EMAIL.4, en el que responde “aquí tiene el resguardo de la recepción de la solicitud por parte de su equipo (…)”. SEGUNDO: A la vista de los hechos denunciados, el 21/04/2022 esta Agencia accedió a la página web ***URL.1, quedando comprobado que la política de privacidad indica como dirección de contacto ***EMAIL.2. No obstante, para “ejercer cualquiera de sus derechos en relación con los datos que easyJet posee sobre usted” se habilita un formulario específico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 03/06/2022 se dio traslado de dicha reclamación a EASYJET, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 06/06/2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 21/06/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 05/07/2022, se recibe en esta Agencia escrito de respuesta en el que manifiesta lo siguiente: “[…] Segundo.- No obstante lo anterior y en relación al contenido de su requerimiento se ha de significar que en la web de Easyjet existe un formulario concreto para que los usuarios puedan ejercer los derechos del RGPD de acceso, información, rectificación y supresión, tal y como se muestra a continuación. Igualmente, la dirección de correo electrónico que se pone a disposición de los usuarios para cualquier cuestión relacionado con los derechos del RGPD es la siguiente: ***EMAIL.2. (…). Tercero.- Sin embargo, tal y como se deduce de la información facilitada por el reclamante en su anexo nº2 parece que los correos electrónicos en solicitud de acceso fueron enviados a un correo distinto, concretamente a ***EMAIL.3, así como a la dirección de atención al cliente: ***EMAIL.4. Por otro lado, en las comunicaciones remitidas a mi representada se han confundido reclamaciones relacionadas con la indemnización exigida como consecuencia de la supuesta denegación de embarque sufrida por el reclamante junto con la demanda de derecho de acceso a los datos personales, motivo éste por el que se ha podido alterar el sistema de atención de este tipo de peticiones. Cuarto.- Explicado lo anterior y en cuanto a las cuestiones planteadas a esta parte en su requerimiento pasamos a contestar correlativamente las mismas: 1. (…) Se recibió una solicitud que no era clara y se pidió clarificación al interesado. 2. (…) Se pidió al reclamante que informara adecuadamente de cuál era su petición concreta y ver qué elemento específico en su caso deseaba rectificar para proceder en consecuencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 […]” QUINTO: Con fecha 09/03/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EASYJET, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.

b)del RGPD. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, fue recogido por EASYJET el 16/03/2023. SEXTO: Con fecha 30/03/2023, EASYJET presentó escrito, en tiempo y forma, ante esta Agencia en el que manifestaba lo siguiente: “[…] Primero.- Que en el presente procedimiento se ha dictado acuerdo de inicio por el que se acuerda fijar una sanción inicial de 20.000 € como consecuencia de los hechos e infracción contempladas en el mismo. Segundo.- Que siguiendo lo dispuesto en el acuerdo de inicio y de conformidad con lo dispuesto en el artículo 85 de LPACAP, esta parte muestra su voluntad de acogerse a la reducción del 40% en el importe de la sanción, mostrando expreso reconocimiento de responsabilidad de conformidad así como la realización del pago de la multa de forma voluntaria, renunciando a la interposición de cualquier acción o recurso administrativo a que hubiera lugar. […]” SÉPTIMO: Con fecha 05/05/2023, EASYJET presentó nuevo escrito ante esta Agencia en el que manifestaba lo siguiente: “[…] Segunda.- Atención al ejercicio de derecho de acceso del Reclamante Tal y como se desprende del cronograma incluido en la Alegación anterior, la Sociedad atendió el ejercicio del derecho de acceso del Reclamante el día 1 de abril de 2022, remitiéndole toda la información sobre su persona que conservaba en sus sistemas, así como la información requerida por el artículo 15 del RGPD. A estos efectos, se adjunta, como Anexo II, copia del correo electrónico a través del cual se le remite la correspondiente contestación al Reclamante, junto con toda la información que se pone a su disposición (ver Anexo I). De conformidad con lo anterior, interesa a la Sociedad remarcar que la solicitud de ejercicio del derecho de acceso enviada por el Reclamante a la Sociedad, fue atendida por esta con anterioridad a la recepción de la Solicitud de Información (15 de junio de 2022) y, por tanto, a la recepción del Acuerdo de Inicio (17 de marzo de 2023). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Tercera.- Otras consideraciones Asimismo, interesa a la Sociedad remarcar que: (
