PS-00138-2023

1/44  Expediente Nº: EXP202202064 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 30 de enero de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202202064 IMI Reference: A61VMN 369363- A60DD 513793 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de julio de 2021 interpuso reclamación ante la Data Protection Commission (en adelante, DPC), autoridad de protección de datos de Irlanda. La reclamación se dirige contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA con NIF A85850394 (en adelante, IBERIA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, junto con su marido, iban a realizar un vuelo desde Quito (Ecuador) hasta Dublín (Irlanda) con escala en Madrid el día 31 de mayo de 2021. En ese momento, debido a las restricciones de la COVID-19, no estaban permitidos los viajes por turismo y, para justificar que el viaje se realizaba por razones familiares, les dirigieron a las oficinas de IBERIA en el aeropuerto de Quito, donde le solicitaron una copia de su documento de identidad, del documento de identidad de su marido y del certificado de matrimonio con el objeto de enviarlo a la policía del aeropuerto de Madrid para que decidiesen si esa documentación era válida para realizar el viaje. Finalmente, les permitieron realizar el viaje pero les quedó la duda de si se habían comunicado con la policía del aeropuerto de Madrid o de para qué habían utilizado sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 datos. Desde entonces, la parte reclamante indica que ha solicitado información a IBERIA, sin haber recibido respuesta, sobre por qué y de qué manera fueron utilizados sus datos en 5 ocasiones (la última, el 4 de julio de 2021) a través de correos electrónicos enviados al delegado de protección de datos (en adelante, DPD) de IBERIA (OficinaDPO@iberia.

1. es)y al de su compañía matriz (iag.data.protection@iairgroup.com). Junto a la reclamación se aporta: - Correo electrónico de fecha 2 de junio de 2021 remitido por ***EMAIL.2 a ***EMAIL.1 (en adelante, email de la parte reclamante) con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A.., Thank you for your notification regarding flight ***VUELO.1 of ***FECHA.1. As Iberia employees, we strive at all times to help customers and offer solutions for all eventualities. However, it is clear from your comments that on this occasion there was a lack of professionalism on our part. We would ask you to treat this as an exceptional occurrence, and please be assured that we have referred the incident to the person concerned so that they may take the necessary measures to avoid this type of behaviour in the future. Regarding the payment for your extra bag, we want to inform you that baggage allowances are based on the fare paid for tickets, the cabin class in which the passenger is travelling and the degree of customer loyalty. Before buying a ticket, you should check the baggage allowance included. This will also be stated on the receipt we provide. Once a ticket has been purchased, we offer passengers the option of adding more items of baggage, either through the vouchers available on our website www.iberia.com or through payment of the excess directly at the airport. In this particular case, we have checked that the allowance allocated to you was correct and the process followed was therefore correct as well. We apologise for this incident, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Customer Relations” [Traducción no oficial: “Estimado A.A.A., Gracias por su notificación sobre el vuelo ***VUELO.1 del ***FECHA.1. Como empleados de Iberia, nos esforzamos en todo momento para ayudar a los clientes y ofrecer soluciones para todas las eventualidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 Sin embargo, de sus comentarios se desprende claramente que en esta ocasión hubo una falta de profesionalidad por nuestra parte. Le pedimos que trate esto como un hecho excepcional, y tenga la seguridad de que hemos remitido el incidente a la persona interesada para que pueda tomar las medidas necesarias para evitar este tipo de comportamiento en el futuro. En cuanto al pago de su equipaje extra, queremos informarle que las franquicias de equipaje se basan en la tarifa pagada por los billetes, la clase de cabina en la que viaja el pasajero y el grado de lealtad del cliente. Antes de comprar un billete, debe comprobar la franquicia de equipaje incluida. Esto también se indicará en el recibo que proporcionamos. Una vez adquirido un billete, ofrecemos a los pasajeros la opción de añadir más artículos de equipaje, ya sea a través de los vales disponibles en nuestra página web www.iberia.com o mediante el pago del exceso directamente en el aeropuerto. En este caso particular, hemos comprobado que la asignación asignada a usted era correcta y, por lo tanto, el proceso seguido también fue correcto. Nos disculpamos por este incidente, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Relaciones con el cliente”] - Correo electrónico de fecha 3 de junio de 2021 remitido por el correo ***EMAIL.1 a ***EMAIL.2, en respuesta al anterior, en el que se indica lo siguiente: “Hi there, Thank you for your reply. (…) As mentioned in my first communication, I would like to understand what the communication was between Iberia and The Madrid Airport Police. After we were turned away from check in and directed to the Ibera office to prove our marriage, The Ibera Quito team took our passports and marriage certificate to share with Madrid Airport police to see if they would let us fly back to Ireland. I want to know how our data was used, that this communication actually happened and what the output of this communication was. Can you please follow up internally to get this information and feed this back to us. Best Regards, A.A.A. ***TELEFONO.1” [Traducción no oficial: “Hola, Gracias por su respuesta. (…) Como mencioné en mi primera comunicación, me gustaría entender cuál fue la comunicación entre Iberia y la Policía del Aeropuerto de Madrid. Después de que nos rechazaran en el check-in y nos dirigieran a la oficina de Iberia para probar nuestro matrimonio, el equipo de Iberia Quito tomó nuestros pasaportes y certificado de matrimonio para compartirlos con la policía del aeropuerto de Madrid para ver si nos dejarían volar de regreso a Irlanda. Quiero saber cómo se utilizaron nuestros datos, que esta comunicación realmente sucedió y cuál fue el resultado de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 comunicación. Por favor, haga un seguimiento interno para obtener esta información e infórmenos. Saludos cordiales, A.A.A. ***TELEFONO.1””] - Correo electrónico de 7 de junio de 2021 remitido por ***EMAIL.2 hacia el email de la parte reclamante con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A.., Thank you for contacting us about the charge for your baggage on flight ***VUELO.1 on ***FECHA.1, from Quito to Madrid. We appreciate that you were inconvenienced by this. Airlines are entitled to establish their own policies regarding baggage allowances based on the fare paid for tickets, the cabin class in which the passenger is travelling and the degree of customer loyalty. In this particular case, we have checked that the allowance allocated to you was correct and the process followed was therefore correct as well. Even though your bag was cabin size, if it weights more than 10 Kgs, it will be treated and charged as a bag on hold. We apologise for this incident, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Customer Relations” [Traducción no oficial: Estimado A.A.A., Gracias por contactarnos sobre el cargo por su equipaje en el vuelo ***VUELO.1 del ***FECHA.1, de Quito a Madrid. Entendemos que te ha molestado esto. Las compañías aéreas tienen derecho a establecer sus propias políticas con respecto a las franquicias de equipaje basadas en la tarifa pagada por los billetes, la clase de cabina en la que viaja el pasajero y el grado de fidelidad del cliente. En este caso particular, hemos comprobado que la asignación asignada a usted era correcta y, por lo tanto, el proceso seguido también era correcto. A pesar de que su bolsa era del tamaño de la cabina, si pesa más de 10 Kgs, se tratará y se cargará como una bolsa en espera. Pedimos disculpas por este incidente, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Relaciones con los clientes” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 - Correo electrónico de 18 de junio de 2021 remitido por ***EMAIL.2 hacia el email de la parte reclamante con el siguiente encabezado: Y el siguiente contenido: “Thank you for contacting Iberia. We apologise for any inconvenience caused. We have received your complaint and our team will now analyse it and send you a reply within 7 business days. Iberia Customer Services” [Traducción no oficial: “Gracias por contactar con Iberia. Lamentamos cualquier inconveniente causado. Hemos recibido su reclamación y nuestro equipo la analizará y le enviará una respuesta dentro de los próximos 7 días laborales. Atención al Cliente de Iberia”] - Correo electrónico de fecha 20 de junio de 2021 remitido por ***EMAIL.2 hacia el email de la parte reclamante con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A.., We are writing in relation to flight ***VUELO.1 of ***FECHA.1. With regard to travel documentation, airlines are not subject to the requirements of the government authorities of each country, which in certain cases may require, in addition to identification documents, a hotel reservation, a return ticket or any other specific condition. To avoid situations where you may be prevented from travelling by the immigration department in the country of departure, transit or destination, it is important to ensure that you have the necessary documentation for your complete itinerary. We C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 must confirm at the airport of departure that the passengers have all the documents required by the authorities. Kind regards. Iberia Customer Services” [Traducción no oficial: “Estimado A.A.A., Le escribimos en relación a su vuelo ***VUELO.1 del ***FECHA.1. Con respecto a la documentación de viaje, las aerolíneas no están sujetas a los requisitos de las autoridades gubernamentales de cada país, que en ciertos casos pueden requerir, además de documentos de identificación, una reserva de hotel, un billete de regreso o cualquier otra condición específica. Para evitar situaciones en las que se le impida viajar por el departamento de inmigración en el país de partida, tránsito o destino, es importante asegurarse de que tiene la documentación necesaria para su itinerario completo. Debemos confirmar en el aeropuerto de salida que los pasajeros tienen todos los documentos requeridos por las autoridades. Saludos cordiales, Atención al Cliente de Iberia” - Impresión de correo electrónico fechado el 22 de junio de 2021 remitido desde el email de la parte reclamante hacia OficinaDPO@iberia.es con el asunto “Use of my Personal Data and Information by Iberia Airlines” [Traducción no oficial: “Uso de mis datos personales e información por Aerolíneas Iberia”] y el siguiente contenido: “Hi there, My husband and I were refused check-in on an Ibera flight from Quito to Madrid on May 31st of this year. The reason we were refused check-in was that my husband has a US passport and the check-in staff said Iberia couldn’t allow an American to travel to Europe for tourism. I let the check-in staff know that we were married and that we were traveling for family matters and to relocate to Ireland vs. being a tourist in Ireland. Iberia check-in staff then asked for proof of marriage. We showed them our New York state marriage certificate, but this was rejected on the spot as appropriate proof of marriage. We were asked to go to the Iberia Office in Quito Airport to continue the conversation and get approval for our flight. The Iberia staff member in the Quito airport back office took copies of my Irish passport, my husband's American passport and our New York state marriage certificate. We understood that Iberia staff in Quito were going to send copies of these to Madrid Airport Police to get approval for us to fly or stop us from flying. We ultimately were permitted to check in and to take our flight, but I want to understand what the communication was between Iberia in Ecuador and The Airport Police in Madrid. I want to understand how my data was used by Iberia and to what end. I want to understand what the communication was around the refusal to let us check-in. I want to see the feedback from Madrid Airport Police around our permission to travel. The Iberia Privacy Policy states 'We will be transparent about the information we are collecting and what we will do with it' I have not found this to be the case. I have requested this data four times through the Iberia customer complaint channel (...) and although I’ve received four responses, all were lacking specific details. I still don’t know why I had to share this information with Iberia, how my data was used and what was the outcome of this communication. