← España

PS-00083-2021

1/11  Expediente Nº: PS/00083/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 12/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se formula contra la agencia de viajes ENIGMA TRAVEL, si bien señala a B.B.B., por haber remitido un mensaje en WhatsApp a “distintos padres de una clase de alumnos que habían contratado un viaje”, enumerando a aquellos que no habían pagado una cuota al respecto. Aporta impresión de pantalla de teléfono móvil de su hija, parte derecha B.B.B., “hoy”, no se ve fecha alguna. El mensaje: “XXXXX “, número de teléfono ***TELÉFONO.1, “no tenemos constancia de que las siguientes personas hayan realizado el ingreso del pasado 6 de marzo por lo que tendrán que hacer el ingreso de XXX € antes del 22 de marzo o su plaza se cancelará”. Figura una relación de nombres y apellidos ordenados por nombre, en total once, uno de ellos en el primer apellido coincide con el del reclamante presuntamente, de su hija. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante se traslada la reclamación el 25/06/2020 a: ENIGMA TRAVEL AGENCIA DE VIAJES, con el resultado de ausente y se dejó aviso en buzón tras intento de entrega en dos días distintos. El intento es reiterado resultando los envíos devueltos por sobrante, al dejarse aviso y no acudir a retirar la carta A la persona referida en la reclamación, con el resultado de dos intentos de entrega el 6 y 8/07/2020, con ausente y se dejó aviso en buzón. Se intenta de nuevo el 11/09/2020 sin obtener resultado. TERCERO. Con fecha 3/11/2020, se admite a trámite la reclamación. CUARTO: Con fecha 04/12/2020, se efectúa una diligencia de inspección quedando copia en el expediente. Entre otras cuestiones, se comprueba respecto de la web ***URL.1: 1. Anexo 1. Política de privacidad de ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 2. Anexo de Información del dominio ***URL.1, en el que consta como titular C.C.C. (en lo sucesivo la reclamada) ligada en el informe extraído en Axesor al ejercicio de actividades como autónoma, ejercicio de actividades de agencia de viajes. Además, en la web, sección contacto, figura la línea de teléfono móvil emisora del mensaje WhatsApp que coincide con el ***TELÉFONO.1. 3. Anexo de Informe Axesor de C.C.C. y B.B.B.. 4. Anexo de resultado de la consulta de la url ***URL.1. 5. Anexo de captura de la web de contacto de ***URL.1. 6. Anexo de captura de las condiciones de venta de ***URL.1. 7. Anexo de captura de los Términos de uso de ***URL.1. QUINTO: Con fecha 4 y 12/12/2020, se remite escrito a la ENIGMA TRAVEL AGENCIA DE VIAJES y a C.C.C., y con fecha 18/01/2021, se recibe respuesta de esta última, manifestando según el informe de actuaciones previas: - La persona que explota comercialmente la agencia de viajes es ella. Aporta como CIF de la agencia, copia de su NIF. - El envío del mensaje de WhatsApp fue en el seno de la organización de un viaje de fin de curso solicitado por los clientes. El grupo de WhatsApp fue creado por uno de los clientes en el seno de su actividad doméstica. -El número de teléfono ***TELÉFONO.1 no es Administrador de ese grupo, sino un usuario más. Aporta captura de pantalla de los componentes de grupo de WhatsApp donde consta el usuario “***USUARIO.1” con la identificación de “B.B.B. En?gma” no siendo este usuario el administrador. Consta como administrador del grupo el usuario “***USUARIO.2”, el 20/08/2019. Se cuentan según el rotulo “31 participantes”. -En respuesta al consentimiento otorgado por los destinatarios del mensaje para la recepción del mismo, aporta contrato del viaje combinado. Figura la fecha, el alojamiento, precio y el programa de pagos en distintos meses a una cuenta titularidad de la reclamada. No consta consentimiento para la recepción de mensajes. -Respecto al mensaje enviado “se trata de un hecho puntual y no es la operativa habitual de la empresa realizar comunicaciones de este modo con los clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 -La causa que ha motivado la incidencia es utilizar el mismo canal de comunicación utilizado por los clientes. -Los propios usuarios escribían mensajes sobre el estado de sus pagos. Se aporta captura de pantalla de grupo de WhatsApp con nombre “ENIGMA TRAVEL XXXXX” consta el mensaje denunciado así como otros mensajes enviados por usuarios del grupo manifestando que han pagado. -Han nombrado un DPD. -“El mensaje denunciado ha estado visible durante un tiempo limitado y no ha supuesto una comunicación de datos que no fueran ya conocidos por los participantes.” Indica que se eliminó, adjunta anexo IV del que no se desprende la fecha de eliminación del mensaje, siendo un mensaje que se envía indicando que “No hace falta que vayáis indicando quien ha pagado. Iré pasando yo…conforme vayamos revisando los pagos”. SEXTO: Con fecha 21/05/2021 se acordó por la directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a C.C.C., (VIAJES ENIGMA TRAVEL) con NIF ***NIF.1, por la presunta infracción de los artículos 5.1.

