← España

PS-00036-2024

1/26  Expediente N.º: EXP202316537 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 30 de septiembre de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202316537 Procedimiento Sancionador Nº. PS/00036/2024 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha de 22 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el establecimiento hotelero denominado “POSADA EL AZUFRAL” cuyo titular es A.A.A. con NIF ***NIF.1 (en adelante, la reclamada). Los motivos en que basa la reclamación son los siguientes: - La parte reclamante manifiesta que en fecha 26-7-2023 realizó una reserva de una habitación a través de la web booking.com en el establecimiento hostelero POSADA EL AZUFRAL, S.C, para las fechas 25-08-23 al 26-08-23. Señala que en la misma fecha de 26-7-23 le fue remitido un correo electrónico del establecimiento para realizar el registro de huésped anticipado (“preregistro” o “pre-check in online”), correo que adjuntaba un link que dirigía a la web de una aplicación denominada “Partee”, que le solicitaba cumplimentar ciertos datos, y adjuntar fotografía de las dos caras de su DNI. El reclamante aportó sus datos para realizar el registro a través de dicha aplicación web, pero no imagen de su DNI al considerar esa petición como excesiva, comunicando esta circunstancia al establecimiento a través de la mensajería de booking.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 - - Señala que al acudir a alojarse en la posada donde realizó su previa reserva el día previsto para la entrada 25-8-23, la parte reclamada le exigió, como condición para facilitarle la habitación reservada, la entrega de su DNI para realizar una fotografía al objeto de cumplimentar el check in online o una fotocopia para hacer el check in manual. El reclamante se negó por considerar que dicha exigencia es contraria a la normativa de protección de datos, siéndole denegado el alojamiento. Que el reclamante solicitó hoja de reclamaciones ante el establecimiento, e interpuso la pertinente reclamación ante la Consejería competente en materia de turismo del Gobierno de Cantabria. Junto a la reclamación se aporta la siguiente documentación, que es completada mediante escrito de 13 de noviembre de 2023: - - - Reserva del alojamiento realizada a través de booking.com el 26 de julio de 2023. Mensaje enviado el 26 de julio de 2023 al reclamante por la Posada El Azufral a través de ebooking.com, donde se indica: “Por favor, para agilizar su registro en POSADA EL AZUFRAL, 25-08-2023, haga clic en el siguiente ENLACE y cumplimente el formulario con los datos de su DNI, Pasaporte o NIE”. Dicho enlace dirige a la “app.partee check in online”. Nuevo mensaje recibido el 25 de agosto de 2023 de “Partee check-in online” advirtiendo de que puede completar el registro online hasta el mismo día 25 de agosto de 2023, siendo necesario cumplimentar la información del enlace para dar cumplimiento a la normativa sobre partes de entrada y libro-registro de hospedajes. Pantallazo del formulario de datos a cumplimentar en la app parte para el check-in online. Hoja de Reclamaciones planteada ante la Posada el Azufral el 25 de agosto de 2023, al cancelarse la reserva, y presentación de tal reclamación ante la Consejería de turismo del Gobierno de Cantabria. Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor. Resolución del procedimiento sancionador nº 78/2021 publicada por esta Agencia Española de Protección de Datos. Extracto del apartado de política de privacidad de la aplicación PARTEE (www.app.partee.es), donde consta un enlace al acuerdo de encargo del tratamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., que aparece como responsable del tratamiento de datos en el apartado de política de privacidad de la web TARIFAS Y POLITICAS | EL AZUFRAL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó por vía postal conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11/12/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 29/12/2023 se recibe en esta Agencia escrito de respuesta de A.A.A., en el que reconoce ser la responsable del tratamiento, siendo la POSADA EL AZUFRAL S.C, el nombre comercial del establecimiento hotelero. En su escrito, la parte reclamada aporta un informe sobre el tratamiento de datos personales del establecimiento, y un informe sobre el suceso acaecido. Resumidamente, cabe señalar que la reclamada reconoce ser la responsable del tratamiento de datos personales de la POSADA EL AZUFRAL, S.C, y admite que los hechos acaecieron tal y como se relatan por el reclamante, si bien niega que exista vulneración de la normativa de protección de datos personales, considerando que es necesario exigir al cliente la fotografía o copia del documento de identidad del viajero al objeto de comprobar la exactitud de los datos que se deben cumplimentar en los partes de entrada y salida del viajero y las hojas registro que se establecen en la normativa del Ministerio de Interior, para los establecimientos hoteleros. CUARTO: Con fecha 9 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 20 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. c)del RGPD, tipificada en el Artículo 83.5.