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 I would appreciate it if you can provide this information to me. Best Regards, A.A.A.” “Hola, A mi esposo y a mi nos negaron el check-in en un vuelo de Iberia de Quito a Madrid el 31 de mayo de este año. La razón por la que nos rechazaron el check-in fue que mi esposo tiene un pasaporte estadounidense y el personal de check-in dijo que Iberia no podía permitir que un estadounidense viajara a Europa por turismo. Le hice saber al personal de check-in que estábamos casados y que estábamos viajando por asuntos familiares y para mudarnos a Irlanda vs. ser un turista en Irlanda. A continuación, el personal de registro de Iberia solicitó una prueba de matrimonio. Les mostramos nuestro certificado de matrimonio del estado de Nueva York, pero esto fue rechazado en el acto como prueba apropiada de matrimonio. Nos pidieron ir a la oficina de Iberia en el aeropuerto de Quito para continuar la conversación y obtener la aprobación de nuestro vuelo. El miembro del personal de Iberia en el back office del aeropuerto de Quito tomó copias de mi pasaporte irlandés, el pasaporte americano de mi esposo y nuestro certificado de matrimonio del estado de Nueva York. Entendimos que el personal de Iberia en Quito iba a enviar copias de estos a la Policía del Aeropuerto de Madrid para obtener la aprobación para volar o detenernos de volar. En última instancia, se nos permitió hacer el check-in y tomar nuestro vuelo, pero quiero entender cuál fue la comunicación entre Iberia en Ecuador y la Policía del Aeropuerto de Madrid. Quiero entender cómo mis datos fueron utilizados por Iberia y con qué fin. Quiero entender cuál fue la comunicación en torno a la negativa a dejarnos hacer el check-in. Quiero ver los comentarios de la Policía del Aeropuerto de Madrid sobre nuestro permiso para viajar. La Política de Privacidad de Iberia establece: «Seremos transparentes sobre la información que estamos recopilando y lo que haremos con ella», no me parece que este sea el caso. He solicitado estos datos cuatro veces a través del canal de reclamaciones de clientes de Iberia (...) y aunque he recibido cuatro respuestas, todas carecían de detalles específicos. Todavía no sé por qué tuve que compartir esta información con Iberia, cómo se utilizaron mis datos y cuál fue el resultado de esta comunicación. Le agradecería que me proporcionara esta información. Saludos cordiales, A.A.A.”] - Correo electrónico de fecha 23 de junio de 2021 remitido por ***EMAIL.2 hacia el email de la parte reclamante con el siguiente encabezado: Y el siguiente contenido: “Thank you for contacting Iberia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 We apologise for any inconvenience caused. We have received your complaint and our team will now analyse it and send you a reply within 7 business days. Iberia Customer Services” [Traducción no oficial: “Gracias por contactar con Iberia. Lamentamos cualquier inconveniente causado. Hemos recibido su reclamación y nuestro equipo la analizará y le enviará una respuesta dentro de los próximos 7 días laborales. Atención al Cliente de Iberia”] - Correo electrónico de fecha 24 de junio de 2021 remitido por ***EMAIL.2 hacia el email de la parte reclamante con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A., Thank you for sending us your comments again. However, please note that after reviewing your case, and given the circumstances of the incident, we must repeat the resolution we offered in our previous communication. We apologise once again, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Iberia Customer Services” [Traducción no oficial: Estimado A.A.A., Gracias por enviarnos sus comentarios de nuevo. Sin embargo, tenga en cuenta que después de revisar su caso, y dadas las circunstancias del incidente, debemos repetir la resolución que ofrecemos en nuestra comunicación anterior. Nos disculpamos una vez más, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Atención al Cliente de Iberia”] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada cuestión el día 17 de febrero de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día siguiente. El traslado de este asunto a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que IBERIA tiene su establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Irlanda, las autoridades de Bélgica, Noruega, Dinamarca, Francia, Portugal, Hungría, Austria, Finlandia y las autoridades alemanas de Renania-Palatinado, Baja Sajonia, Berlín y Baviera-Sector Privado. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en los territorios de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 10 de mayo de 2022, de conformidad con el entonces vigente artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 24 de octubre de 2022, se recibe en esta Agencia escrito de respuesta a requerimiento de información, presentado en nombre de IBERIA, con número de registro de entrada ***ENTRADA.1, en el que se aporta, entre otra, la siguiente información: 1. Indicación de que no se ha vulnerado la regulación sobre protección de datos personales. 2. Indicación de que “en ningún momento ha sido su voluntad no atender las peticiones efectuadas por parte de” la parte reclamante, “sino que se ha incurrido en un error a la hora de la interpretación de las mismas” ya que “IBERIA comprendió que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 las reclamaciones interpuestas no se fundamentaban concretamente en un derecho de acceso, sino que las mismas tenían como fundamento reclamar el pago efectuado en relación con la facturación del equipaje de mano” … “Además de lo anterior, se interpretó que el hecho de querer conocer por qué fue solicitada la documentación, no se fundamentaba precisamente en un ejercicio de derechos en relación con la normativa vigente en materia de protección de datos, sino un asunto exclusivo de atención al cliente”. 3. Indicación de que, respecto a los datos que facilitó la parte reclamante al personal de IBERIA en el aeropuerto de Quito, “los datos nunca fueron remitidos al CPS ni almacenados por dicho centro, procediéndose a la inmediata supresión de los mismos en los dispositivos empleados para efectuar las comprobaciones necesarias”, y que, en este sentido, IBERIA le ha enviado una contestación a la parte reclamante en fecha de 21 de octubre de 2022, y se aporta una impresión de este correo electrónico remitido por la OficinaDPO a la parte reclamante fechado el 21 de octubre de 2022 con el asunto “Use of my personal data and information by Iberia Airlines” [Traducción no oficial: “Uso de mis datos personales e información por Aerolíneas Iberia”] y el siguiente contenido: “Dear A.A.A., We hope this message finds you well. We are hereby writing in reply to your request for information, specifically, First of all we would like to acknowledge with you that indeed we received your past requests for information in this regard, but sadly, as they were received as customer complaints through our online webform for this type of cases, and not as data subject right exercise request –which can be made via a different available online webform too- we might have not been able to provide such a proper, complete and accurate answer as we should have. For this, we hereby humbly and deeply apologise with you for any discontent or inconvenience we might have caused you. Secondly, in the belief that you deserve a proper reply and assuming that you still might be interested in receiving the explanations you were asking us for, we kindly request that you let us inform you as follows: - You may recall that by May 2021, many travel restrictions to try to avoid the spread of SARS- CoV-2 were still in force and/or under constant evolution or change. These travel restrictions usually were related not only to the origin of a flight, but also to the nationality of the passenger/s. Your case involved, as you already said in your claims in the past, documentation originated in three different jurisdictions which is significantly far from the standard cases of documents review our handling personnel in Quito airport was used to. - For this reason, and following internal standard procedure for cases like this, they asked you to allow them take a picture of your travel documentation so that they might consult with Iberia’s internal Permanent Security Centre (“Centro Permanente de Seguridad” or “CPS”) and CPS could eventually review and confirm whether or not your documentation allowed you both to fly with Iberia to your final travel destination. In this regard, CPS works as a second level helpdesk for this type of issues. - Nevertheless, according to our handling personnel in Quito in your case consulting with CPS was finally NOT NECESSARY, because they were able to check and confirm locally with another member of their staff that you were both able to travel with the documents you showed. Therefore, there was no need to send your documentation to CPS for review. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 - Lastly, in accordance with Iberia internal standard procedures, once your case was reviewed and assessed, the pictures of your documents were DELETED from the devices they were taken with. I hope this information and explanations, late as they might have been submitted to you, may help you to resolve the queries you having be posing to us in your different claims. Anyhow, should you still have any further queries or doubts on this matter we kindly ask you to please transmit them to us directly by replying to this email or writing to oficinadpo@iberia.es, where we will do our best to provide any necessary explanation. Yours faithfully, Oficina de Protección de Datos Data Protection Office” [Traducción no oficial: “Estimado A.A.A. Esperamos que este mensaje le encuentre bien. Por la presente le escribimos en respuesta a su solicitud de información, específicamente, En primer lugar, nos gustaría reconocer con usted que, de hecho, hemos recibido sus solicitudes anteriores de información a este respecto, pero lamentablemente, ya que se recibieron como quejas de los clientes a través de nuestro formulario web en línea para este tipo de casos, y no como solicitud de ejercicio del derecho del interesado, que también se puede hacer a través de un formulario web en línea diferente, es posible que no hayamos podido proporcionar una respuesta adecuada, completa y precisa como deberíamos tener. Por esto, nos disculpamos humilde y profundamente con usted por cualquier descontento o inconveniente que podamos haberle causado. En segundo lugar, en la creencia de que merece una respuesta adecuada y suponiendo que todavía pueda estar interesado en recibir las explicaciones que nos estaba pidiendo, le rogamos que nos permita informarle de la siguiente manera: - Puede recordar que, en mayo de 2021, muchas restricciones de viaje para tratar de evitar la propagación del SARS- CoV-2 todavía estaban en vigor o en constante evolución o cambio. Estas