i)Aunque la reclamación fue inicialmente interpuesta por el interesado el día 28 de diciembre de 2021, esta solo incluía en su penúltimo párrafo una mención al ejercicio de su derecho de acceso conforme al RGPD. Si bien es cierto que la Sociedad trató el mensaje del Reclamante inicialmente como una mera reclamación de daños y no como un ejercicio de derechos de protección de datos, el Reclamante tampoco volvió a hacer mención al ejercicio de su derecho en las conversaciones posteriores que mantuvo con el equipo de atención al cliente de la Sociedad. De hecho, no volvió a hacer referencia al ejercicio de su derecho de acceso hasta el día 17 de marzo de 2021, cuando exigió el pago de las indemnizaciones que le habían sido presuntamente reconocidas por AESA. (
i)A lo largo de la gestión del ejercicio del derecho de acceso del Reclamante, la Sociedad, tal y como se desprende de los correos intercambiados entre la Sociedad y el Reclamante cuya copia se adjunta como Anexo I, ha recibido, por parte del Reclamante, multitud de advertencias sobre la iniciación de acciones legales, incluyendo una mención a la posibilidad de desistir de las mismas si recibiera el pago de las cantidades reclamadas. En opinión de la Sociedad, estos mensajes y la falta de cooperación por parte del Reclamante cuando el equipo de protección de datos de la Sociedad se puso en contacto con él para atender su derecho, denotan una escasa preocupación sobre este asunto, pudiendo extraerse que su intención exclusiva era el cobro de las cantidades económicas reclamadas, en nada relacionadas con la protección de su derecho fundamental a la protección de datos. (
ii)Una vez recibida la pretensión del reclamante el día 17 de marzo de 2021, la Sociedad se puso en contacto con este hasta en dos ocasiones (17 y 22 de marzo de 2021) para disculparse por el retraso en la contestación a su ejercicio del derecho de acceso. Junto con las disculpas, el equipo de protección de datos de la Sociedad trató de confirmar con el Reclamante su pretensión de ejercicio del derecho de acceso, clarificar el alcance de su solicitud, preguntarle si deseaba ejercitar cualquier otro derecho, y notificarle que se estaba procediendo a su gestión, ya que, de la solicitud inicial de ejercicio del derecho de acceso incluida dentro del escrito de reclamación de daños no se desprendía con certeza el alcance de la misma. (iii) El día 1 de abril de 2021, únicamente 9 días hábiles después de recibir la confirmación por el Reclamante de su deseo de ejercitar su derecho de acceso y recibir todos los datos que la Sociedad mantuviese en sus sistemas, esta atendió dicho derecho y le trasladó la información solicitada (ver Anexos I y II adjuntos). […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 Junto al escrito aporta la siguiente documentación: - Correo electrónico enviado por EASYJET desde la dirección electrónica ***EMAIL.3, de fecha 01/04/2022 a las 10:22 horas, a la parte reclamante (***EMAIL.5), con el asunto “Solicitud de Datos-A.A.A.”. Su contenido hace alusión a la información relativa al ejercicio de derecho de acceso de la parte reclamante. - Copia de los datos almacenados en los sistemas de EASYJET en relación con la parte reclamante. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 28/12/2021, a las 22:34 horas, la parte reclamante envía un correo electrónico (***EMAIL.5) a las direcciones ***EMAIL.1 y ***EMAIL.2, con el asunto “Reclamación Reglamento (CE) nº261/2004-Solicitud Derecho de Acceso”. Su contenido hace alusión a una reclamación presentada por la parte reclamante en relación con el hecho de que se le denegó embarcar en un vuelo de la compañía, así como, a la solicitud del ejercicio de su derecho de acceso. SEGUNDO: El 30/12/2021, a las 0:45 horas, la parte reclamante recibe un correo electrónico de la dirección ***EMAIL.2, en el que se le informa de que se ha trasladado su petición al departamento correspondiente, pero que, debido al periodo vacacional, la respuesta puede retrasarse. TERCERO: El 16/03/2022, a las 0:13 horas, la parte reclamante envía un correo electrónico a las direcciones ***EMAIL.1 y ***EMAIL.2, con el asunto “AVISO INTERPOSICIÓN ACCIONES JUDICIALES/DENUNCIA AUTORIDAD PROTECCIÓN DE DATOS/RESOLUCIÓN AESA/ Re: Reclamación Reglamento (CE) nº 261/2004Solicitud derecho de Acceso”. En el texto comunica a la entidad reclamada el dictamen estimatorio de la Agencia Española de Seguridad Aérea en relación con los gastos derivados de la denegación para embarcar y, además, señala lo siguiente: “Asimismo y en ausencia de una respuesta en el plazo estimado a la petición de ejercicio del derecho de acceso contemplado en el Reglamento General de Protección de Datos (EU), se anuncia también la interposición de la correspondiente denuncia a las autoridades en materia de protección de datos pertinentes”. CUARTO: El 17/03/2022, a las 09:45 horas, EASYJET (***EMAIL.3) envía un correo electrónico a la parte reclamante con el siguiente contenido: “Estimado Sr. A.A.A., C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 Le escribimos desde el equipo de privacidad de easyJet con relación a su incidencia, pero específicamente en lo que se refiere a su solicitud respecto con la Protección de Datos que usted puede haber hecho con nosotros. Lamentablemente, dicha solicitud nunca llegó a conocimiento de nuestro equipo y, por lo tanto, nos gustaría que nos aclarara su solicitud original para poder resolverla con prontitud. Por favor, responda directamente a esta dirección de correo electrónico. Le agradecemos su paciencia y le pedimos disculpas por esta situación. Quedamos en espera de su pronta respuesta a fin de poder darle seguimiento a su solicitud. Un cordial saludo, equipo de Protección de Datos de easyJeT.” En esa misma fecha, a las 09:51 horas, la parte reclamante responde lo siguiente: “Estimada Tengo el acuse de recibo de la solicitud emitido por su equipo. De por hecho que una vez cumplido el plazo de gracia de una semana que les he otorgado, denunciaré a easyJet ante la autoridad en materia de protección de datos competente.” En ese mismo día, a las 10:45 horas, EASYJET responde a la parte reclamante: “Estimado Sr.A.A.A., Le escribimos desde el equipo de privacidad de easyJet con relación a su incidencia, pero específicamente en lo que se refiere a su solicitud respecto con la Protección de Datos que usted puede haber hecho con nosotros. Lamentablemente, dicha solicitud nunca llegó a conocimiento de nuestro equipo y, por lo tanto, nos gustaría que nos aclarara su solicitud original para poder resolverla con prontitud. Por favor, responda directamente a esta dirección de correo electrónico. Le agradecemos su paciencia y le pedimos disculpas por esta situación. Quedamos en espera de su pronta respuesta a fin de poder darle seguimiento a su solicitud. Un cordial saludo, equipo de Protección de Datos de easyJet QUINTO: El 18/03/2022, a las 11:50 horas, la parte reclamante recibe un correo electrónico de la dirección ***EMAIL.3 en el que, en síntesis, se le informa: “Por favor, tenga en cuenta que somos un departamento diferente y que no hemos recibido ninguna solicitud relacionada con Política de Protección de Datos en su nombre. Solo somos responsables de la parte de Política de Protección de Datos y nuestro equipo no gestiona reclamaciones. Por favor, háganos saber si desea recibir la información que easyJet tiene sobre usted en una solicitud de acceso a los datos del sujeto, y estaremos encantados de ayudarle. Para cualquier otra cuestión o reclamación que pueda tener, en el equipo de Privacidad no podemos ayudarle. Por favor, tenga en cuenta que si no recibimos respuesta en un plazo de 17 días, su solicitud será automáticamente archivada. (…)” Ese mismo día, a las 13:23 horas, la parte reclamante envía un correo electrónico a ***EMAIL.3 y a ***EMAIL.4, en el que informa su intención de demandar a EASYJET ante la instancia judicial correspondiente y ante esta Agencia. SEXTO: El 21/03/2022, a las 12:13 horas, la parte reclamante envía un correo electrónico a la