  2. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio con fecha de acuse de recibo electrónico de 29 de mayo de 2024, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones con fecha de 10 de junio de 2024 en el que, tras señalar que se ha recibido el citado acuerdo en el punto primero y confirmar que la reclamada es la responsable del tratamiento de los datos personales de los clientes de la POSADA EL AZUFRAL en el punto segundo, manifiesta literalmente lo siguiente (puntos 3 a 8 del escrito de alegaciones): “TERCERO.- El procedimiento para la realización del check-in o “pre-registro”, está totalmente automatizado, teniendo que pasar el huésped por un proceso a través de una de las 4 opciones que se ponen a su disposición: A) Check-in online sin aportar el Documento de Identidad o pasaporte. B) Check-in online aportando el Documento de Identidad o pasaporte. C) Check-in presencial sin aportar el Documento de Identidad o pasaporte. D) Check-in presencial aportando el Documento de Identidad o pasaporte. En todos los casos, tanto en el formato online (el cliente cumplimenta directamente el formulario), como en el formato presencial (los datos los introduce in-situ el personal de recepción del alojamiento), se emplea la aplicación informática denominada Partee, suministrada a través del contrato de servicios correspondiente del proveedor (y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 encargado del tratamiento) YNEEDS, YOUR INTELLIGENT IMAGING COMPANY S.L.U. CUARTO.- El principio de minimización de los datos personales persigue limitar el tratamiento de los mismos. Sin embargo, no prohíbe el volcado automatizado de los datos personales si se utiliza un proceso inteligente de traslado de información desde una fotografía u otro soporte, siempre con la misma intención de cubrir la información necesaria para las obligaciones legales correspondientes (ficha policía). QUINTO.- Debemos aclarar que entre el responsable del tratamiento y el encargado de tratamiento, hay suscrito un contrato de tratamiento de datos y contrato de prestación de servicio, atendiendo a lo establecido en el artículo 28 del RGPD. T SEXTO.- A través de la aplicación Partee, el responsable del tratamiento obtiene los datos de carácter personal exigidos y necesarios para la realización de los partes de entrada y viajeros. SÉPTIMO.- En el momento en que los huéspedes, realizan una reserva, reciben una comunicación online (email) días antes de su llegada, para la realización del check-in online. Dicho check-in se realiza desde el dispositivo del Cliente. La aplicación permite el escaneo voluntario e inteligente del DNI, obteniendo de forma directa los datos necesarios, pudiendo prescindir de este proceso si el huésped cumplimenta los datos de manera manual. En el caso de que el Cliente opte por el método de facilitar su DNI para el escaneo inteligente de la información, la copia del documento nacional de identidad no se almacena en los servidores de la aplicación, sino que solo se utiliza de manera puntual para la extracción de información necesaria. Este hecho fue informado al B.B.B., tal y como se manifiesta en el INFORME SOBRE EL SUCESO DE 25 DE AGOSTO presentado por Dña. A.A.A., a instancias de la AEPD. Es decir, el Huésped fue conocedor en todo momento de que no se guardaba copia de su DNI. OCTAVO.- En el caso de que el huésped realice de forma manual la aportación de datos, será necesario la posterior comprobación de la veracidad de los mismos, dado que la persona del establecimiento que recepciona al Huésped tiene la responsabilidad de verificar la exactitud de los datos facilitados y para ello solicita la identificación al Cliente. En todo momento, y durante la realización de la reserva, se informa al huésped sobre quién es el responsable del tratamiento, la finalidad de los datos recabados, los destinatarios de la información, plazos de conservación y la legitimación del tratamiento, con lo cual éste, puede decidir si hacerla o no. Así mismo, los datos facilitados por el Cliente serán conservados a efectos de prestación del servicio y tras la marcha del Huésped, conservados a efectos fiscales y de facturación por el plazo legal establecido, tras lo cual dichos datos serán suprimidos.” En defensa de estas alegaciones, la reclamada aporta como Anexo I, una captura de pantalla en la que se muestra la parte del formulario (punto 3) de Check-in de la aplicación PARTEE, utilizada para la gestión del proceso de reserva y registro de huéspedes, donde se solicita la foto del DNI del Cliente, si bien en la nota informativa que refiere “
  3. i)Su alojamiento requiere estas capturas para verificar los datos del Check-in online.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 SÉPTIMO: Con fecha de 30 de septiembre de 2024 se expide por la instructora Diligencia para hacer unir al procedimiento el contenido de la política de privacidad de la aplicación PARTEE, contratada por la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En fecha 26-7-2023 la parte reclamante realizó una reserva de una habitación a través de la web booking.com en el establecimiento hostelero POSADA EL AZUFRAL, S.C, para las fechas 25-08-23 al 26-08-23, según consta en reserva aportada junto con la reclamación. Así se deduce de la reserva aportada por el reclamante, cuyos términos y contenido se reconocen por la reclamada. SEGUNDO: En la misma fecha de 26-7-23 se remite automáticamente al reclamante un correo electrónico para realizar voluntariamente el registro de huésped anticipado (“pre-registro” o “pre-check in online”), correo que adjuntaba un link que dirigía a la web de una aplicación denominada “Partee”, lo que se acredita mediante la aportación del citado correo electrónico en la reclamación, cuya remisión se reconoce por la parte reclamada. TERCERO: Que, el procedimiento para realizar el check in en el establecimiento se puede realizar online o presencialmente en el establecimiento a través de la aplicación PARTEE, que ha sido contratada al efecto por el establecimiento. Tal y como señala la reclamada en el punto 3 de su escrito de alegaciones al acuerdo de inicio de 10 de junio de 2024, y puede comprobarse en el enlace a la aplicación que se contiene en el correo remitido al reclamante para que proceda al pre-check in: “En todos los casos, tanto en el formato online (el cliente cumplimenta directamente el formulario), como en el formato presencial (los datos los introduce in-situ el personal de recepción del alojamiento), se emplea la aplicación informática denominada Partee, suministrada a través del contrato de servicios correspondiente del proveedor (y encargado del tratamiento) YNEEDS, YOUR INTELLIGENT IMAGING COMPANY S.L.U” CUARTO: De acuerdo con lo que consta diligenciado con fecha de 26 de julio de 2023, según la política de privacidad de la aplicación contratada por la reclamada, PARTEE, los datos personales a recabar en los procesos de check in online/ presencial son los indicados en los apartados