restricciones de viaje generalmente estaban relacionadas no solo con el origen de un vuelo, sino también con la nacionalidad del/los pasajero/s. En su caso concreto, como ya dijo en sus reclamaciones en el pasado, la documentación se originó en tres jurisdicciones diferentes lo cual es significativamente diferente de los casos estándar de revisión de documentos a los que está acostumbrado nuestro personal en el aeropuerto de Quito. - Por esta razón, y siguiendo el procedimiento estándar interno para casos como este, le pidieron que les permitiera tomar una foto de su documentación de viaje para que pudieran consultar con el Centro Permanente de Seguridad (CPS) de Iberia y CPS podría en ese momento revisar y confirmar si su documentación le permitía a ambos volar con Iberia a su destino final. En este sentido, CPS funciona como un servicio de atención al usuario de segundo nivel para este tipo de problemas. - Sin embargo, según nuestro personal en Quito, en su caso, la consulta con CPS finalmente NO FUE NECESARIA, porque pudieron verificar y confirmar localmente con otro miembro de su personal que ambos podían viajar con los documentos que mostró. Por lo tanto, no había necesidad de enviar su documentación a CPS para su revisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 - Por último, de acuerdo con los procedimientos internos de Iberia, una vez revisado y evaluado su caso, las imágenes de sus documentos fueron extraídas de los dispositivos con los que fueron tomadas. Espero que esta información y explicaciones, aunque se le podrían haber enviado antes a usted, puedan ayudarle a resolver las consultas que nos está planteando en sus diferentes reclamaciones. De todos modos, en caso de que aún tenga alguna pregunta o duda sobre este asunto, le rogamos que nos las transmita directamente respondiendo a este correo electrónico o escribiendo a OficinaDPO@iberia.es, donde haremos todo lo posible para proporcionar cualquier explicación necesaria.” 4. Se realiza una búsqueda de la sociedad IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/) el día 22 de marzo de 2023, obteniendo que esta sociedad era una empresa de tipo “...” y, en el ejercicio 2020, tenía ***CANTIDAD.1 empleados y unas ventas de ***CANTIDAD.2. QUINTO: Con fecha 4 de mayo de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 8 de mayo de 2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la entonces vigente LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a IBERIA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 5 de mayo de 2023, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 7 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERIA a fin de imponerle una multa de 50.000 euros, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a IBERIA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 12 de septiembre de 2023, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 26 de septiembre de 2023, IBERIA presentó ante Agencia un fichero en formato .pdf con el nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 “DOC_1_CAC_GDPR_GUIA_PROCESO_PASAJE_ESTANDAR.pdf” y en el campo “Observaciones” del registro se completó: “DOC 1 GUIA BASICA GDPR SERV ATENCION AL CLIENTE”. Pero sin dar más explicaciones al respecto. OCTAVO: Con fecha 5 de octubre de 2023, el órgano instructor del procedimiento acordó otorgar nuevo plazo de alegaciones de cinco días hábiles, lo cual fue notificado a IBERIA el 6 de octubre de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 17 de octubre de 2023, se recibió en esta Agencia escrito de IBERIA en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: la cuantía fijada en relación con la infracción tasada no era proporcional y que la tipificación de la infracción en relación con los hechos acaecidos no es correcta. Junto a las alegaciones se aporta un fichero con “DOC_1_CAC_GDPR_GUIA_PROCESO_PASAJE_ESTANDAR.pdf.” el nombre DÉCIMO: Según diligencia realizada el 26 de enero de 2024, en la política de privacidad de IBERIA vigente del 25 de junio de 2020 al 5 de julio de 2021 ( https://www.iberia.com/es/informacion-sobre-privacidad/) se indicaba que: “A lo largo de la Política de Privacidad encontrará una serie de ejemplos específicos de por qué y cómo usamos sus datos personales. Si tiene cualquier duda, por favor póngase en contacto con nosotros escribiendo a nuestra Oficina de Protección de Datos por correo electrónico a OficinaDPO@iberia.es.” DÉCIMO PRIMERO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. HECHOS PROBADOS PRIMERO: El 2 de junio de 2021 la parte reclamante recibió un correo electrónico remitido por ***EMAIL.2 a ***EMAIL.1 con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A., Thank you for your notification regarding flight ***VUELO.1 of ***FECHA.1. As Iberia employees, we strive at all times to help customers and offer solutions for all eventualities. However, it is clear from your comments that on this occasion there was a lack of professionalism on our part. We would ask you to treat this as an exceptional occurrence, and please be assured that we have referred the incident to the person C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 concerned so that they may take the necessary measures to avoid this type of behaviour in the future. Regarding the payment for your extra bag, we want to inform you that baggage allowances are based on the fare paid for tickets, the cabin class in which the passenger is travelling and the degree of customer loyalty. Before buying a ticket, you should check the baggage allowance included. This will also be stated on the receipt we provide. Once a ticket has been purchased, we offer passengers the option of adding more items of baggage, either through the vouchers available on our website www.iberia.com or through payment of the excess directly at the airport. In this particular case, we have checked that the allowance allocated to you was correct and the process followed was therefore correct as well. We apologise for this incident, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Customer Relations” [Traducción no oficial: “Estimado A.A.A., Gracias por su notificación sobre el vuelo ***VUELO.1 del ***FECHA.1. Como empleados de Iberia, nos esforzamos en todo momento para ayudar a los clientes y ofrecer soluciones para todas las eventualidades. Sin embargo, de sus comentarios se desprende claramente que en esta ocasión hubo una falta de profesionalidad por nuestra parte. Le pedimos que trate esto como un hecho excepcional, y tenga la seguridad de que hemos remitido el incidente a la persona interesada para que pueda tomar las medidas necesarias para evitar este tipo de comportamiento en el futuro. En cuanto al pago de su equipaje extra, queremos informarle que las franquicias de equipaje se basan en la tarifa pagada por los billetes, la clase de cabina en la que viaja el pasajero y el grado de lealtad del cliente. Antes de comprar un billete, debe comprobar la franquicia de equipaje incluida. Esto también se indicará en el recibo que proporcionamos. Una vez adquirido un billete, ofrecemos a los pasajeros la opción de añadir más artículos de equipaje, ya sea a través de los vales disponibles en nuestra página web www.iberia.com o mediante el pago del exceso directamente en el aeropuerto. En este caso particular, hemos comprobado que la asignación asignada a usted era correcta y, por lo tanto, el proceso seguido también fue correcto. Nos disculpamos por este incidente, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Relaciones con el cliente”] SEGUNDO: El 3 de junio de 2021 la parte reclamante envió un correo electrónico desde ***EMAIL.1 a ***EMAIL.2, en respuesta al anterior, en el que se indica lo siguiente: “Hi there, Thank you for your reply. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 As mentioned in my first communication, I would like to understand what the communication was between Iberia and The Madrid Airport Police. After we were turned away from check in and directed to the Ibera office to prove our marriage, The Ibera Quito team took our passports and marriage certificate to share with Madrid Airport police to see if they would let us fly back to Ireland. I want to know how our data was used, that this communication actually happened and what the output of this communication was. Can you please follow up internally to get this information and feed this back to us. Best Regards, A.A.A. ***TELEFONO.1” [Traducción no oficial: “Hola, Gracias por su respuesta. (…) Como mencioné en mi primera comunicación, me gustaría entender cuál fue la comunicación entre Iberia y la Policía del Aeropuerto de Madrid. Después de que nos rechazaran en el check-in y nos dirigieran a la oficina de Iberia para probar nuestro matrimonio, el equipo de Iberia Quito tomó nuestros pasaportes y certificado de matrimonio para compartirlos con la policía del aeropuerto de Madrid para ver si nos dejarían volar de regreso a Irlanda. Quiero saber cómo se utilizaron nuestros datos, que esta comunicación realmente sucedió y cuál fue el resultado de esta comunicación. Por favor, haga un seguimiento interno para obtener esta información e infórmenos. Saludos cordiales, A.A.A. ***TELEFONO.1””] TERCERO: El 7 de junio de 2021 la parte reclamante recibe un correo electrónico remitido por ***EMAIL.2 con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A., Thank you for contacting us about the charge for your baggage on flight ***VUELO.1 on ***FECHA.1, from Quito to Madrid. We appreciate that you were inconvenienced by this. Airlines are entitled to establish their own policies regarding baggage allowances based on the fare paid for tickets, the cabin class in which the passenger is travelling and the degree of customer loyalty. In this particular case, we have checked that the allowance allocated to you was correct and the process followed was therefore correct as well. Even though your bag C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 was cabin size, if it weights more than 10 Kgs, it will be treated and charged as a bag on hold. We apologise for this incident, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Customer Relations” [Traducción no oficial: Estimado A.A.A., Gracias por contactarnos sobre el cargo por su equipaje en el vuelo ***VUELO.1 del ***FECHA.1, de Quito a Madrid. Entendemos que te ha molestado esto. Las compañías aéreas tienen derecho a establecer sus propias políticas con respecto a las franquicias de equipaje basadas en la tarifa pagada por los billetes, la clase de cabina en la que viaja el pasajero y el grado de fidelidad del cliente. En este caso particular, hemos comprobado que la asignación asignada a usted era correcta y, por lo tanto, el proceso seguido también era correcto. A pesar de que su bolsa era del tamaño de la cabina, si pesa más de 10 Kgs, se tratará y se cargará como una bolsa en espera. Pedimos disculpas por este incidente, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Relaciones con los clientes” CUARTO: El 18 de junio de 2021 la parte reclamante recibe un correo electrónico desde ***EMAIL.2 con el siguiente encabezado: Y el siguiente contenido: “Thank you for contacting Iberia. We apologise for any inconvenience caused. We have received your complaint and our team will now analyse it and send you a reply within 7 business days. Iberia Customer Services” [Traducción no oficial: “Gracias por contactar con Iberia. Lamentamos cualquier inconveniente causado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 Hemos recibido su reclamación y nuestro equipo la analizará y le enviará una respuesta dentro de los próximos 7 días laborales. Atención al Cliente de Iberia”] QUINTO: El 20 de junio de 2021 la parte reclamante recibió un correo electrónico desde ***EMAIL.2 con el siguiente encabezado: Y el siguiente contenido: “Dear A.A.A., We are writing in relation to flight ***VUELO.1 of ***FECHA.1. With regard to travel documentation, airlines are not subject to the requirements of the government authorities of