dirección ***EMAIL.3 y ***EMAIL.4, con el asunto “URGENTE///COMUNICACIÓN DE DENUNCIA E INTERPOSICIÓN DE ACCIONES JUDICIALES”. En el contenido informa a EASYJET de haber presentado una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 reclamación contra la entidad ante esta Agencia en relación con su solicitud de acceso. SÉPTIMO: El 22/03/2022, a las 08:46 horas, EASYJET (***EMAIL.3) responde a la parte reclamante: “Estimado Sr. A.A.A., Gracias por su respuesta. Antes que nada, queremos pedirle disculpas por el retraso que se ha producido en la nuestra y por si su reclamación inicial no se ha interpretado correctamente. Sin embargo, creemos que está confundiendo los dos temas, su reclamación y la solicitud de protección de datos. Desde el equipo de Protección de Datos, estamos tratando de completar su solicitud, pero necesitamos que nos aclare qué es lo que busca concretamente. Si puede ayudarnos diciéndonos qué tipo de información está buscando, estaremos encantados de ayudarle. Hemos podido averiguar que el equipo de Protección de Datos ha considerado su correo electrónico, del cual usted nos ha enviado el acuse de recibo, como una reclamación, y por lo tanto lo ha reportado al equipo competente en ese momento, que es el de Reclamaciones. Nuestro equipo (Equipo de Privacidad) no ha recibido una aclaración de su solicitud relacionada con la protección de datos. Por favor, tenga en cuenta que nuestro equipo es responsable de redactar las DSAR (por sus siglas en inglés), que son solicitudes de acceso a los datos de los sujetos, que divulgamos cuando un cliente quiere tener acceso a la información que easyJet tiene sobre él. Nuestro equipo también es responsable de las eliminaciones, restricciones y correcciones de direcciones de correo electrónico en las cuentas de nuestros clientes. Sin embargo, no nos encargamos de reclamaciones. Apelamos a su comprensión de lo explicado anteriormente, y estaremos encantados de ayudarle, si tiene alguna petición relacionada con el RGPD. ¿Desea recibir un documento con la información que easyJet tiene sobre usted? ¿Realizar una eliminación, restricción o corrección de su cuenta? Si es así, háganoslo saber y lo cumpliremos. Pero, como ya hemos indicado, tenga en cuenta que las reclamaciones relativas a la denegación de embarque no están relacionadas con el RGPD, y nuestro equipo sólo pretende ayudarle en su solicitud de datos. Por favor, responda directamente a este correo electrónico haciéndonos saber cómo podemos ayudarle. Gracias por su colaboración y comprensión. Saludos cordiales, equipo de Protección de Datos” Ese mismo día, a las 10:35 horas, la parte reclamante responde a la entidad reclamada de la siguiente manera: “Buenos dias. Pregunta planteada por el equipo de protección de datos de Easyjet, 22/03/2022 "¿Desea recibir un documento con la información que easyJet tiene sobre usted? ¿Realizar una eliminación, restricción o corrección de su cuenta? Si es así, háganoslo saber y lo cumpliremos. Pero, como ya hemos indicado, tenga en cuenta que las reclamaciones relativas a la denegación de embarque no están relacionadas con el RGPD, y nuestro equipo sólo pretende ayudarle en su solicitud de datos." Extracto de mi reclamación Reglamento Pasajeros EU/solicitud de acceso RGPD, 28/12/2022 "Por último, sirva este escrito como solicitud formal a los efectos del Reglamento General de Protección de Datos o de la normativa de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 correspondiente, para el ejercicio de mi derecho de acceso a todos los datos relativos a mi persona en poder de Easyjet." Disfruten de lo denunciado. Cualquier desestimación por razón de forma será recurrida hasta las más altas instancias posibles, suponiendo un riesgo de multa para EasyJet, con la correspondiente repercusión negativa que traerá aparejada en los medios de comunicación dado el interés público del asunto, que en todo caso no compensará la negativa de no reintegrar las cantidades legítimamente reconocidas por el órgano supervisor aeronáutico. Por cierto, parece que sus compañeros del equipo de reclamaciones no han recibido el dictamen de AESA ni mi advertencia de la interposición de acciones judiciales. Les agradeceria que les hicieran llegar el dictamen, el cual adjunto a