  4. e)y f), que dan la posibilidad de que el viajero pueda finalizar el proceso de registro sin necesidad de entregar la copia o escanear la fotografía de su documento de identidad, siempre y cuando se anoten los datos de dicho documento en la aplicación PARTEE por el personal del establecimiento de forma manual, previa exhibición del documento. “POLÍTICA PRIVACIDAD APLICACIÓN PARTEE. Qué datos personales obtenemos de los huéspedes de nuestros clientes (…) e. Fotografías de DNIs o Pasaportes durante el check-in presencial. El checkin presencial de Partee es el procedimiento de captura de datos y firma de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 huéspedes en su presencia. Con el cuádruple objetivo de
  5. a)asegurar la exactitud de los partes de viajeros (obligación expuesta en el apartado 3 del artículo 4 del RD 933/2021, y que supone la base de legitimación para este tratamiento),
  6. b)de mejorar la productividad en el cumplimiento de la normativa,
  7. c)de avanzar en transformación digital y
  8. d)de ahorrar tiempo al huésped y proporcionarle un mejor servicio, nuestros clientes tienen la opción de usar la cámara de su dispositivo móvil, o un escáner de sobremesa o equipo multifunción, para obtener una imagen del documento de identificación del huésped y autocumplimentar el parte de manera automática, como contraposición a una introducción manual y lenta de datos. Partee no almacenará ni distribuirá las imágenes de estos documentos, simplemente las usará para extraer los datos personales de los huéspedes y cumplir con las obligaciones de registro establecidas en la normativa. Una vez cumplido este cometido, que dura apenas unos segundos, Partee eliminará estas imágenes automáticamente. Para que el cliente de Partee pueda usar esta funcionalidad de captura de datos automática desde imagen del DNI o Pasaporte, el huésped deberá aceptar la presente política de privacidad en la aplicación Partee seleccionando la casilla correspondiente. En caso de que el huésped se niegue a que se le obtenga una imagen de su documento de identificación, el cliente de Partee deberá rellenar el formulario de datos con el teclado, a partir del documento de identificación exhibido por el huésped. f. Fotografías de DNIs o Pasaportes durante el check-in online. El check-in online de Partee es una modalidad de pre-registro o pre-checkin, que pretende ofrecer un mejor servicio a los huéspedes y agilizar el proceso de registro, mediante la captura de modo anticipado de los datos personales de los huéspedes requerido por la normativa sobre registro de huéspedes. En el checkin online, los huéspedes acceden a un formulario web de Partee en el que podrán introducir sus datos personales y firmar cómodamente y en pocos segundos. En el formulario web Partee les muestra un enlace directo a la presente política de privacidad, así como una casilla de marcación para que el huésped la acepte. Si no la aceptan, Partee no almacenará ni comunicará ninguno de los datos introducidos por el huésped, serán simplemente descartados. Con el objeto de cumplir con la obligación expuesta en el apartado 3 del artículo 4 del RD 933/2021, la cual supone la base de legitimación para este tratamiento, y que establece que el establecimiento será «responsable de la exactitud de los datos que se hagan constar en ellos (se refiere a los partes de viajeros), de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios», los clientes de Partee pueden configurar los enlaces de check-in online de Partee para que Partee solicite al huésped que adjunte fotografías de su documento de identificación durante el check-in online. En estos casos, si los huéspedes no desean aportar fotografías de sus documentos de identificación, deberán solicitar al establecimiento, o bien un enlace de check-in online que no requiera adjuntar dichas fotografías, o indicar al establecimiento que prefieren que se le realice el check-in presencial a la llegada al establecimiento. En el caso en el que el huésped aporte dichas imágenes de sus documentos, Partee enviará las fotografías al correo electrónico del cliente de Partee que gestiona el alojamiento, para que pueda verificar la identidad de los huéspedes y la exactitud de los datos aportados, y, por si el cliente de Partee no recibe o elimina por error dichas imágenes recibidas por correo electrónico, Partee las almacena en sus servidores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 durante 5 días naturales como máximo, para que puedan ser consultadas por el establecimiento, y las eliminará SIEMPRE, transcurrido este plazo máximo. Si antes de los 5 días el cliente borra esos datos, o si el huésped manifiesta su deseo de eliminarlos, Partee los eliminará sin esperar al plazo de 5 días naturales”. QUINTO: Respecto al almacenamiento de las fotografías o fotocopias del documento de identidad, además de indicarse en la política de privacidad señalada en el párrafo anterior que la aplicación PARTEE archiva las mismas durante 5 días naturales, la entidad reclamada reconoce que las fotografías obtenidas por la aplicación PARTEE en el proceso de check in online se remiten por correo electrónico al establecimiento para comprobación de los datos, y que se conservan a los efectos previstos por la legislación fiscal durante un plazo de 3 años. Así se señala en el Informe sobre el “proceso del tratamiento de datos” aportado el 29 de diciembre de 2023 a esta Agencia, lo siguiente: “En el caso de realizar las fotografías del documento, están son remitidas por partee en el momento en que el huésped realiza su check in on line. Una vez se realiza la comprobación de datos, las fotografías son borradas no guardándose registro alguno de dichas fotografías parte de A.A.A..