each country, which in certain cases may require, in addition to identification documents, a hotel reservation, a return ticket or any other specific condition. To avoid situations where you may be prevented from travelling by the immigration department in the country of departure, transit or destination, it is important to ensure that you have the necessary documentation for your complete itinerary. We must confirm at the airport of departure that the passengers have all the documents required by the authorities. Kind regards. Iberia Customer Services” [Traducción no oficial: “Estimado A.A.A., Le escribimos en relación a su vuelo ***VUELO.1 del ***FECHA.1. Con respecto a la documentación de viaje, las aerolíneas no están sujetas a los requisitos de las autoridades gubernamentales de cada país, que en ciertos casos pueden requerir, además de documentos de identificación, una reserva de hotel, un billete de regreso o cualquier otra condición específica. Para evitar situaciones en las que se le impida viajar por el departamento de inmigración en el país de partida, tránsito o destino, es importante asegurarse de que tiene la documentación necesaria para su itinerario completo. Debemos confirmar en el aeropuerto de salida que los pasajeros tienen todos los documentos requeridos por las autoridades. Saludos cordiales, Atención al Cliente de Iberia” SEXTO: El 22 de junio de 2021 la parte reclamante envió un correo electrónico a OficinaDPO@iberia.es con el asunto “Use of my Personal Data and Information by Iberia Airlines” [Traducción no oficial: “Uso de mis datos personales e información por Aerolíneas Iberia”] y el siguiente contenido: “Hi there, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 My husband and I were refused check-in on an Ibera flight from Quito to Madrid on May 31st of this year. The reason we were refused check-in was that my husband has a US passport and the check-in staff said Iberia couldn’t allow an American to travel to Europe for tourism. I let the check-in staff know that we were married and that we were traveling for family matters and to relocate to Ireland vs. being a tourist in Ireland. Iberia check-in staff then asked for proof of marriage. We showed them our New York state marriage certificate, but this was rejected on the spot as appropriate proof of marriage. We were asked to go to the Iberia Office in Quito Airport to continue the conversation and get approval for our flight. The Iberia staff member in the Quito airport back office took copies of my Irish passport, my husband's American passport and our New York state marriage certificate. We understood that Iberia staff in Quito were going to send copies of these to Madrid Airport Police to get approval for us to fly or stop us from flying. We ultimately were permitted to check in and to take our flight, but I want to understand what the communication was between Iberia in Ecuador and The Airport Police in Madrid. I want to understand how my data was used by Iberia and to what end. I want to understand what the communication was around the refusal to let us check-in. I want to see the feedback from Madrid Airport Police around our permission to travel. The Iberia Privacy Policy states 'We will be transparent about the information we are collecting and what we will do with it' I have not found this to be the case. I have requested this data four times through the Iberia customer complaint channel (...) and although I’ve received four responses, all were lacking specific details. I still don’t know why I had to share this information with Iberia, how my data was used and what was the outcome of this communication. I would appreciate it if you can provide this information to me. Best Regards, A.A.A.” “Hola, A mi esposo y a mi nos negaron el check-in en un vuelo de Iberia de Quito a Madrid el 31 de mayo de este año. La razón por la que nos rechazaron el check-in fue que mi esposo tiene un pasaporte estadounidense y el personal de check-in dijo que Iberia no podía permitir que un estadounidense viajara a Europa por turismo. Le hice saber al personal de check-in que estábamos casados y que estábamos viajando por asuntos familiares y para mudarnos a Irlanda vs. ser un turista en Irlanda. A continuación, el personal de registro de Iberia solicitó una prueba de matrimonio. Les mostramos nuestro certificado de matrimonio del estado de Nueva York, pero esto fue rechazado en el acto como prueba apropiada de matrimonio. Nos pidieron ir a la oficina de Iberia en el aeropuerto de Quito para continuar la conversación y obtener la aprobación de nuestro vuelo. El miembro del personal de Iberia en el back office del aeropuerto de Quito tomó copias de mi pasaporte irlandés, el pasaporte americano de mi esposo y nuestro certificado de matrimonio del estado de Nueva York. Entendimos que el personal de Iberia en Quito iba a enviar copias de estos a la Policía del Aeropuerto de Madrid para obtener la aprobación para volar o detenernos de volar. En última instancia, se nos permitió hacer el check-in y tomar nuestro vuelo, pero quiero entender cuál fue la comunicación entre Iberia en Ecuador y la Policía del Aeropuerto de Madrid. Quiero entender cómo mis datos fueron utilizados por Iberia y con qué fin. Quiero entender cuál fue la comunicación en torno a la negativa a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 dejarnos hacer el check-in. Quiero ver los comentarios de la Policía del Aeropuerto de Madrid sobre nuestro permiso para viajar. La Política de Privacidad de Iberia establece: «Seremos transparentes sobre la información que estamos recopilando y lo que haremos con ella», no me parece que este sea el caso. He solicitado estos datos cuatro veces a través del canal de reclamaciones de clientes de Iberia (...) y aunque he recibido cuatro respuestas, todas carecían de detalles específicos. Todavía no sé por qué tuve que compartir esta información con Iberia, cómo se utilizaron mis datos y cuál fue el resultado de esta comunicación. Le agradecería que me proporcionara esta información. Saludos cordiales, A.A.A.”] SÉPTIMO: El 23 de junio de 2021 la parte reclamante recibe un correo electrónico desde ***EMAIL.2 con el siguiente encabezado: Y el siguiente contenido: “Thank you for contacting Iberia. We apologise for any inconvenience caused. We have received your complaint and our team will now analyse it and send you a reply within 7 business days. Iberia Customer Services” [Traducción no oficial: “Gracias por contactar con Iberia. Lamentamos cualquier inconveniente causado. Hemos recibido su reclamación y nuestro equipo la analizará y le enviará una respuesta dentro de los próximos 7 días laborales. Atención al Cliente de Iberia”] OCTAVO: El 24 de junio de 2021 la parte reclamante recibe un correo electrónico desde ***EMAIL.2 con el siguiente encabezado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 Y el siguiente contenido: “Dear A.A.A.., Thank you for sending us your comments again. However, please note that after reviewing your case, and given the circumstances of the incident, we must repeat the resolution we offered in our previous communication. We apologise once again, and we trust that you will have a satisfactory experience the next time you fly with us. Kind regards, Iberia Customer Services” [Traducción no oficial: Estimado A.A.A., Gracias por enviarnos sus comentarios de nuevo. Sin embargo, tenga en cuenta que después de revisar su caso, y dadas las circunstancias del incidente, debemos repetir la resolución que ofrecemos en nuestra comunicación anterior. Nos disculpamos una vez más, y confiamos en que tendrá una experiencia satisfactoria la próxima vez que vuele con nosotros. Saludos cordiales, Atención al Cliente de Iberia”] NOVENO: El 21 de octubre de 2022 la OficinaDPO de IBERIA envió un correo electrónico a la parte reclamante con el asunto “Use of my personal data and information by Iberia Airlines” [Traducción no oficial: “Uso de mis datos personales e información por Aerolíneas Iberia”] y el siguiente contenido: “Dear A.A.A., We hope this message finds you well. We are hereby writing in reply to your request for information, specifically, First of all we would like to acknowledge with you that indeed we received your past requests for information in this regard, but sadly, as they were received as customer complaints through our online webform for this type of cases, and not as data subject right exercise request –which can be made via a different available online webform too- we might have not been able to provide such a proper, complete and accurate answer as we should have. For this, we hereby humbly and deeply apologise with you for any discontent or inconvenience we might have caused you. Secondly, in the belief that you deserve a proper reply and assuming that you still might be interested in receiving the explanations you were asking us for, we kindly request that you let us inform you as follows: - You may recall that by May 2021, many travel restrictions to try to avoid the spread of SARS- CoV-2 were still in force and/or under constant evolution or change. These travel restrictions usually were related not only to the origin of a flight, but also to the nationality of the passenger/s. Your case involved, as you already said in your claims in the past, documentation originated in three different jurisdictions which is significantly C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 far from the standard cases of documents review our handling personnel in Quito airport was used to. - For this reason, and following internal standard procedure for cases like this, they asked you to allow them take a picture of your travel documentation so that they might consult with Iberia’s internal Permanent Security Centre (“Centro Permanente de Seguridad” or “CPS”) and CPS could eventually review and confirm whether or not your documentation allowed you both to fly with Iberia to your final travel destination. In this regard, CPS works as a second level helpdesk for this type of issues. - Nevertheless, according to our handling personnel in Quito in your case consulting with CPS was finally NOT NECESSARY, because they were able to check and confirm locally with another member of their staff that you were both able to travel with the documents you showed. Therefore, there was no need to send your documentation to CPS for review. - Lastly, in accordance with Iberia internal standard procedures, once your case was reviewed and assessed, the pictures of your documents were DELETED from the devices they were taken with. I hope this information and explanations, late as they might have been submitted to you, may help you to resolve the queries you having be posing to us in your different claims. Anyhow, should you still have any further queries or doubts on this matter we kindly ask you to please transmit them to us directly by replying to this email or writing to oficinadpo@iberia.es, where we will do our best to provide any necessary explanation. Yours faithfully, Oficina de Protección de Datos Data Protection Office” [Traducción no oficial: “Estimado A.A.A. Esperamos que este mensaje le encuentre bien. Por la presente le escribimos en respuesta a su solicitud de información, específicamente, En primer lugar, nos gustaría reconocer con usted que, de hecho, hemos recibido sus solicitudes anteriores de información a este respecto, pero lamentablemente, ya que se recibieron como quejas de los clientes a través de nuestro formulario web en línea para este tipo de casos, y no como solicitud de ejercicio del derecho del interesado, que también se puede hacer a través de un formulario web en línea diferente, es posible que no hayamos podido proporcionar una respuesta adecuada, completa y precisa como deberíamos tener. Por esto, nos disculpamos humilde y profundamente con usted por cualquier descontento o inconveniente que podamos haberle causado. En segundo lugar, en la creencia de que merece una respuesta adecuada y suponiendo que todavía