  1. f)y 32 del RGPD, conforme señalan los artículos 83.5.
  2. a)y 83.4.
  3. a)del RGPD. A los efectos previstos en el art. 64.2
  4. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de apercibimiento. SÉPTIMO: Con fecha 4/06/2021, se reciben alegaciones de la reclamada, manifestando que se tenga en consideración el artículo 28.1 de la ley 40/ 2015 de 1/10 sobre la responsabilidad y el 89.1
  5. d)de la ley 39/2015. Finaliza indicando que no concurre voluntariedad en el acto, y no se ha producido un resultado especialmente lesivo, teniendo en cuenta que el grupo de WhatsApp no era controlado por la reclamada y el mensaje solo estuvo visible durante breve espacio de tiempo. OCTAVO: Con fecha 17/12/2021 se emite propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a C.C.C., con NIF ***NIF.1, por: -una infracción del artículo 5.1.
  6. f)del RGPD, RGPD. de conformidad con el artículo 83.5.
  7. a)del -una infracción del artículo 32 del RGPD, de conformidad con el artículo 83.4.
  8. a)del RGPD.” No se recibieron alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamada es titular de una actividad de agencia de viajes (marca comercial ENIGMA TRAVEL) y un grupo de alumnos había contratado un viaje de fin de curso, encargándose la reclamada de la organización, que contenía en el contrato un programa de pagos mensuales. En la búsqueda en la web de enigmatravel.es, figuraba como titular, la reclamada en el ejercicio de actividades, como autónoma, actividades de agencia de viajes. En su web, sección contacto, figura el ***TELÉFONO.1, que coincide con la línea de teléfono móvil emisora del mensaje WhatsApp. SEGUNDO: El reclamante, padre de una niña, aporta copia impresa de pantalla de teléfono móvil de su hija, en el que se ve: B.B.B., y un mensaje: “XXXXX “, asociado al número de teléfono ***TELÉFONO.1, en el que informa que hay personas que no hicieron el ingreso el pasado 6/03, acompañando de una relación de once, nombres y apellidos, uno de ellos el de su hija. Según impresión de pantalla de info del grupo del móvil que aportó la reclamada, el mensaje se envió el 9/03/2020. TERCERO: La reclamada manifestó: - El envío del mensaje de WhatsApp fue en el seno del viaje de fin de curso. - El grupo de WhatsApp, de 31 participantes fue creado por uno de los clientes el 20/08/2019, según impresión de pantalla del móvil, info del grupo, aportada por reclamada, en cuya relación consta la hija del reclamante. -El teléfono ***TELÉFONO.1, titularidad de la reclamada y que figura en su web como contacto, que envía el mensaje, no es Administrador de ese grupo, es un usuario más, según impresión de pantalla del móvil, info del grupo, aportada por reclamada. -El mensaje ha sido borrado. FUNDAMENTOS DE DERECHO I De acuerdo con y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Las consecuencias de los hechos denunciados se materializan en el envío a través del servicio de mensajería de WhatsApp, formado por, entre otros, un grupo de alumnos que efectúan un viaje fin de curso y se remitió un mensaje por una persona de la entidad organizadora del viaje a todo el grupo con información de nombres y apellidos de niños y niñas a los que les faltaba abonar cantidades del viaje, de los que no estaban al día de los pagos. El teléfono que figura usado para dicho mensaje es una línea relacionada con la reclamada, responsable del establecimiento de la agencia de viajes, figurando en el mensaje la línea y la persona que lo envía, que tenia acceso y era conocedora de los listados de pagos. El artículo 4.7 del RGPD define responsable del tratamiento como la persona física o jurídica que solo o junto con otros determine los fines y medios del tratamiento. Tratamiento que queda definido en el artículo 4.2 del RGPD como cualquier operación conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no. En este caso los datos de los alumnos que viajaban, que podían coincidir con los que formaban el grupo de WhatsApp, añadiéndose la información de pagos de cada niño, siendo la reclamada, la única que almacenaba y gestionada esos datos ligados a cada persona, y que fueron difundidos en el citado grupo, en el que según explica la reclamada, los participantes comentaban asuntos relacionados con el mismo. La reclamada, como responsable del tratamiento, persona física es la responsable de la presunta infracción cometida, como responsable de los datos de los niños que van a viajar, decidiendo el uso de los datos, dándolos a conocer a todo el grupo mediante una persona que figura como “B.B.B.” que tiene acceso a los datos de los pagos. III Se imputa a la reclamada (VIAJES ENIGMA TRAVEL) una infracción del artículo 5.1.