(…) El plazo de supresión de los datos necesarios para la administración y contabilidad son los previstos en la legislación fiscal respecto a la prescripción de responsabilidades. el caso de los datos utilizados para la realización de los partes de viajeros la legislación establece un plazo de 3 años de mantenimiento de los mismos.” SEXTO: Por lo que respecta al supuesto concreto planteado con la reclamación, respecto a la exigencia de aportación de fotografía/copia del documento de identidad al reclamante para formalizar su reserva, consta acreditado en el expediente lo siguiente: - En el momento de pre-check in online, el reclamante informó a la reclamada de que no deseaba escanear la fotografía de su DNI, y que se acogería a la posibilidad que constaba en el correo electrónico recibido de exhibir su DNI en el proceso de check presencial, lo que coincide con lo que señala la política de privacidad de la aplicación PARTEE en su apartado e). Este hecho no se niega por la reclamada y consta acreditado mediante la aportación del mensaje de e.booking.com que fue remitido por el mismo, y se ha aportado junto con la reclamación. - El día de inicio de la reserva, 25 de agosto de 2023, el reclamante se personó en el establecimiento para hacer el check in presencial, y se ofreció a exhibir su DNI para que la empleada anotase en la aplicación PARTEE los datos que fueran exigibles para cumplimentar los partes de entrada y salida de viajeros exigidos en la Orden reguladora del Ministerio del Interior que establece dicha obligación. Pero el establecimiento le requirió la entrega de su DNI al objeto de escanearla y cumplimentar los datos en la aplicación PARTEE, indicándole que era un requisito necesario para formalizar el registro. Ante la negativa del reclamante a entregar dicha copia o fotografía, solicitando cumplimentar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 parte en papel, el establecimiento le indica que no dispone de la posibilidad de cumplimentación en papel. Como alternativa el reclamante propone la anotación de sus datos y la comprobación de su veracidad mediante la exhibición de su DNI al personal, para que éste completase el chec in, lo que le fue también denegado por el alojamiento, que finalmente procedió a cancelar la reserva. Ello ha sido reconocido por la reclamada en el “Informe sobre el suceso” aportado el 29 de diciembre de 2012, que dispone lo siguiente: “El día 25 de agosto el cliente se presenta en la posada, a su entrada tras su bienvenida se le indica que debe realizar el check in. Que el proceso se realiza por medio de la aplicación, tal y como se le había notificado por la mensajería. El cliente dice que no va a utilizar la aplicación y que se los realicemos nosotros. Le indicamos que procederemos a realizar un escaneado del DNI, delante de él y a la vista para la captura de datos, hecho a lo cual se niega. Tras volver a explicarle el procedimiento y que en ningún momento guardaremos copia alguna de su DNI, advierte que no es necesario y que él sabe de lo que habla, enseñando una placa de forma que no sea posible la comprobación alguna. Se le pregunta si es policía y si se está identificando. El cliente no se identifica como policía, no muestra su placa de forma fehaciente ni se identifica con su número de agente. Ante este comportamiento sospechoso, determinamos no ceder y le indicamos que será necesario su identificación y la comprobación de los datos aportados. El cliente dice que tómenos nota en un papel que el nos enseña el DNI y que firmara el papel. Le volvemos a indicar que la comunicación se realiza por medios electrónicos y que no disponemos de parte de viajeros en papel. Ante la negativa insistente del cliente, le indicamos que de no realizar la comprobación de datos procederemos a anular su reserva y le comunicamos que como muestra de buena fe, le devolvemos el importe de su reserva, sin tener obligación alguna por nuestra parte”. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones al acuerdo de inicio Habiéndose iniciado el presente procedimiento por la presunta comisión de una infracción del artículo 5.1.
  9. c)del RGPD, que regula el Principio de minimización de datos personales, presuntamente cometida por la reclamada al imponer a reclamante el requisito de aportar una imagen o fotografía completa de su documento de identidad para poder realizar el registro o check in en su establecimiento hostelero (Posada el Azufral), que dispone de una recepción presencial y de la posibilidad de realizar check in online de los viajeros, la reclamada ha presentado alegaciones frente al acuerdo de inicio que han sido reproducidas íntegramente en el acuerdo de inicio. Una vez analizadas las alegaciones presentadas, cabe desestimar las mismas, por los motivos siguientes: 1. El tratamiento de los datos personales para el registro de la entrada y salida de viajeros está automatizado, se realiza a través de la aplicación PARTEE contratado con la entidad YNEEDS, YOUR INTELLIGENT IMAGING COMPANY S.L.U, teniendo que pasar el huésped por un proceso a través de una de las 4 opciones que se ponen a su disposición: A) Check-in online sin aportar el Documento de Identidad o pasaporte. B) Check-in online aportando el Documento de Identidad o pasaporte. C) Check-in presencial sin aportar el Documento de Identidad o pasaporte. D) Check-in presencial aportando el Documento de Identidad o pasaporte. Pues bien, acudiendo a la política de privacidad de PARTEE, que consta en el enlace que se adjunta en el correo remitido al reclamante para realizar el check in online, cuyo contenido ha sido diligenciado por esta instructora el 26 de julio de 2024, y se halla unido al presente expediente, se comprueba que es cierto que la aplicación PARTEE permite formalizar el proceso de registro del viajero sin necesidad de entregar/escanear la fotografía del documento de documento de identidad del viajero (huésped a cuyo nombre se realiza el check in), ofreciendo estas 4 opciones a cada cliente (el contratante del servicio, que suele ser el establecimiento o su titular, que en este caso es A.A.A.). Pero también consta en la política de privacidad que el cliente puede solicitar que se configure la aplicación para que requiera obligatoriamente dicha fotografía o copia, que es lo que sucedido en el supuesto presente. Así pues, dicha política de privacidad señala en su apartado: “Qué datos personales obtenemos de los huéspedes de nuestros clientes (…) e. Fotografías de DNIs o Pasaportes durante el check-in presencial. (…)En caso de que el huésped se niegue a que se le obtenga una imagen de su documento de identificación, el cliente de Partee deberá rellenar el formulario de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 datos con el teclado, a partir del documento de identificación exhibido por el huésped. f. Fotografías de DNIs o Pasaportes durante el check-in online. (…) Con el objeto de cumplir con la obligación expuesta en el apartado 3 del artículo 4 del RD 933/2021, la cual supone la base de legitimación para este tratamiento, y que establece que el establecimiento será «responsable de la exactitud de los datos que se hagan constar en ellos (se refiere a los partes de viajeros), de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios», los clientes de Partee pueden configurar los enlaces de check-in online de Partee para que Partee solicite al huésped que adjunte fotografías de su documento de identificación durante el check-in online. En estos casos, si los huéspedes no desean aportar fotografías de sus documentos de identificación, deberán solicitar al establecimiento, o bien un enlace de check-in online que no requiera adjuntar dichas fotografías, o indicar al establecimiento que prefieren que se le realice el check-in presencial a la llegada al establecimiento(…)” De lo expuesto en la política de privacidad se deduce que: (