pueda estar interesado en recibir las explicaciones que nos estaba pidiendo, le rogamos que nos permita informarle de la siguiente manera: - Puede recordar que, en mayo de 2021, muchas restricciones de viaje para tratar de evitar la propagación del SARS- CoV-2 todavía estaban en vigor o en constante evolución o cambio. Estas restricciones de viaje generalmente estaban relacionadas no solo con el origen de un vuelo, sino también con la nacionalidad del/los pasajero/s. En su caso concreto, como ya dijo en sus reclamaciones en el pasado, la documentación se originó en tres jurisdicciones diferentes lo cual es significativamente diferente de los casos estándar de revisión de documentos a los que está acostumbrado nuestro personal en el aeropuerto de Quito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44 - Por esta razón, y siguiendo el procedimiento estándar interno para casos como este, le pidieron que les permitiera tomar una foto de su documentación de viaje para que pudieran consultar con el Centro Permanente de Seguridad (CPS) de Iberia y CPS podría en ese momento revisar y confirmar si su documentación le permitía a ambos volar con Iberia a su destino final. En este sentido, CPS funciona como un servicio de atención al usuario de segundo nivel para este tipo de problemas. - Sin embargo, según nuestro personal en Quito, en su caso, la consulta con CPS finalmente NO FUE NECESARIA, porque pudieron verificar y confirmar localmente con otro miembro de su personal que ambos podían viajar con los documentos que mostró. Por lo tanto, no había necesidad de enviar su documentación a CPS para su revisión. - Por último, de acuerdo con los procedimientos internos de Iberia, una vez revisado y evaluado su caso, las imágenes de sus documentos fueron extraídas de los dispositivos con los que fueron tomadas. Espero que esta información y explicaciones, aunque se le podrían haber enviado antes a usted, puedan ayudarle a resolver las consultas que nos está planteando en sus diferentes reclamaciones. De todos modos, en caso de que aún tenga alguna pregunta o duda sobre este asunto, le rogamos que nos las transmita directamente respondiendo a este correo electrónico o escribiendo a OficinaDPO@iberia.es, donde haremos todo lo posible para proporcionar cualquier explicación necesaria.” DÉCIMO: IBERIA LÍNEAS AÉREAS DE ESPAÑA, SOCIEDAD ANÓNIMA OPERADORA es una empresa de tipo “...” y, en el ejercicio 2020, tenía ***CANTIDAD.1 empleados y unas ventas de ***CANTIDAD.2. DÉCIMO PRIMERO: En la política de privacidad de IBERIA vigente del 25 de junio de 2020 al 5 de julio de 2021 ( https://www.iberia.com/es/informacion-sobre-privacidad/) se indicaba que: “A lo largo de la Política de Privacidad encontrará una serie de ejemplos específicos de por qué y cómo usamos sus datos personales. Si tiene cualquier duda, por favor póngase en contacto con nosotros escribiendo a nuestra Oficina de Protección de Datos por correo electrónico a OficinaDPO@iberia.es.” FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IBERIA realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. IBERIA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que IBERIA está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, IBERIA tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 15 del RGPD regula el derecho de acceso de los interesados a sus datos personales. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por IBERIA: PRIMERA. – DE LA FALTA DE PROPORCIONALIDAD DE LA CUANTÍA FIJADA EN RELACIÓN CON LA INFRACCIÓN TASADA. En primer lugar, alega IBERIA que, en la fecha en la que tuvieron lugar los hechos denunciados, esto es, junio de 2021, existía una crisis mundial en relación con la pandemia causada por el SARS-CoV-2 (COVID-19), la cual causó devastadores efectos a todos los niveles, incluyendo entre otros, el sector del transporte aéreo de pasajeros sobre el que ejerce su actividad la Compañía. En segundo lugar, IBERIA alega que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44  Entre mayo de 2021 y octubre 2022, a través del canal online de reclamaciones de IBERIA (que pretende atender y resolver incidencias de viaje o de servicio – cancelaciones, retrasos, denegaciones de embarque, incidencias de equipaje, etc…- y no contestar solicitudes de ejercicio de derechos del RGPD), se han atendido más de 379.077 reclamaciones. En este punto, cabe resaltar que los clientes utilizan los formularios y direcciones de correo vinculadas a Atención al Cliente sin atender, en muchas ocasiones, a la posibilidad de efectuar determinadas peticiones a través de los mecanismos específicos habilitados para ello.  Entre mayo 2021 y octubre 2022 se han recibido y atendido correctamente, a través de formulario online específico habilitado para el ejercicio de los derechos reconocidos en los artículos 15 a 22 del RGPD, más de 14.696 solicitudes. A mayor abundamiento, resulta importante destacar que las peticiones efectuadas por los interesados en el año 2022 se han visto incrementadas en un 312%, con respecto del año anterior. En vista de lo expuesto, indica IBERIA que es palmario que ha existido un más que notorio incremento de las solicitudes en materia de protección de datos por parte de los clientes de IBERIA, que han sido atendidas en su práctica totalidad de manera satisfactoria para los interesados. Sin embargo, los volúmenes de solicitudes alcanzadas conllevan que resulte imposible no incurrir en error en alguna de las operaciones de gestión que se puedan efectuar en el desarrollo de su día a día. No obstante, y al objeto de que dichos equívocos puedan minimizarse al máximo, se incide en las siguientes cuestiones: 1. El personal de IBERIA tiene a su disposición, a través de la intranet de la Compañía, una formación sobre el procedimiento de ejercicio de derechos del RGPD a través del cual se ofrecen las indicaciones oportunas para su correcta atención. Este procedimiento se imparte en el momento en el que el empleado entra a formar parte de la plantilla y se refresca – junto con contenidos actualizados- con carácter bienal. Así las cosas, tales circunstancias se acreditan a través de las siguientes capturas de pantalla: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 2. Asimismo, se ha elaborado una guía ejecutiva para que el servicio de atención al cliente pueda tener acceso a la información relativa al ejercicio de derechos, haciendo hincapié en el debido traslado que se debe realizar a la Oficina del DPO, en el supuesto de que se lleven a cabo peticiones a través de dicho canal. Se aporta como DOCUMENTO NÚMERO 1 dicha guía. 3. Se hacen los mejores esfuerzos para alcanzar el mayor grado de transparencia posible, manteniendo debidamente documentada y actualizada la política de privacidad que se encuentra a disposición de todos nuestros usuarios y clientes. Así las cosas, desde la entrada en aplicación del RGPD en el año 2018, la Compañía ha puesto al día su política hasta en 7 ocasiones.: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44 Fuente: Captura de pantalla de la web de IBERIA www.iberia.com. Al respecto, esta Agencia desea señalar que no se niega los efectos causados por la pandemia originada por el SARS-CoV-2 (COVID-19), ni tampoco el alto número de reclamaciones que IBERIA ha atendido entre mayo 2021 y octubre 2022, ni que se hubieran adoptado medidas por parte de IBERIA. Sino que se trata de que el objeto del presente procedimiento es la posible infracción por parte de IBERIA del artículo 15 del RGPD por no haber atendido debidamente el ejercicio del derecho de la parte reclamante. Por lo que se desestima la presente alegación. Continúa alegando IBERIA que todo lo anterior pone de relieve, a juicio de IBERIA, el gran compromiso en la materia que han adquirido todas las áreas de la Compañía, pero desde luego no impide que determinadas acciones no se lleven conforme a los procedimientos establecidos, canales adecuadamente habilitados o, como es el caso, que no exista un error en la interpretación de las solicitudes efectuadas. Como ya se puso de manifiesto en el requerimiento de información llevado a cabo por esta Agencia, nunca ha sido pretensión de IBERIA no atender el derecho reconocido en el artículo 15 del RGPD, sino que existió un error en la forma de entender la petición efectuada en el sentido de que se consideraba que el usuario quería conocer por qué motivo se llevaban a cabo este tipo de actuaciones al realizar una escala en su trayecto. Alega IBERIA que, como muestra de las exigencias y mejores esfuerzos de la Compañía por lograr el mayor grado posible de confianza y satisfacción de sus clientes, se ha dado más de una respuesta a la parte reclamante cuando se ha dirigido a un buzón en el que se especifica “IBERIA No-Reply”, por lo que, de ningún modo, puede resultar oportuno concretar que la intención de IBERIA ha sido impedir u obstaculizar un ejercicio de derechos, sino que:
2. i)en primer lugar y a pesar de todo, se ha respondido a los emails remitidos a dicha dirección de buena fe; y
3. ii)desgraciadamente, ha existido una inadecuada interpretación de una solicitud, entre muchas miles, que ha dado lugar a una inadecuada gestión de la misma. Exégesis incorrecta que, tal y como ha quedado debidamente acreditado, se ha resuelto como consecuencia del traslado del requerimiento de información de la AEPD, pero sin que pueda concluirse, habida cuenta los datos expuestos ut supra, que la misma ha tenido como objeto el obstaculizar, no querer responder o imposibilitar ofrecer información solicitada al titular de los datos. MáxiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 me cuando no existía ningún tipo de impedimento para ello, puesto que tal y como se expuso a la parte reclamante, los datos nunca fueron remitidos a la Policía en España (como en apariencia la parte reclamante había interpretado al ocurrir los hechos), ni siquiera fueron finalmente enviados al Centro Permanente de Seguridad (CPS) de IBERIA en Madrid (helpdesk de segundo nivel para consultas en materia de documentación de viaje para las agencias de handling externas que prestan servicios a IBERIA fuera de España) al no ser necesario, ni fueron almacenados por dicho centro o por la agencia de la escala de origen donde se tomaron las fotos de la documentación, procediendo a la inmediata supresión de los mismos en los dispositivos en los que dichas fotos fueron tomadas, llevándose a cabo esta eliminación de acuerdo con el procedimiento de borrado de datos acompañado como Documento Número 2 de nuestro anterior escrito. Al respecto, esta Agencia desea señalar que no se ha considerado que IBERIA hubiera actuado con dolo al no atender debidamente el ejercicio del derecho de acceso de la parte reclamante, sino que se entiende que debió ser más diligente para evitar que se produjera un error como el del presente caso, cuya existencia la propia IBERIA ha reconocido. También cabe indicar que no se ha recibido en esta Agencia el citado Documento Número 2 que menciona el escrito de alegaciones. No obstante, no se cuestiona en el presente caso que IBERIA hubiera enviados los datos de la parte reclamante al CPS de IBERIA ni que se almacenaran los datos en dicho centro o en la escala de origen o que no se hubieran suprimido los datos, sino que de lo que se trata es de que no se proporcionó información a la parte reclamante sobre lo que había hecho IBERIA con sus datos. Ni más ni menos. Por lo que se desestima la presente alegación. A mayor abundamiento, IBERIA trae a colación lo establecido por el Comité Europeo de Protección de Datos (en adelante, el “CEPD”) en sus Directrices 01/2022 sobre derechos de los interesados, ya que ha puntualizado que todas aquellas solicitudes vinculadas al ejercicio del derecho de acceso que se lleven a cabo a través de direcciones aleatorias o incorrectas, o a cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado, no resultarán preceptivas de atención (se efectúa traducción): “54. Cabe señalar que el responsable del tratamiento no está obligado a dar