continuación. Un saludo, A.A.A. OCTAVO: El 01/04/2022, a las 10:22 horas, EASYJET dio contestación al derecho de acceso de la parte reclamante, mediante correo electrónico remitido desde la dirección ***EMAIL.3 a la parte reclamante (***EMAIL.5) con copia de los datos que obran en su poder. Ese mismo día, a las 12:20 horas, la parte reclamante envía un correo electrónico a las direcciones ***EMAIL.6 y ***EMAIL.7, con el siguiente contenido: “Estimada B.B.B. Muchas gracias por hacerme llegar la información solicitada. No obstante, dejaremos a la Agencia Española de Protección de Datos dirimir sobre la adecuación del accionar de EasyJet respecto a este ejercicio del derecho de acceso. Sin embargo, quisiera comentarle que la información contenida en el informe es incorrecta. No es que quiera iniciar las acciones judiciales correspondientes, ya las he formalizado y el proceso judicial ya está en marcha. Serán ustedes citados a declarar por el órgano jurisdiccional competente en la brevedad. Pueden llamarme al ***TELÉFONO.1 para coordinar el pago de las cantidades requeridas y dar por cerrado este asunto, o nos veremos en la Corte pronto. Si quiere, puede hacerle lllegar esta información a sus compañeros. Un saludo, A.A.A. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EASYJET realiza la recogida y conservación de, entre otros, los siguientes datos personales: nombre y apellidos EASYJET realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas. EASYJET alega haber dado respuesta a la parte reclamante el 01/04/2022 remitiéndole toda la información personal que figura en sus sistemas y la necesaria para atender el derecho en cuestión. Remarca que la solicitud de acceso fue atendida antes de recibir la solicitud de información y, posteriormente, el acuerdo de inicio. Como prueba, aporta copia del correo electrónico enviado a la parte reclamante en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 fecha señalada, así como de la información facilitada a este en respuesta a la solicitud de acceso. Al respecto, esta Agencia desea señalar que el artículo 12.3 del RGPD otorga al responsable del tratamiento un mes desde que recibe la solicitud de acceso para dar respuesta al derecho ejercido, sin perjuicio de que pueda prorrogarse por otros dos meses en caso necesario, debiendo informar de ello al interesado. No obstante, en el presente caso, EASYJET no atendió debidamente el derecho de acceso ejercido por la parte reclamante hasta el 01/04/2022, casi cuatro meses después de que hubiera presentado su solicitud, el 28/12/2021. Si bien es cierto que el 30/12/2021 EASYJET respondió al correo electrónico de la parte reclamante en el que ejerció su derecho de acceso, no es menos cierto que la entidad se limitó a darle una respuesta genérica en la que confirmaba la recepción del correo y que sería reenviado al equipo correspondiente para su consulta. Así pues, como ya se indicó en el acuerdo de inicio del presente procedimiento sancionador, resulta evidente que no le fue posible a la parte reclamante acceder a sus datos personales ni se le proporcionó una respuesta adecuada hasta el mes de abril. EASYJET alega haber recibido por la parte reclamante multitud de advertencias sobre la iniciación de acciones legales, incluyendo una mención a la posibilidad de desistir de las mismas si recibiera el pago de las cantidades reclamadas en relación con la denegación para embarcar en un vuelo de la compañía. Al respecto, esta Agencia desea señalar que no es competente para dirimir cuestiones que no están relacionados con la materia de protección de datos de carácter personal. IV Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a)los fines del tratamiento;
a)las categorías de datos personales de que se trate;
b)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
c)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
d)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19
e)el derecho a presentar una reclamación ante una autoridad de control;
f)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Por su parte, el artículo 13 “Derecho de acceso” de la LOPDGDD dispone que: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” En el presente caso, consta que la parte reclamante solicitó a EASYJET el acceso a sus datos personales, en fecha 28/12/2021, a través de correo electrónico enviado a las direcciones ***EMAIL.2 y ***EMAIL.5. No solo indicó en el asunto del correo “Reclamación Reglamento (