  10. i)El proceso de check in online de PARTEE no exige aportar la fotografía por defecto, pero permite que cada cliente (establecimiento hostelero) configure los enlaces de check in online para que PARTEE solicite al huésped que adjunte estas fotografías, tal y como sucedió en el supuesto presente, en el que la reclamada aporta como Anexo I una captura de pantalla en la que se muestra la parte del formulario (punto 3) de Check-in de la aplicación PARTEE, utilizada para la gestión del proceso de reserva y registro de huéspedes, donde se solicita la foto del DNI del Cliente, si bien en la nota informativa que refiere “
  11. i)Su alojamiento requiere estas capturas para verificar los datos del Check-in online.” Este hecho se reconoce además en los informes presentados durante la fase de traslado del expediente. (
  12. i)En el proceso de check in presencial, donde es el personal del establecimiento quien cumplimenta los datos, la aplicación PARTEE permite que se exhiba el documento y que no sea necesario escanear la fotografía en la aplicación, pero es el establecimiento de la reclamada la que decide pedirla, de forma general a todos sus viajeros, según manifiesta en sus alegaciones, porque entiende que la aportación es necesaria para cumplir con sus obligaciones legales. Interpretación que es errónea por los motivos que ya se indicaron en el acuerdo de inicio, a los que nos referiremos posteriormente. En cualquier caso, cabe desestimar esta argumento porque pese a que la aplicación PARTEE hubiera permitido cumplimentar los partes de registro de viajeros sin solicitar las fotografías y cumplir con el Principio de minimización de datos personales, es la reclamada, como cliente, la que pide que se configure la aplicación para exigir la fotografía, y la que voluntariamente decide exigir la copia del documento, y no aceptar la posibilidad ofrecida por PARTEE y el viajero de que éste exhiba su documento en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 momento del check in presencial para que el personal compruebe y anote directamente los datos necesarios en esta aplicación. Es importante reseñar que en este supuesto, pese a que se ofrece la posibilidad de realizar un pre-check in online que es voluntario para el viajero, existe una recepción presencial del viajero en el establecimiento el día previsto para la reserva, en la que el personal de la posada recibe al viajero y le solicita la copia/fotografía del documento de identidad como requisito para poder alojarse en el establecimiento. Por tanto, aunque el viajero decida no realizar el check in online o no aportar la fotografía de su documento de identidad durante el mismo, ello no implica que disponga de libertad para no aportarlo, pues finalmente el establecimiento le va a requerir la misma en la recepción presencial como condición de alojamiento, no aceptando que el viajero le exhiba el documento al objeto de que el personal cumplimente y compruebe la exactitud de los datos, como consta en el presente expediente. 1. La reclamada insiste en que es necesario requerir la entrega de una copia del documento de identidad para formalizar la reserva del viajero, puesto que la precisa para cumplir con su obligación de comprobar la autenticidad de los datos personales que constan en el mismo, de acuerdo con lo previsto en el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). Al respecto de esta cuestión, cabe reproducir los argumentos contenidos en el acuerdo de inicio, que se comparten íntegramente, en los que se explica con detalle porqué la normativa que regula los libros-registros y partes de entrada de viajeros en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, no exige en ningún momento que se aporte una copia/fotografía del documento de identidad, ni que se informe de todos los datos que contiene dicho documento. Esta normativa está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). El artículo 24 de la LO 4/2015 dispone en su apartado primero lo siguiente: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje (…) quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Estas quedan fijadas actualmente por el mencionado RD 933/2021, al que hace referencia la reclamada, siendo el Anexo I. a), en su apartado 3 el que fija los datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 los viajeros cuya recogida es obligatorio incorporar a la llamada “Hoja-registro” que la entidad responsable del hotel debe trasladar a las Fuerzas y Cuerpos de Seguridad del Estado, cuando se trata de establecimientos hosteleros profesionales. En concreto, son legalmente necesarios los siguientes datos del viajero: “
  13. a)Nombre.
  14. b)Primer apellido.
  15. c)Segundo apellido.
  16. d)Sexo.
  17. e)Numero de documento de identidad.
  18. f)Número de soporte del documento.
  19. g)Tipo de documento (DNI, pasaporte, TIE).
  20. h)Nacionalidad.
  21. i)Fecha de nacimiento.
  22. j)Lugar de residencia habitual.– Dirección completa.– Localidad.– País.
  23. k)Teléfono fijo.
  24. l)Teléfono móvil.
  25. m)Correo electrónico.
  26. n)Número de viajeros.
  27. o)Relación de parentesco entre los viajeros (en el caso de que alguno sea menor de edad).” En consecuencia, de acuerdo con lo previsto en esta normativa, se deduce que no es obligatorio recoger, registrar ni comunicar a las autoridades competentes la imagen, fotocopia o fotografía completa del documento de identidad de cada viajero, sino únicamente de algunos datos contenidos en el mismo como: nombre y apellidos, el número de identificación, el número de soporte, el tipo de documento (DNI; pasaporte…etc.), la nacionalidad, y la fecha de nacimiento. Y es que hay que tener en cuenta que la fotografía o fotocopia del DNI del viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad contiene datos personales que exceden de los exigidos en esta normativa, tales como: la imagen o cara del viajero, el número de equipo, o los nombres de los progenitores del viajero, sobre los que no concurre una obligación legal de recogida, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían datos personales cuyo tratamiento no puede ampararse en la base de licitud del artículo 6.1.