curso a una solicitud enviada a una dirección electrónica (o postal) aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento, o a cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado que pueda ser utilizado por el interesado.” Al respecto, esta Agencia desea señalar el contenido entero del apartado citado por IBERIA (en inglés el original, traducción no oficial): “53. El CEPD anima a los responsables del tratamiento a proporcionar los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25 del RGPD, para que el interesado pueda presentar una solicitud efectiva. No obstante, si un interesado presenta una solicitud utilizando un canal de comunicación proporcionado por el responsable del tratamiento, que es diferente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 del indicado como preferible, dicha solicitud se considerará, en general, efectiva y el responsable del tratamiento deberá tramitar dicha solicitud en consecuencia (…). Los responsables del tratamiento deben realizar todos los esfuerzos razonables para garantizar que se facilita el ejercicio de los derechos de los interesados (por ejemplo, cuando un interesado envía una solicitud de acceso a un empleado que está de permiso, un mensaje automático que informe al interesado sobre un canal de comunicación alternativo para esta solicitud podría ser un esfuerzo razonable).” Como pie de página, se aclara que esto “puede incluir, por ejemplo, los datos de comunicación del responsable del tratamiento proporcionados en sus comunicaciones dirigidas directamente a los interesados o los datos de contacto proporcionados por el responsable del tratamiento públicamente, como en la política de privacidad del responsable del tratamiento u otros avisos legales obligatorios del responsable del tratamiento (por ejemplo, información de contacto del propietario o empresa en un sitio web)”. Continúan las citadas Directrices: “54. Cabe señalar que el responsable del tratamiento no está obligado a actuar sobre una solicitud enviada a una dirección de correo electrónico (o postal) aleatoria o incorrecta, no proporcionada directamente por el responsable del tratamiento, o a cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado, que puede ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico del empleado del responsable del tratamiento que pueda no participar en el tratamiento de las solicitudes relativas a los derechos de los interesados (por ejemplo, conductores, personal de limpieza, etc.). Dichas solicitudes no se considerarán eficaces si el responsable ha proporcionado claramente al interesado un canal de comunicación adecuado. Sin embargo, si el interesado envía una solicitud al empleado del responsable del tratamiento que se le ha asignado como su persona de contacto habitual (por ejemplo, una cuenta del manager personal en un banco o un consultor regular en un operador de telefonía móvil), dicho contacto no debe considerarse aleatorio y el responsable debe hacer todos los esfuerzos posibles para tramitar dicha solicitud para que pueda ser redirigida al punto de contacto y respondida dentro de los plazos establecidos por el RGPD. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan mecanismos adecuados para facilitar el ejercicio de los derechos de los interesados, incluidos los sistemas de autoresponder para informar de las ausencias del personal y de los contactos alternativos adecuados y, en la medida de lo posible, mecanismos para mejorar la comunicación interna entre los empleados sobre las solicitudes recibidas por aquellos que puedan no ser competentes para tramitar dichas solicitudes.” En el presente caso, la parte reclamante ha ejercitado su derecho de acceso a sus datos personales a través del servicio de atención al cliente de IBERIA en numerosas ocasiones en junio de 2021. De ninguna manera puede considerarse que ello es una dirección “aleatoria o incorrecta” para su petición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44 En este sentido, esta Agencia insiste en que comunicarse con el servicio de atención al cliente de una empresa es una dirección perfectamente válida para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los interesados. Y que es obligación de IBERIA el arbitrar los mecanismos internos necesarios para que las solicitudes de derechos sean debidamente atendidas o, al menos, reenviadas al equipo idóneo para dar debida respuesta. En este sentido, no resulta descabellado (ni impracticable ni un esfuerzo desproporcionado) que el responsable de tratamiento (IBERIA, en el presente caso) deba implementar los mecanismos internos necesarios para que, al menos en lo que respecta a su servicio de atención al cliente, en donde se espera recibir solicitudes de todo tipo (entre ellas, de ejercicios de derechos que el RGPD reconoce a los interesados), dichas solicitudes se resuelvan o se redirijan a la brevedad al equipo designado a tal efecto, a fin de que sean respondidas dentro del plazo previsto por el RGPD. En cualquier caso, esta Agencia considera que comunicarse con el servicio de atención al cliente de IBERIA no puede ser entendida como una dirección “aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento”, ni tampoco “cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado”, en los términos reseñados en las Directrices 01/2022 del Comité Europeo de Protección de Datos, sin perjuicio de que IBERIA hubiera previsto un medio de comunicación preferente distinto. Por tanto, en el presente caso, esta Agencia considera que, al comunicarse con el servicio de atención al cliente, la parte reclamante podía esperar razonablemente que su solicitud fuera atendida. En cualquier caso, el 22 de junio de 2021 la parte reclamante envió un correo electrónico a OficinaDPO@iberia.es, dirección que aparecía en la política de privacidad vigente en ese momento para este tipo de consultas, en el que indicaba que seguía sin saber por qué tuvo que compartir su información con Iberia, cómo se usaron sus datos y cuál fue el resultado de esa comunicación, pero de todos modos tampoco obtuvo respuesta a este correo por parte de IBERIA. Por tanto, por todo lo expuesto, esta Agencia desestima la presente alegación. Alega IBERIA que la AEPD debe valorar la totalidad de actuaciones seguidas por la compañía, al objeto de tipificar la supuesta infracción cometida, así como a la hora de cuantificar la sanción. Y todo ello porque, al igual que se ha pronunciado esta Agencia en reiteradas ocasiones, la contestación perpetrada, aunque sea extemporánea, no impide que el derecho se haya visto debidamente atendido. Además, debe tenerse en cuenta el “carácter excepcional del procedimiento sancionador, del que deriva que -siempre que sea posible deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente.” Al respecto, esta Agencia desea señalar que, sin su intervención una vez admitida a trámite la reclamación, el derecho de la parte reclamante no habría sido atendido. Por lo que se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44 Considera IBERIA que la AEPD no ha aplicado de forma adecuada los principios del procedimiento administrativo sancionador, en tanto en cuanto nos encontramos ante una sanción indiscutiblemente desproporcionada, a su juicio, alcanzándose tales conclusiones de los siguientes hechos: 1. No se puede hablar de que un gran número de personas se hayan visto afectadas por efectuar una contestación extemporánea ni tampoco se puede hablar de graves daños y/o perjuicios que haya sufrido la parte reclamante, habida cuenta que dicho derecho se ha visto satisfecho, así como tampoco constan acreditados los mismos. Al respecto, esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños y/o perjuicios de la parte reclamante para constatar la existencia de infracción, como en el presente caso. Y se insiste en que el derecho fue satisfecho únicamente después de haber intervenido esta Agencia, una vez admitida a trámite la reclamación. Por último, la naturaleza de la infracción, número de afectados, la existencia o no de daños y perjuicios, son todas cuestiones que se han tenido en cuenta y han sido debidamente motivadas a la hora de graduar la sanción a imponer a IBERIA. Por tanto, por todo lo expuesto, se desestima la presente alegación. 2. Asimismo, al parecer de IBERIA, en vista de los datos expuestos en relación con el número de reclamaciones interpuestas y ejercicios de derechos atendidos, el hecho de que la actividad empresarial de la Compañía requiera un tratamiento continuo de datos personales, debe ser valorado como un aspecto positivo y no negativo, ya que el número de reclamaciones interpuestas frente a esta autoridad de control en comparación con las más de 14.696 solicitudes que pueden recibirse a través del buzón del DPO, son mínimas. Al respecto, esta Agencia desea señalar que una gran empresa que realiza tratamientos de datos personales de sus clientes a gran escala, de manera sistemática y continua, debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal y como establece la jurisprudencia. En este sentido, la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Es decir, que precisamente por tratar continuamente datos personales se exige un mayor cuidado y una mayor diligencia, en este caso, a la hora de gestionar los ejercicios de derechos por parte de los interesados. Por tanto, se desestima la presente alegación. 3. Alega IBERIA que le resulta cuanto menos llamativo que la AEPD haya tenido en consideración como factor agravante “los beneficios financieros o las pérdidas evitadas, directa o indirectamente a través de la infracción”, cuando tal circunstancia ni es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44 cierta ni tampoco ha podido ser acreditada por parte de la Agencia, desconociéndose la motivación en la que se funda este organismo para alcanzar tal conclusión. Pues bien, tal y como ha recordado el Tribunal Supremo en Sentencia de 20 de septiembre de 2012: “la exigencia de motivación de los actos administrativos constituye una constante de nuestro ordenamiento jurídico y así lo proclama el artículo 54 de la LRJPA (antes, artículo 43 de la Ley de Procedimiento Administrativo de 17 de julio de 1958), teniendo por finalidad la de que el interesado conozca los motivos que conducen a la resolución de la Administración, con el fin, en su caso, de poder rebatirlos en la forma procedimental regulada al efecto. Motivación que, a su vez, es consecuencia de los principios de seguridad jurídica y de interdicción de la arbitrariedad enunciados por el apartado 3 del artículo 9 de la Constitución Española (CE) y que también, desde otra perspectiva, puede considerarse como una exigencia constitucional impuesta no sólo por el artículo 24.2 CE, sino también por el artículo 103 (principio de legalidad en la actuación administrativa). Por su parte, la Carta de los Derechos Fundamentales de la Unión Europea, proclamada por el Consejo Europeo de Niza de 8/10 de diciembre de 2000 incluye dentro de su artículo 41, dedicado al "Derecho a una buena Administración", entre otros particulares, "la obligación que incumbe a la Administración de motivar sus decisiones". Tal precepto se integra hoy en el Tratado de la Unión Europea (Tratado de Lisboa), de 13 de diciembre de 2007, ratificado por Instrumento de 26 de diciembre de 2008, que en su artículo 6 señala que "La Unión reconoce los derechos, libertades y principios enunciados en la Carta de los Derechos Fundamentales de la Unión Europea de 7 de diciembre de 2000, tal como fue adaptada el 12 de diciembre de 2007 en Estrasburgo, la cual tendrá el mismo valor jurídico que los Tratados” Al respecto, esta Agencia desea recordar que el apartado