ce)nº 261/2004-Solicitud Derecho de Acceso” (el subrayado es de la Agencia), sino que también, al final del contenido, dice textualmente “que sirva este escrito como solicitud formal a los efectos del Reglamento General de Protección de Datos o de la normativa de protección de datos correspondiente, para el ejercicio de mi derecho de acceso a todos los datos relativos a mi persona en poder de Easyjet”. En este sentido, la dirección electrónica a la que se dirigió la parte reclamante es uno de los medios que EASYJET pone a disposición de los afectados para el ejercicio de derechos del RGPD, junto con un formulario específico de solicitud. Así figura en la política de privacidad de su página web (***URL.2). Por su parte, EASYJET se limitó a enviarle el 30/12/2021 una respuesta genérica en la que confirmaba la recepción de su correo electrónico y que sería reenviado al equipo correspondiente para su consulta. No obstante, después de que la parte reclamante comunicara su intención a la entidad reclamada de presentar una reclamación ante esta Agencia en ausencia de respuesta a su solicitud de acceso, el 17/03/2022, un día después, EASYJET le respondió indicándole no haber recibido la solicitud de acceso y pidiéndole que aclarase su solicitud original. No fue hasta el 01/04/2022 cuando EASYJET dio acceso a la parte reclamante a la información solicitada. De conformidad con las evidencias de las que se dispone en este momento de propuesta de resolución de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EASYJET, por vulneración del artículo 15 del RGPD. V Tipificación de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5.
b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)(…)
a)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679; (…)” VI Sanción por la infracción del artículo 15 del RGPD Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendiendo a los hechos expuestos y sin perjuicio de lo que resulte de la instrucción del procedimiento, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
f)La afectación a los derechos de los menores
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Son circunstancias agravantes: - La duración de la infracción (artículo 83.2.
a)del RGPD): No obstante, y toda vez que se tuvo en cuenta esta circunstancia agravante en el acuerdo de inicio del presente procedimiento sancionador por no haber respondido EASYJET el derecho de acceso, se considera que la gravedad de la misma se ve minorada al quedar probado la atención del derecho ejercido por la parte reclamante, si bien ésta tuvo lugar casi cuatro meses después del plazo establecido en la normativa vigente. - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
b)de la LOPDGDD): EASYJET es una entidad que realiza tratamientos de datos personales de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. El balance de las circunstancias contempladas permite fijar como valoración inicial una multa de 10.000€ (diez mil euros) por la infracción del artículo 15 del RGPD. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos EASYJET AIRLINE COMPANY LIMITED, con NIF N0066592G, por una infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 10.000€ (diez mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 € (ocho mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-170223 C.C.C. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 ANEXO Índice del expediente EXP202204836 21/03/2022 Reclamación de A.A.A. 03/06/2022 Traslado reclamación a EASYJET AIRLINE SPAIN, S.E.E. 21/06/2022 Comunicación a A.A.A. 05/07/2022 Respuesta requerimiento de EASYJET AIRLINE CO LTD 10/03/2023 A. apertura a AINHOA BILBAO RANDEZ 16/03/2023 Info. Reclamante a A.A.A. 30/03/2023 Escrito de EASYJET AIRLINE CO LTD 05/05/2023 Escrito de EASYJET AIRLINE CO LTD >> SEGUNDO: En fecha 14 de noviembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 8000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202204836, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a EASYJET AIRLINE COMPANY LIMITED. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.