  28. c)del RGPD, suponiendo un tratamiento excesivo que es contrario al principio de minimización de datos previsto en el artículo 5.1.
  29. c)del RGPD. 2. Se argumenta que la aplicación PARTEE no archiva la fotografía del documento, sino que realiza un volcado automático de datos que parten del escaneo del documento, y que se informa al viajero de que sus datos personales no son guardados ni serán utilizados para otros fines. Señala al respecto la reclamada: “En el momento en que los huéspedes, realizan una reserva, reciben una comunicación online (email) días antes de su llegada, para la realización del check-in online. Dicho check-in se realiza desde el dispositivo del Cliente. La aplicación permite el escaneo voluntario e inteligente del DNI, obteniendo de forma directa los datos necesarios, pudiendo prescindir de este proceso si el huésped cumplimenta los datos de manera manual. En el caso de que el Cliente opte por el método de facilitar su DNI para el escaneo inteligente de la información, la copia del documento nacional de identidad no se almacena en los servidores de la aplicación, sino que solo se utiliza de manera puntual para la extracción de información necesaria”. Este argumento no puede tampoco admitirse por varios motivos: - - De la política de privacidad de PARTEE puede deducirse que, efectivamente, la aplicación incorpora un escaneo inteligente de volcado de datos, habitualmente realizado utilizando un programa informático de reconocimiento óptico de caracteres (OCR) que identifica automáticamente los caracteres de un determinado alfabeto y los almacena en forma de datos, es decir, convierte la imagen en texto, y posibilita la cumplimentación de la “ficha del cliente” o “parte de entrada de viajeros”, que no requiere necesariamente que se guarde la imagen digital. Pero la utilización de estos escaneos inteligentes no es incompatible con el hecho de que además de tomar los datos y cumplimentarlos automáticamente en el formulario, se guardasen las imágenes escaneadas en la aplicación durante un tiempo determinado, pues es posible realizar diversos tipos de configuración que permiten este archivo. En el supuesto presente, no cabe duda alguna de que cuando el viajero aporta la fotografía durante el proceso de check in online, PARTEE sí guarda las imágenes por 5 días, y que, además, éstas se remiten por correo electrónico a la reclamada, puesto que así lo ha configurado expresamente la reclamada, que dice no suprimir ”los datos utilizados para la realización del parte de viajeros por un plazo de 3 años” entre los que se encuentra esta fotografía, para cumplir con los plazos fijados por la legislación fiscal. Ello se deduce de las siguientes evidencias que han sido constatadas en el hecho probado quinto de esta propuesta: En primer lugar, la propia reclamada reconoce que las fotografías obtenidas por la aplicación PARTEE -en el caso en el que el viajero opte por aportar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 fotografía durante el proceso de check in online- se remiten automáticamente por la aplicación PARTEE al establecimiento para comprobación de los datos. Así se señala en el Informe sobre el “proceso del tratamiento de datos” aportado el 29 de diciembre de 2023 a esta Agencia, lo siguiente: “En el caso de realizar las fotografías del documento, están son remitidas por partee en el momento en que el huésped realiza su check in on line. Una vez se realiza la comprobación de datos, las fotografías son borradas no guardándose registro alguno de dichas fotografías parte de A.A.A.. Este hecho fue informado al B.B.B., tal y como se manifiesta en el INFORME SOBRE EL SUCESO DE 25 DE AGOSTO presentado por A.A.A., a instancias de la AEPD. Es decir, el Huésped fue conocedor en todo momento de que no se guardaba copia de su DNI. Ello coincide con lo que señala la política de privacidad de PARTEE que ha sido diligenciada, de la que se deduce claramente que la fotografía se guarda en la aplicación por 5 días, remitiéndose al cliente por correo electrónico en el caso del check in online. Así, se hace constar lo siguiente: “f. Fotografías de DNIs o Pasaportes durante el check-in online.. (…) En el caso en el que el huésped aporte dichas imágenes de sus documentos, Partee enviará las fotografías al correo electrónico del cliente de Partee que gestiona el alojamiento, para que pueda verificar la identidad de los huéspedes y la exactitud de los datos aportados, y, por si el cliente de Partee no recibe o elimina por error dichas imágenes recibidas por correo electrónico, Partee las almacena en sus servidores durante 5 días naturales como máximo, para que puedan ser consultadas por el establecimiento, y las eliminará SIEMPRE, transcurrido este plazo máximo. Si antes de los 5 días el cliente borra esos datos, o si el huésped manifiesta su deseo de eliminarlos, Partee los eliminará sin esperar al plazo de 5 días naturales”. - Por lo que respecta al archivo de las fotografías cuando el check in es presencial, la política de privacidad de la aplicación PARTEE señala que la fotografía escaneada no se almacena, según el apartado “e. Fotografías de DNIs o Pasaportes durante el check-in presencial lo siguiente: nuestros clientes tienen la opción de usar la cámara de su dispositivo móvil, o un escáner de sobremesa o equipo multifunción, para obtener una imagen del documento de identificación del huésped y autocumplimentar el parte de manera automática, como contraposición a una introducción manual y lenta de datos. Partee no almacenará ni distribuirá las imágenes de estos documentos, simplemente las usará para extraer los datos personales de los huéspedes y cumplir con las obligaciones de registro establecidas en la normativa. Una vez cumplido este cometido, que dura apenas unos segundos, Partee eliminará estas imágenes automáticamente(…)” Ahora bien, ello no implica que no se guarden las imágenes, pues según PARTEE es el establecimiento el que puede usar la cámara de su dispositivo móvil o un escáner de sobremesa para obtener la imagen del documento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 le entrega el viajero, por lo que aunque pudiera ser cierto que la propia aplicación PARTEE no almacene la imagen, no puede descartarse que lo hagan los dispositivos