4. k)del artículo 83.2 del RGPD no refiere únicamente a los beneficios financieros obtenidos o las pérdidas evitadas a través de la infracción sino que se refiere a “Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso…”. Es decir, los beneficios financieros o las pérdidas evitadas es sólo un ejemplo, pero no limita el contenido de dicho apartado únicamente a esos factores. Al contrario. En este sentido es que esta Agencia ha considerado que debe tenerse en cuenta el tamaño de IBERIA, número de empleados y volumen de ventas a la hora de graduar la sanción a imponer. Por lo que se desestima la presente alegación. 4. Además de todo lo anterior, IBERIA considera que la Agencia con el ánimo de agravar el montante impuesto, ha valorado diferentes procedimientos sancionadores en los que dicha compañía incurrió en infracción. Así las cosas, IBERIA matiza las siguientes cuestiones: a. Resolución del PS/00060/2020 publicada en fecha 20 de julio de 2020 y en la que se determinó la comisión de una infracción del “artículo 37.1.f de la LOPD, tipificada como grave en el artículo 44.3.i de la LOPD”. A tal efecto, en virtud de lo establecido por el artículo 78 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”), dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 sanción se encuentra prescrita al haber trascurrido el período de tres años desde que se dictó. Al respecto, esta Agencia desea señalar que en el PS/00060/2020 se determinó la comisión, contrariamente a lo que afirma IBERIA, de una infracción del artículo 58.2 del RGPD, tipificada en el art. 83.5
5. e)del RGPD. En cuanto a la prescripción de las sanciones a que hace referencia IBERIA, el artículo 78 de la LOPDGDD refiere a la posibilidad de que dichas sanciones puedan ser ejecutadas y no tiene relación alguna con la posibilidad que contempla el apartado
6. e)del artículo 83.2 del RGPD: “
7. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento” a la hora de graduar la posible sanción a imponer ante una infracción. Por lo que se desestima la presente alegación. b. Resolución del PS/00402/2019 publicada en fecha 3 de febrero de 2020 y donde se imputó una infracción del artículo 6.1 del RGPD -Licitud del Tratamiento-, tipificada en el Artículo 83.5 del RGPD, considerándose la misma prescrita al haber transcurrido tres años desde que se dictó. Al respecto, esta Agencia se reitera en lo expuesto en la alegación anterior, por lo que se desestima la presente alegación. c. Resolución del PS/00127/2020. Si bien es cierto que esta última data de abril de 2021, debe tenerse en cuenta que la misma analizaba la infracción de lo dispuesto en el artículo 13 del RGPD - Información que deberá facilitarse cuando os datos personales se obtengan del interesado-, razón por la cual no debe ser tenida en cuenta en el presente procedimiento habida cuenta la falta de similitud y coherencia con lo analizado en el presente supuesto de hecho. Y es que en palabras del CEPD “A pesar de que todas las infracciones anteriores pueden proporcionar una indicación de la actitud general del responsable o del encargado del tratamiento con respecto al cumplimiento del RGPD, las infracciones del mismo objeto deben recibir mayor importancia, ya que están más cerca de la infracción actualmente investigada, en especial cuando el responsable o el encargado del tratamiento cometieron previamente la misma infracción (infracciones repetidas). Por lo tanto, las mismas infracciones de la materia deben considerarse más relevantes que las infracciones anteriores en relación con un tema diferente.” Al respecto, esta Agencia desea señalar que el artículo 83.2 del RGPD no indica que deba tratarse de infracciones de idéntica naturaleza u objeto, sino que hace una referencia amplia. De hecho, tampoco lo indica el propio CEPD, que simplemente se limita a decir que debe darse mayor importancia a aquellas infracciones del mismo objeto, pero no que no pueda tenerse en consideración el hecho de que han existido otras infracciones anteriores, aunque no sean de la misma naturaleza. Por lo que se desestima la presente alegación. Alega IBERIA que, a la luz de lo señalado anteriormente, se ha omitido por parte de la AEPD tener en consideración cualquier tipo de atenuante que pudiese aminorar el imC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/44 porte establecido por efectuar una comunicación extemporánea que, en ningún caso, ha sido resultado de una conducta dolosa, por lo que IBERIA concluye que el principio de proporcionalidad no ha sido observado de forma rigurosa. Así pues, en palabras del Tribunal Supremo, en su sentencia 6 de junio de 2007: “El principio de proporcionalidad, como señala la STS de 2 de junio de 2003, tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuridicidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia.” Alega IBERIA que, si bien es cierto que el riesgo cero es inexistente, debe valorarse de forma adecuada el volumen de tratamientos que puede efectuar una entidad como IBERIA a la hora de imponer una sanción como consecuencia de una equivocación a la hora de gestionar un ejercicio de derechos, máxime teniendo en cuenta las circunstancias que en ese momento abrumaban a la población mundial. Al respecto, esta Agencia se reitera en que se han motivado debidamente los factores a tener en cuenta a la hora de graduar la sanción que cabría imponer a IBERIA, tanto el número de afectados, naturaleza de la infracción, entre otros, por lo que se desestima la presente alegación. Por último, IBERIA hace hincapié en la referencia que se hace en el Fundamento de Derecho VI del Acuerdo, respecto de la imposición de medidas para ajustar la actuación de IBERIA a la normativa mencionada y que nada se dice o se motiva al respecto. Pues bien, quiere ponerse en conocimiento de esta autoridad de control las medidas adoptadas por la mercantil son las siguientes: 1) Reiteración de la importancia de atender los ejercicios de derechos efectuados por parte de los titulares de los datos, conforme a las exigencias de la normativa vigente en materia de protección de datos y los procesos instaurados en la Compañía. 2) Aminorar el tiempo de actualización de la formación, debiendo realizarse de forma anual y/o semestral. Al respecto, esta Agencia desea señalar que se estima la presente alegación y no se propondrá la adopción de medidas adicionales por parte de IBERIA. SEGUNDA. - DE LA TIPIFICACIÓN DE LA INFRACCIÓN EN RELACIÓN CON LOS HECHOS ACAECIDOS. Alega IBERIA que, bajo la observancia de los criterios descritos por el CEPD en sus Directrices 01/2022 la supuesta infracción tendría que enmarcarse dentro del marco jurídico establecido por el artículo 74.
8. c)de la LOPDGDD. Al respecto, esta Agencia desea señalar que le resulta sorprendente que IBERIA invoque las Directrices 01/2022 sobre el derecho de acceso de los interesados, en las que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/44 de ninguna manera se hace referencia alguna a lo establecido por el artículo 74 de la LOPDGDD. Las infracciones fijadas en los artículos 72, 73 y 74 del LOPDGDD lo son sólo a los efectos de la prescripción, tal y como reza el inicio de todos y cada uno de estos preceptos. Esta necesidad surgió en nuestro Estado dado que no existe en el RGPD referencia alguna a la prescripción relativa a las infracciones, ya que este instituto jurídico no es propio de todos los Estados miembros de la UE. Así queda patente y en cuanto a la prescripción en la propia exposición de motivos de la LOPDGDD cuando expresa que “La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea. La ley orgánica regula los supuestos de interrupción de la prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona”. Resulta de la aplicación e interpretación del RGPD, y no de la LOPDGDD, el que determina la gravedad de una infracción atendiendo a una serie de condicionantes previstos en el mismo. Como se puede comprobar, no está presente en el RGPD una tipificación en infracciones muy graves, graves o leves típica del ordenamiento jurídico español, ni tampoco puede deducirse de su dicción que la vulneración de los preceptos del artículo 83.4 del RGPD correspondan a infracciones leves y los preceptos del artículo 83.5 o del artículo 83.6 del RGPD correspondan a infracciones graves. Así, el considerando 148 habla de infracciones graves en contraposición con las leves cuando determina que “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.”. Por todo ello, la gravedad de una infracción se determina a los efectos del RGPD y con los elementos dotados por éste. En este sentido, debe traerse a colación el Dictamen del Consejo de Estado de 26 de octubre de 2017 relativo al Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Persona, que lo explica con verdadera profusión: “Por otra parte, el Reglamento Europeo no distingue, al fijar la cuantía de las sanciones, entre infracciones muy graves, graves y leves, como dice la exposición de motivos del Anteproyecto. En realidad, la norma europea se limita a distinguir, en función del límite cuantitativo máximo de la multa a imponer, entre unas infracciones que pueden ser sancionadas "con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior" (apartado 4 del artículo 83), y otras infracciones que pueden ser sancionadas "con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/44 negocio total anual global del ejercicio financiero anterior" (apartados 5 y 6 del artículo 83). De esta distinción se colige que, para el Derecho de la Unión Europea, las infracciones tipificadas en los apartados 5 y 6 del artículo 83 pueden llegar a revestir una misma y mayor gravedad que las contempladas en el apartado 4 del mismo artículo 83 del Reglamento Europeo. La norma europea se limita pues a establecer dos categorías de infracciones en razón de su gravedad. El Anteproyecto contempla, en cambio, tres categorías de infracciones: el artículo 73 del Anteproyecto considera infracciones "muy graves" la "vulneración sustancial" de los preceptos mencionados en los apartados 5 y 6 del artículo 83 del Reglamento Europeo; el artículo 74 del Anteproyecto considera infracciones "graves" la "vulneración sustancial" de los preceptos mencionados en el apartado 4 del artículo 83 del Reglamento Europeo; y el artículo 75 considera infracciones "leves" las restantes "infracciones de carácter meramente formal" de los preceptos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento Europeo. La tripartición realizada por el Anteproyecto resulta de la distinción entre "vulneraciones sustanciales" e "infracciones meramente formales" de los preceptos mencionados en el apartado 4, 5 y 6 del artículo 83 del Reglamento Europeo: si se trata de vulneraciones sustanciales, serán consideradas infracciones "muy graves", cuando los preceptos vulnerados sean los mencionados en los apartados 5 y 6, o "graves", cuando los preceptos vulnerados sean los mencionados en el apartado 4, mientras que si se trata de infracciones meramente formales de tales preceptos, serán consideradas en todo caso como "leves". Esta distinción entre "vulneraciones sustanciales" e "infracciones meramente formales" y la consiguiente inclusión de una tercera categoría de "infracciones leves", distinta de las infracciones graves y muy graves, se ha realizado -como resulta del expediente y del propio tenor del Anteproyecto- a los solos efectos del establecimiento de los plazos de prescripción de las infracciones y no de la determinación de la cuantía de las multas administrativas, lo que exige, para su mejor comprensión, algunas aclaraciones adicionales. Los plazos de prescripción de las infracciones no se encuentran previstos en el Reglamento Europeo y, por tanto, existe el entendimiento, tácito pero pacífico, de que los Estados miembros ostenta competencia para el establecimiento de tales plazos. La determinación de tales plazos debe estar en función, como es bien conocido, de la gravedad de la infracción. Pues bien, las infracciones previstas apartado 4 del artículo 83, de una parte, y en los apartados 5 y 6 del artículo 83 del Reglamento Europeo, de otra, tienen un diferente límite máximo -10.00.000 euros o el 2% del volumen de negocio en el primer caso, 20.000.000 euros o el 4% del volumen de negocio en el segundo- pero el mismo límite mínimo, que en ambos casos es de 1 euro. La existencia de tan amplios márgenes cuantitativos indica que las infracciones del artículo 