  9. f)del RGPD, que establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 El citado artículo señala que: “1. Los datos personales serán:
  10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Este artículo aparece conectado con el artículo 5, deber de confidencialidad, de LOPDGDD, que señala: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  11. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. Este deber de confidencialidad, como deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Para ello es indiferente que la reclamada sea el administrador del grupo o no, lo que es decisivo es que la reclamada contaba con los datos de los niños y niñas a los que organizaba el viaje y conocía los datos de los que no estaban al día en el programa de pagos previsto. Si bien el deber de confidencialidad no es absoluto, en este caso no existe consentimiento del reclamante ni se contempla en el contrato del viaje la difusión de la información de los impagos comunicada a todos los integrantes del grupo, y no parece necesario que en la relación contractual entre las partes se de noticia de este hecho a terceros. Además, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. En este caso, puede ser el empleado “B.B.B.” que se halla en el ámbito del responsable del tratamiento. Se deriva del RGPD la distinción entre responsable del tratamiento y empleado de este, por ejemplo al referirse al Delegado de Protección de Datos, en su considerando 97:”… Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento”, y las funciones de este en el artículo 39 del RGPD “
  12. a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Con ello, se quiere significar, que los empleados del responsable del tratamiento, al llevar a cabo tratamientos de datos de carácter personal en el desempeño de sus funciones por cuenta y en nombre del responsable, se hallan en el círculo del responsable del tratamiento, que es el que debe establecer directrices y difusión de la información de modo que se consiga una aplicación uniforme en su ámbito de la política de protección de datos de clientes. Se acredita la comisión de la infracción de la reclamada del artículo 5.1.
  13. f)del RGPD. IV El artículo 83.5
  14. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.”(…)” V Se imputa a la reclamada (VIAJES ENIGMA TRAVEL) una infracción del artículo 32 del RGPD, que establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  16. a)la seudonimización y el cifrado de datos personales;
  17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El Considerando 74 del RGPD indica: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” Se trata de un enfoque puro de determinación de medidas exclusivamente en función del riesgo, en el que no se predeterminan las medidas de seguridad concretas a aplicar. Conforme al RGPD, resulta obligatorio disponer de las medidas técnicas y organizativas establecidas para para proteger la integridad, autenticidad o confidencialidad de los datos personales tratados, a través de un diseño previo del propio tratamiento de datos, que considere realmente una aplicación efectiva de los principios de protección de datos. Además de disponer de las medidas, se deben ejecutar correctamente y no menos importante, verificar que se ha llevado a cabo el efectivo cumplimiento de esas medidas cuando se lleve a cabo ese tratamiento. En este caso, no se acredita por la reclamada dispusiera en el momento de la consumación de los hechos, de medias relacionadas con el tratamiento de datos que se llevó a cabo y atendiera a los riesgos de producción usuales en los grupos que comparten por el asunto información concreta de un viaje en este caso. Establecida una obligación legal, corresponde a la reclamada la carga de la prueba de acreditar que disponía de tales medidas tendentes a los fines referidos en dicho artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 En tal sentido, el hecho de participar en los diálogos de los mensajes en un grupo debería evitar la difusión de alusiones identificativas o identificables respecto al afectado en la que se contiene información que afecta a su derecho. Se acredita la infracción del citado artículo por la reclamada. La vulneración del artículo 32 del RGPD, se encuentra tipificada en el artículo 83.4.
  20. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” Por su parte, la LOPDGDD en su artículo 73.f), determina, a efectos de prescripción: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  22. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” V Sin perjuicio de lo establecido en su artículo 83, el RGPD contempla en su artículo 58.2 que “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  23. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” “
  24. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 El mensaje se produjo en el curso de una aplicación de mensajería, con mensajes previos intercambiados en el grupo sobre el viaje de fin de curso, del que formaba parte la reclamada como organizadora. La difusión del mensaje no ha trascendido del grupo en que se produjo, y no consta intencionalidad, motivo por el que procede el apercibimiento. Por lo tanto, de acuerdo con la legislación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un apercibimiento a C.C.C., (VIAJES ENIGMA TRAVEL) con NIF ***NIF.1, por una infracción del aartículo 32 del RGPD y artículo 5.1.
  25. f)del RGPD, tipificadas en los artículos 83.4
  26. a)y 83.5
  27. a)de la misma norma, y en la LOPDGDD, artículos 73.
  28. f)y 72.1.a), respectivamente-. SEGUNDO: NOTIFICAR la presente resolución a C.C.C.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13707, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  29. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-190122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.