que constan en el servidor de la reclamada. Lo que, además, sería lo más lógico a la vista de la línea argumentativa mantenida por la reclamada en el “informe sobre el proceso de datos” aportado al procedimiento, toda vez que insiste en que debe pedir esta copia/escanear la fotografía porque es un dato obligatorio para el registro de los partes de viajeros y que está obligado a conservarlos durante un plazo 3 años para cumplir con sus obligaciones de carácter fiscal. A mayor abundamiento, si ello fuera así, hay que decir que carecería de sentido almacenar las fotografías obtenidas durante el proceso de check in online y no hacerlo cuando el check in es presencial. Por su condición de responsable del tratamiento la reclamada debería ser consciente de que cuando el viajero realiza el proceso de check in online que requiere la aportación de fotografía, la aplicación PARTEE está archivando la fotografía y enviándosela al establecimiento por correo electrónico, lo que implica que las mismas pasen de estar en el dispositivo del cliente a estar en el servidor de la reclamada, que pasa a realizar operaciones de tratamiento sobre la fotografía del documento (archivo y conservación durante un plazo de 3 años según la misma expone en sus alegaciones). Y por otra parte, cuando el personal del establecimiento escanea la foto en la aplicación utilizando sus dispositivos, está a su vez utilizando dicha imagen o fotografía, por lo que está realizando operaciones de tratamiento de datos excesivos al escanearla, y al conservarla. Y es que lo que el Real Decreto 933/2021 le habilita a guardar y conservar durante 3 años no es la propia fotografía o imagen del documento completo, sino los datos concretos que se especifican en su Anexo I. a), en su apartado 3. Como puede apreciarse de lo expuesto anteriormente, las conclusiones obtenidas sobre los hechos analizados van más allá de la concreta actuación de la reclamada respecto del reclamante, y tienen que ver con el diseño del proceso de gestión de datos personales implantado por esta entidad con carácter general, diseño que supone una operación de tratamiento de datos personales según el concepto amplio de operaciones de tratamiento mantenido por el Tribunal de Justicia de la Unión Europea, y que, por tanto, debe realizarse teniendo en cuenta que es necesario una base de licitud para tratar todos los datos personales que solicita a sus viajeros a través de la aplicación PARTEE, que la reclamada pudo configurar sin necesidad de exigir la entrega de la fotografía del documento de identidad en el check in on line, pidiendo la exhibición del documento para cumplimentar los datos directamente en el momento del check in presencial, pero optó por pedirle a su proveedor expresamente que se exigiera dicha copia. Por tanto, la reclamada ha decidido voluntariamente configurar la aplicación para que requiera información excesiva, cuando tenía la posibilidad “técnica” de no hacerlo, y que ha decidido solicitar la fotografía del documento en la recepción presencial, cuando la normativa aplicable no le exigía obtener la imagen de dicho documento, que contiene datos sobre los que no existe deber de información, según el RD 933/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 Ello implica que en su práctica habitual está actuando de forma contraria al Principio de Minimización de datos personales cada vez que los viajeros acceden a aportar la fotografía. 1. Por último, respecto a la falta de información de la necesidad de aportar copia del documento de identidad previamente a realizar la reserva en la plataforma. La reclamada manifiesta que ha comprobado que configuró booking.com para que se muestre a los viajeros que es necesaria esta copia/fotografía para poder realizar la reserva antes de realizarla, acompañando los pantallazos y señalando que como medidas adicionales ha solicitado a booking.com que se informe de ello. No obstante, se ha de señalar que el objeto de este procedimiento es dilucidar si se ha producido un tratamiento excesivo de datos personales contrario al artículo 5.1.
  30. c)del RGPD al requerir y guardar la copia de dichos documentos, por lo que la información previa facilitada al viajero en el momento de realizar la reserva es irrelevante en este procedimiento, no habiéndose imputado la infracción del artículo 13 del RGPD referida a la información del tratamiento de datos personales, y no siendo competencia de esta autoridad el vigilar que se cumplen las condiciones de información relacionadas con la contratación de servicios de alojamiento. III Obligación incumplida. Tratamiento de datos excesivos El tratamiento de los datos personales de las personas que reservan alojamiento en los establecimientos hoteleros (denominados “viajeros”) debe estar presidido por los principios que relaciona el artículo 5 del RGPD. Cabe destacar, por su relación con el supuesto presente, los denominados “Principio de licitud y transparencia” y “Principio de minimización de datos” previstos en el apartado primero del mismo, letras
  31. a)y c), respectivamente, que disponen: “Artículo 5 Principios relativos al tratamiento 1.Los datos personales serán:
  32. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia» . (…)
  33. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  34. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  35. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  36. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  37. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  38. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  39. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  40. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el supuesto presente, una vez examinadas las alegaciones y documentación aportada por la reclamada en las fases de traslado de la reclamación y de alegaciones frente al acuerdo de inicio en el Fundamento de Derecho anterior cabe concluir que la parte reclamada no dispone de base de licitud para solicitar la entrega de una copia o fotografía del documento de identidad de los viajeros como condición de registro de los mismos (check in), lo que supone un tratamiento de datos personales excesivo, e innecesario contrario al Principio de Minimización de datos del artículo 5.1.