83, sean las del apartado 4 sean las de los apartados 5 y 6, puede ser de muy diferente entidad y que, por tal razón, no pueden tener el mismo plazo de prescripción aquellas infracciones que, por su gravedad, se encuentren próximas al límite cuantitativo superior que aquellas otras que, por su levedad, estén más cerca del límite cuantitativo inferior. En tales circunstancias, la fijación de los plazos de prescripción no quedaría resuelta de forma satisfactoria aplicando a las infracciones de los preceptos mencionados en los apartados 5 y 6 del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/44 83 un plazo superior que a las infracciones de los preceptos mencionados en el apartado 4 del artículo 83, dado que las infracciones contempladas unos y otros preceptos, en caso de ser leves, exigirían un plazo de prescripción inferior. Desde este punto de vista y con el único objeto de establecer su plazo de prescripción, el Anteproyecto ha distinguido entre "infracciones meramente formales" y "vulneraciones sustanciales" de tales preceptos, considerando a las primeras como "infracciones leves" con un plazo de prescripción de un año y a las segundas como "infracciones graves" y "muy graves" con unos plazos de prescripción de dos y tres años respectivamente. A juicio del Consejo de Estado, esta clasificación de las infracciones, en la medida en que se realiza a los solo efectos de determinar unos plazos de prescripción de las infracciones no previstos en el Reglamento Europeo, no puede entenderse contraria a lo dispuesto en la norma europea. Esta clasificación no tiene, sin embargo, trascendencia en cuanto al importe de las multas. La determinación de la cuantía de las multas a imponer por la vulneración de los preceptos mencionados en los apartados 4, 5 y 6 del artículo 83 del Reglamento Europeo compete, de acuerdo con la norma europea, a las autoridades de control, de acuerdo con los criterios de graduación establecidos en el apartado 2 de este mismo precepto, entre los que se encuentra la "naturaleza" o "gravedad" de la infracción". Dentro de los límites cuantitativos establecidos por el Reglamento Europeo, las autoridades de control, atendiendo a la mayor o menor gravedad de la infracción, deben fijar el importe de las multas. Ciertamente, los márgenes con que cuentan las autoridades de control son amplísimos -de 1 euro a 10.000.000 euros por infracción de los preceptos mencionados en el apartado 4 del artículo 83 y de 1 euro a 20.000.000 euros por infracción de los preceptos mencionados en los apartados 5 y 6-, lo que confiere a tales autoridades un elevado grado de discrecionalidad, muy superior a los que suele ser habitual en países de nuestra tradición jurídica. Se trata, en todo caso, del modelo querido por el Reglamento Europeo, de ahí que la distinción entre infracciones leves, graves y muy graves contemplada en el Anteproyecto no pueda tener consecuencia en la determinación de la cuantía máxima de las infracciones leves, debiendo estarse en todo caso a la determinación de su importe que hagan las autoridades de control, conforme a las circunstancias del caso concreto, dentro de los límites marcados en aquel reglamento”. Por tanto, la clasificación de las infracciones a los efectos de la prescripción de la LOPDGDD no tiene virtualidad en cuanto a la determinación de la gravedad de la infracción a los efectos del RGPD ni respecto de la imposición de las multas correspondientes, en su caso. Por lo que se desestima la presente alegación. Alega IBERIA que, en virtud del ex artículo 74, dicha infracción al considerarse leve se encontraría prescrita puesto que, si se tiene en cuenta la fecha en la que la parte reclamante remitió su primer correo a IBERIA, esto es, el 31 de mayo de 2021, ha transcurrido más de un año desde la fecha de comisión de dicha infracción hasta la fecha de notificación del presente Acuerdo, esto es, septiembre de 2023. Al respecto, esta Agencia desea traer a colación la Sentencia de la Audiencia Nacional 3432/2009, de dieciocho de junio de dos mil nueve, en la que se indica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/44 “(…) siendo precisamente el hecho de no proporcionar la información solicitada lo que constituye el tipo infractor de artículo 44.3.
9. e)LOPD. Y ello porque la falta de contestación de las solicitudes de acceso del denunciante y su entrega a otra empresa, configura la obstaculización del derecho de acceso que a todo afectado reconoce el artículo 15 de la LOPD, y que el artículo 44.3
10. e)tipifica como infracción grave.” Es decir, que el hecho de no haber proporcionado acceso a la parte reclamante a los datos con que contaba IBERIA se trata de una obstaculización del derecho de acceso, tipificada en el apartado
11. k)del artículo 72.1 de la LOPDGDD. Razón por la que se desestima la presente alegación. Por último, indica IBERIA que, en el supuesto de que tampoco sea apreciada la prescripción de la infracción por parte de esta autoridad de control, procedería observar el apercibimiento como sanción, tal y como se ha hecho en otros procedimientos seguidos ante esta Agencia, por resultar este más adecuado de conformidad con lo establecido por el artículo 58.2 del RGPD. Al respecto, esta Agencia desea reiterar lo que el considerando 148 del RGPD indica sobre la posibilidad de imponer un apercibimiento: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.”. En el presente caso, esta Agencia ha evaluado y motivado todas las circunstancias agravantes o atenuantes a que hace referencia el citado considerando 148 del RPGD (que no son otras que las del artículo 83.2 del RGPD) y ha entendido que la infracción en cuestión no es leve a efectos del RGPD, por lo que ha considerado conforme a derecho imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima la presente alegación. IV Derecho de acceso del interesado El Artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
12. a)los fines del tratamiento;
13. b)las categorías de datos personales de que se trate;
14. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/44
15. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
16. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
17. f)el derecho a presentar una reclamación ante una autoridad de control;
18. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
19. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En el presente caso, la parte reclamante solicitó el acceso a sus datos personales relativos a la comunicación de sus datos entre Iberia y la Policía del Aeropuerto de Madrid, al menos, los días 3 y 22 de junio de 2021 mediante correo electrónico al servicio de atención al cliente de IBERIA y a la Oficina del DPO de IBERIA, sin obtener debida respuesta hasta el 21 de octubre de 2022, como consecuencia de la intervención de esta Agencia. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de propuesta de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a IBERIA, por vulneración del artículo 15 del RGPD. V Tipificación y calificación de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/44 (…)
20. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
21. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no atender debidamente el ejercicio del derecho de acceso de la parte reclamante, desde al menos el 3 de junio de 2021 al 21 de octubre de 2022. - Negligencia en la infracción: No se atendió debidamente el derecho de acceso pese a que se tuvo más de una ocasión para ello. En su correo electrónico de 2 de junio de 2021, IBERIA reconoce que ya había existido una reclamación previa de la parte reclamante, pero no se le da indicación alguna sobre las comunicaciones entre IBERIA y la Policía del Aeropuerto de Madrid. El 7 y el 18 de junio de 2021 la parte reclamante recibe sendos correos electrónicos en el que se acusa recibo de la reclamación presentada por la parte reclamante. Si bien el 20 de junio de 2021 IBERIA contesta a la parte reclamante, no se le proporciona debida respuesta sobre la información solicitada. El 22 de junio de 2021 la parte reclamante insiste en su solicitud y explica que ya había solicitado esos datos cuatro veces a través del canal de reclamaciones de clientes de IBERIA y que, si bien recibió cuatro respuestas, todas ellas carecían de detalles específicos, por lo que continuaba sin saber por qué tuvo que compartir sus datos con IBERIA, cómo se utilizaron esos datos y cuál fue el resultado de esa comunicación. El 24 de junio de 2021 IBERIA contesta a la parte reclamante que “debemos repetir la resolución que ofrecemos en nuestra comunicación anterior”, es decir, continuó sin dar debida respuesta a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/44 solicitud de la parte reclamante. Y únicamente se dio debida respuesta a la citada solicitud una vez IBERIA tuvo conocimiento de la reclamación a través de esta Agencia. Pese a haber tenido múltiples oportunidades para ello, IBERIA ha sido sumamente negligente a la hora de dar debida respuesta a la solicitud de acceso de datos personales de la parte reclamante, toda vez que fue necesario la intervención de esta Agencia, pese a que el interesado se puso en contacto con la empresa por diversos medios y en fechas distintas. - Toda infracción anterior cometida por el responsable o el encargado del tratamiento (apartado e): esta Agencia ha constatado infracción del RGPD por parte de IBERIA en los procedimientos sancionadores PS/00402/2019 (por no atención de una solicitud de ejercicio de derecho de supresión), PS/00060/2020 (por no atención de una solicitud de ejercicio de derecho de acceso) y PS/00127/2020 (por falta de transparencia de la información sobre el tratamiento de datos personales). - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (apartado k): IBERIA (…) cuenta con ***CANTIDAD.1 empleados y unas ventas de ***CANTIDAD.2. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): El desarrollo de la actividad empresarial que desempeña la entidad requiere un tratamiento continuo de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite proponer una sanción de 50.000 € (cincuenta mil euros). A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, con NIF A85850394, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 50.000,00 € (cincuenta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/44 supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000,00 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 R.R.R. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/44 ANEXO Índice del expediente EXP202202064 17/02/2022 Asistencia Mutua - Caso Transfronterizo de COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR 03/05/2022 01. IMI report 10/05/2022 Admisión a trámite 10/06/2022 Asistencia Mutua - Otras solicitudes de COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR 10/10/2022 Solic. info IBERIA a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA 24/10/2022 Respuesta requerimiento de IBERIA LINEAS AEREAS DE ESPAÑA SA OPERADORA SU 11/11/2022 Asistencia Mutua - Otras solicitudes de COMISION EUROPEA SISTEMAS DE INTERCAMBIO DE MERCADO INTERIOR 22/03/2023 Dili axesor IBERIA 22/03/2023 Inf. actuaciones prevs. 05/05/2023 Proy. Acuerdo de inicio a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA 03/07/2023 reporte A60DD 513793 07/09/2023 Acuerdo de inicio a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA 26/09/2023 Respuesta requerimiento de IBERIA LINEAS AEREAS DE ESPAÑA SA OPERADORA SU 05/10/2023 Escrito ampliacion alegaciones a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA 17/10/2023 Alegaciones de IBERIA LINEAS AEREAS DE ESPAÑA SA OPERADORA SU 26/01/2024 Diligencia política privacidad >> SEGUNDO: En fecha 8 de febrero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 40000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/44 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202202064, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/44 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
22. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es