  41. c)del RGPD. Vistas las circunstancias concurrentes, en las que el establecimiento dispone de un previo proceso de check in online de carácter voluntario, pero dispone de recepción presencial en la que se exige al viajero entregar una fotografía o imagen de su documento de identidad como condición para poder alojarse en el mismo, se entiende que requerir al viajero la imagen o fotografía de estos documentos supone un tratamiento excesivo de datos personales, puesto que contienen datos personales que son inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento de que se trata (cumplimiento de las obligaciones legales vigentes en materia de registro de entrada y salida de viajeros). Toda vez que, como se ha dicho anteriormente, la fotografía o fotocopia del DNI del viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad contiene datos personales que exceden de los exigidos en esta normativa, tales como: la imagen o cara del viajero, el número de equipo, o los nombres de los progenitores del viajero, sobre los que no concurre una obligación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 legal de recogida, registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían datos personales cuyo tratamiento no puede ampararse en la base de licitud del artículo 6.1.
  42. c)del RGPD, suponiendo un tratamiento excesivo que es contrario al principio de minimización de datos previsto en el artículo 5.1.
  43. c)del RGPD. En consecuencia, de conformidad con las evidencias disponibles en el momento en que tiene lugar la apertura del procedimiento, y sin perjuicio de lo que resulte de la instrucción, los citados hechos podrían suponer una vulneración por la parte reclamada de lo dispuesto en el artículo 5.1.
  44. c)del RGPD, referido al Principio de Minimización de datos personales. IV Tipificación y calificación de la infracción Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
  45. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83.5, apartado
  46. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  47. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  48. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 V Propuesta de sanción La infracción del artículo 5.1.
  49. c)del RGPD, prevista en el artículo 83. 5º del RGPD, puede ser sancionada con multa de hasta 20 millones de euros, como máximo, al ser la responsable una persona física. Multa que deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  50. a)a
  51. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  52. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  53. b)la intencionalidad o negligencia en la infracción;
  54. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  55. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  56. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  57. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  58. g)las categorías de los datos de carácter personal afectados por la infracción;
  59. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  60. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  61. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  62. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 Por su parte, en relación con la letra
  63. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  64. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  65. a)El carácter continuado de la infracción.
  66. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  67. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  68. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  69. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  70. f)La afectación a los derechos de los menores
  71. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  72. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Teniendo en cuenta los criterios de graduación citados, y a la luz de los hechos enjuiciados, se considera que la cuantía de la multa que podría corresponder, sin perjuicio de lo que resulte de la instrucción del procedimiento , sería de 1.500 € (MIL QUINIENTOS EUROS). VI Medidas correctivas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  73. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a A.A.A. para que, en el plazo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adoptado las medidas siguientes: - Acredite que ha establecido las medidas técnicas y organizativas necesarias introduciendo los cambios en su proceso de gestión de reservas, que sean necesarias para evitar que sea necesaria la aportación de una fotografía o copia del documento de identidad del viajero en la aplicación PARTEE o cualquier otro sistema que se utilice para formalizar el proceso de check in on line y presencial. Acredite que ha impartido las instrucciones necesarias a su personal para que no exijan la aportación/escaneo de copias o fotografías de los documentos de identidad. - Acredite que ha procedido al borrado y eliminación de las fotografías de documentos de identidad que dice conservar durante 3 años para su aportación a las autoridades. Se hace constar que se deberá acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino también para demostrar su cumplimiento antes las autoridades de control e interesados. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 5.1.
  74. c)del RGPD, tipificada en el Artículo 83.5.
  75. a)del RGPD, con una multa de 1.500 € (MIL QUINIENTOS EUROS). SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  76. d)del RGPD, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 plazo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adoptado las medidas siguientes: - Acredite que ha establecido las medidas técnicas y organizativas necesarias introduciendo los cambios en su proceso de gestión de reservas, que sean necesarias para evitar que sea necesaria la aportación de una fotografía o copia del documento de identidad del viajero en la aplicación PARTEE o cualquier otro sistema que se utilice para formalizar el proceso de check in on line y presencial. Acredite que ha impartido las instrucciones necesarias a su personal para que no exijan la aportación/escaneo de copias o fotografías de los documentos de identidad. - Acredite que ha procedido al borrado y eliminación de las fotografías de documentos de identidad que dice conservar durante 3 años para su aportación a las autoridades. TERCERO: Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.200 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. CUARTO: En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 (...) INSTRUCTORA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 ANEXO Índice del expediente EXP202316537 22/10/2023 Reclamación de B.B.B. 13/11/2023 Ampliación de reclamación de B.B.B. 22/11/2023 Traslado reclamación a la POSADA EL AZUFRAL 29/12/2023 Respuesta solicitud de información de A.A.A. como responsable del tratamiento de datos de la POSADA EL AZUFRAL. 09/01/2024 Comunicación de admisión a trámite a B.B.B. 21/05/2024 Acuerdo de inicio de procedimiento sancionador frente a A.A.A. y su notificación. 31/05/2024 Comunicación de inicio de procedimiento a B.B.B. 10/06/2024 Alegaciones al Acuerdo de Inicio presentadas por A.A.A. >> SEGUNDO: En fecha 29 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1.200,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: La parte reclamada ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  77. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.200,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, la parte reclamada, en fecha 29 de octubre de 2024, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20% y renunciando a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del alto tribunal en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 1.500,00 euros. Tras haber procedido la parte reclamada al pronto pago, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 1.200,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202316537, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a A.A.A. para que en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a A.A.A.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contenciosoadministrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será plenamente ejecutiva a partir de la notificación de la misma. No obstante, conforme a lo previsto en el artículo 90.3
  78. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1331-15012025 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.