PS-00207-2022

1/37  Procedimiento Nº: PS/00207/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra RCL CRUISES LTD con NIF GB102833940 (en adelante, RCL CRUISES). Los motivos en que basa la reclamación son los siguientes: - La parte reclamante, que se había puesto en contacto con RCL CRUISES por e-mail para solicitar información general sobre un crucero, recibió días más tarde por error un correo electrónico automático que incluía un documento con una oferta de crucero dirigida a una persona desconocida, conteniendo datos personales de esa persona, su acompañante, y detalles del crucero objeto de la oferta. Les contestó al correo diciendo que no tenía nada que ver con ello y finalmente la oferta fue anulada, pero no le dieron ningún tipo de explicación. - La parte reclamante cuestiona las medidas de seguridad adoptadas por el responsable para salvaguardar la confidencialidad de los datos personales que custodia, sobre todo, teniendo en cuenta la relevancia de la empresa en el sector a nivel mundial. Junto a la reclamación se aporta: - Captura de correo electrónico enviado por la parte reclamante a la dirección infocliente.es@rccl.com, en fecha 12/08/2019, con el asunto “Visita del barco Oasis of the Seas en su escala en Palma el 2 sep” y el siguiente texto: “Buenas tardes, El barco Oasis of the Seas hará escala en Palma de Mallorca el próximo día 2 de septiembre y tengo entendido que a veces se hacen visitas guiadas para conocer el barco. Somos un grupo de varias personas y nos gustaría saber si esto es posible. Gracias A.A.A. Crown&Anchor Platinum: (...)” - Captura de correo electrónico enviado a la parte reclamante desde la dirección infocliente.es@rccl.com, en fecha 20/08/2019, con el asunto “Re: [EXTERNAL] Visita del barco Oasis of the Seas en su escala en Palma el 2 sep” y el siguiente texto: “Apreciado señor, Gracias por contactar con nocotros (sic). Lamentablemente no es un asunto que lo podemos gestionar desde nuestro departamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/37 Nuestra recomendación es de ponerse en contacto con una agencia y solicitar más información sobre este tipo de visitas. Los agentes tendrían que pedir apoyo a nuestros comerciales de la zona. Atentamente, B.B.B. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes - Captura de correo electrónico enviado a la parte reclamante desde la dirección documentation@rccl.com, en fecha 23 de agosto de 2019, con el asunto “Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. – EC 02 Aug 2020” y el siguiente texto: “Apreciado cliente, Le adjuntamos los documentos de crucero solicitados. Para visualizar e imprimir los documentos adjuntos, necesitará tener instalado Adobe Acrobat Reader. Podrá obtener descarga gratuita del programa en el siguiente enlace: www.adobe.es/cgi/acrobat/reader21/download.cgi Este mensaje se envía de forma automática. Por favor no responda al mismo ya que los mensajes enviados no pueden ser procesados. Si precisa asistencia, recuerde que puede contactarnos llamando al 902 345 145 durante nuestro horario de oficina o en cualquier momento enviándonos un correo electrónico a: Departamento Grupos : grupos.es@rccl.com Departamento Reservas Individuales: reservas.es@rccl.com Atentamente, Royal Caribbean Cruises España, SL” - Captura de correo electrónico enviado por la parte reclamante a la dirección reservas.es@rccl.com, en fecha 23/08/2019, con el asunto “Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Si este mensaje se envía automáticamente, ¿por qué lo he recibido yo por error?. Agradecería una explicación. A.A.A.”. - Captura de correo electrónico enviado a la parte reclamante desde la dirección infocliente.es@rccl.com, en fecha 26/08/2019, con el asunto “Re: Fw: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID:(...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Buenos días, Gracias por contactar con nosotros. Le informamos que ha tenido una oferta, sin compromiso hasta 24 agosto 2019. Es una opción que la hemos hecho, la semana pasada, el lunes - 19 agosto 2019. Atentamente, B.B.B. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/37 - Captura de correo electrónico enviado por la parte reclamante a la dirección infocliente.es@rccl.com, en fecha 26/08/2019, con el asunto “Re: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Los datos no tienen nada que ver conmigo. Mi email no tiene nada que ver con estas personas. Por favor, necesitaría una aclaración de lo que ha pasado. Gracias”. - Captura de correo electrónico enviado a la parte reclamante desde la dirección infocliente.es@rccl.com, en fecha 26/08/2019, con el asunto “Re: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Buenos días: La reserva indicada está anulada ya y no tiene que preocuparse, era solamente un bloqueo sin compromiso de la disponibilidad y precio del momento. Se hizo por teléfono con nosotros por parte de la Sra. D.D.D.. Cordialmente, E.E.E. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes”. - Oferta comercial y condiciones de reserva de RCL CRUISES, a nombre de C.C.C. y D.D.D., enviadas como un documento adjunto a la parte reclamante en el correo que ésta recibió desde la dirección documentation@rccl.com, en fecha 23 de agosto de 2019. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 20 de diciembre de 2019 la citada reclamación se trasladó a la autoridad de protección de datos de Reino Unido. El traslado de esta reclamación se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que la autoridad de protección de datos de Reino Unido era competente para actuar como autoridad de control principal, dado que RCL CRUISES tenía su sede social y establecimiento en Reino Unido. Sin embargo, Reino Unido ha dejado de pertenecer a la Unión Europea, con fecha 1 de enero de 2021 y, por consiguiente, su autoridad de protección de datos dejó de participar en el mecanismo de cooperación y coherencia establecido en el Capítulo VII del RGPD. Por otro lado, la mencionada entidad establecida en Reino Unido ha cesado en su condición de establecimiento principal del responsable del tratamiento en la Unión Europea. Al no constar la existencia de un nuevo establecimiento principal, se considera que el responsable del tratamiento pasa a encontrarse fuera de la Unión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/37 Como consecuencia de ello, con fecha 23 de diciembre de 2020, la autoridad de protección de datos inglesa abrió una asistencia mutua voluntaria en el sistema IMI, con el número 172498, para comunicar a esta Agencia que tenían varios casos de reclamaciones presentadas en España en la que la autoridad inglesa era la líder pero que se no habían tramitado aún; uno de ellos era este caso. TERCERO: Con fecha 23 de febrero de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En respuesta a requerimiento de información de esta Agencia, en fecha 10 de febrero de 2022 los representantes de RCL CRUISES manifiestan: En relación con el responsable del tratamiento de datos, RCL CRUISES es la entidad responsable del tratamiento de los datos personales de los clientes españoles que utilizan el sitio web, se ponen en contacto con la entidad para solicitar un presupuesto o reservan un crucero dentro del Espacio Económico Europeo (EEE). Esta información se proporciona en el aviso de privacidad de RCL CRUISES, https://www.royalcaribbean.com/gbr/en/resources/privacy-policy, tal y como exigen los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, el Reglamento General de Protección de Datos (el GDPR), y la Ley de Protección de Datos de 2018 (GDPR del Reino Unido). En relación con el motivo del envío de un presupuesto o reserva a nombre de C.C.C. y D.D.D. desde la dirección, infocliente.es@rccl.com a la dirección de correo electrónico de la parte reclamante A.A.A.@gmail.com, los representantes de la entidad manifiestan que A.A.A. (la parte reclamante) tiene un historial de navegación con RCL CRUISES y es miembro de su programa de fidelización. El 23 de agosto de 2019, un agente del centro de llamadas, mientras tomaba la reserva por teléfono, envió un mensaje de reserva 'en espera' por correo electrónico. El mensaje 'en espera' estaba destinado a C.C.C. y D.D.D., pero fue enviado por error a la dirección de correo electrónico 'A.A.A.@gmail.com', que pertenece a la parte reclamante. Este correo electrónico llegó a la parte reclamante desde la dirección de correo electrónico reservas.es@rccl.com, y pidió una explicación sobre el mismo. El buzón reservas.es@rccl.com está dedicado a los clientes comerciales, y la consulta de la parte reclamante fue reenviada al buzón de infocliente.es@rccl.com el 26 de agosto de 2019. RCL CRUISES respondió al correo electrónico de la parte reclamante el 26 de agosto de 2019, explicando que había creado una reserva "en espera" sin compromiso y le pidió que confirmara la reserva. La parte reclamante respondió que la reserva no le pertenece, y que su dirección de correo electrónico no coincide con los registros de los huéspedes y solicitó una aclaración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/37 RCL CRUISES también respondió a la parte reclamante, explicando que la reserva fue creada por la Sra. D.D.D. por teléfono, y que la reserva está cancelada ya que era una reserva "en espera" sin compromiso. Al revisar sus registros, RCL CRUISES se ha dado cuenta de que la reserva "en espera" fue enviada a la parte reclamante por error por el agente, que debería haber detectado el error. Los representantes de la entidad lamentan el error y manifiestan que están tomando medidas adicionales para proporcionar formación de repaso a los agentes del centro de llamadas y a la plantilla en general. En relación sobre si tienen conocimiento de que los datos de la parte reclamante han sido comunicados a terceros clientes, los representantes de RCL CRUISES manifiestan que han comprobado en sus sistemas, tanto el de reservas como el de fidelización, y no hay constancia de que los datos personales de la parte reclamante se hayan compartido con otros clientes, ya que el incidente inicial fue un error unilateral. Ningún otro cliente externo ha recibido los datos personales de la parte reclamante. EVIDENCIAS SIGNIFICATIVAS PARA LA GRADUACIÓN DE LA SANCIÓN El desarrollo de la actividad empresarial que desempeña la entidad requiere un tratamiento continuo de datos personales. RCL CRUISES reconoce espontáneamente su culpabilidad, al reconocer que uno de sus agentes cometió un error. Han comprobado de que los datos personales de la parte reclamante no se han compartido con otros clientes. QUINTO: Con fecha 11 de abril de 2022, la Directora de la Agencia Española de Protección de Datos dictó resolución declarando la caducidad de las actuaciones previas realizadas con el número E/02432/2021, y la apertura de nuevas actuaciones de investigación a las que se incorporaba la documentación que integraban las actuaciones previas que se declararon caducadas. SEXTO: Con fecha 11 de abril de 2022, se incorpora al expediente una diligencia en la que consta que el número de identificación fiscal de RCL CRUISES LTD es GB102833940. SÉPTIMO: Con fecha 12/05/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a RCL CRUISES, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, así como por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a RCL CRUISES conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/37 Públicas (LPACAP), fue recogido en fecha 01/06/2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 15/06/2022, se recibe en esta Agencia, en tiempo y forma, escrito de RCL CRUISES en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: “Previa. Acerca de la prescripción de la infracción grave El artículo 73 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (“LOPDGDD”), establece: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
2. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. En este sentido, el artículo 75 de la LOPDGDD determina que interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador. Atendiendo a los hechos del presente procedimiento, el correo electrónico objeto de reclamación fue enviado por error el 23 de agosto de 2019, si bien RCL no tuvo conocimiento de la apertura de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, hasta el 31 de enero de 2022, fecha en la que RCL recibió un requerimiento de información por parte de la AEPD con Nº Ref.: E/02432/2021. Desde agosto de 2019 hasta enero de 2022 han transcurrido más de dos años sin que la autoridad haya iniciado, con conocimiento de RCL, el procedimiento sancionador, por tanto, solicitamos se decrete la prescripción de la infracción del artículo 32 del RGPD de conformidad con el artículo 73 de la LOPDGDD. Previa. Imposición de dos sanciones por un mismo hecho En el acuerdo de inicio de procedimiento sancionador, la AEPD considera que el envío del correo electrónico al destinatario equivocado constituye una brecha de seguridad de datos personales, categorizada como una brecha de confidencialidad, al haberse puesto en conocimiento de un tercero los datos personales de unos clientes de RCL que son objeto de tratamiento en el desarrollo de su actividad empresarial. Según la AEPD, dicha brecha vulnera el principio de integridad y confidencialidad de los datos personales recogidos el apartado 1.
3. f)del artículo 5 del RGPD. Del mismo modo, la AEPD considera que la brecha de seguridad implica una vulneración del artículo 32 del RGPD, por la falta de adopción de medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. El artículo 83.3 del RGPD establece que “si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.” Esta parte considera que la imposición de dos sanciones por un mismo hecho (envío de un correo electrónico por error) supone la vulneración del principio non bis in idem, que se encuentra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/37 íntimamente ligado a los principios de legalidad y tipicidad de las infracciones recogidos en el art. 25.1 de la Constitución. La aplicación del principio non bis in idem supone que no recaiga duplicidad de sanciones, sea administrativa o penal en los casos en que se aprecie identidad de sujeto, hecho y fundamento. En este sentido tiene declarado el Tribunal Constitucional en su Sentencia 154/19901: “El principio «non bis in idem» ha venido siendo aplicado fundamentalmente para determinar una interdicción de duplicidad de sanciones administrativas y penales respecto a unos mismos hechos, pero ello no significa que sólo incluya la incompatibilidad de sanciones penal y administrativa por un mismo hecho en procedimientos distintos correspondientes a órdenes jurídicos sancionadores diversos. El principio «non bis in idem» es aplicable también, dentro de un mismo proceso o procedimiento, a una pluralidad de sanciones principales ante una identidad de sujetos, hecho o fundamentos, objeto o causa material y acción punitiva”. Esta parte entiende desproporcionada la imposición de varios castigos por un único error aislado; la suma de pluralidad de sanciones crea una sanción ajena al juicio de proporcionalidad realizado por el legislador. Así lo recogen los principios de la potestad sancionadora de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (“LRJSP”), el concreto el principio de proporcionalidad establecido en el Artículo 29.5: “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. 1 STC 154/1990, 15 de octubre de 1990 En el caso que nos ocupa, se estudia la posible lesión de un único bien jurídicamente protegible: la seguridad de los datos que no es otra cosa que la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas (artículo 32 del RGPD). Por tanto, el propio principio de integridad y confidencialidad se encuentra subsumido en la obligación de garantizar la seguridad del tratamiento. Dándose el elemento necesario (además de la identidad objetiva y subjetiva) de identidad de fundamento o causal necesario para la existencia de “bis in idem”; concurren dos medidas sancionadoras que responden a una misma naturaleza, es decir, participan de una misma fundamentación teleológica, protegiendo ambas el mismo bien jurídico. Atendiendo a estas alegaciones, y en virtud de lo establecido en los artículos 29.5 y 31.1 de la LRJSP, solicitamos que, en caso de no estimar la prescripción de la sanción muy grave, se valore lo antedicho de cara a cuantificar una eventual propuesta de sanción. Previa. Acerca de la buena fe y voluntad de cumplimiento de RCL Las alegaciones recogidas a continuación parten del máximo respeto por la labor que realiza la AEPD, así como de la valoración realizada, sin embargo, partiendo de un profundo convencimiento de que RCL tiene implementadas políticas de seguridad de la información y programas de formación para sus empleados que garantizan un alto estándar de cumplimiento. La única intención de RCL en estas alegaciones es poder aportar mayor información y claridad acerca del caso concreto origen de los hechos controvertidos, las políticas internas aplicadas y actualizadas siguiendo las recomendaciones recibidas y lecciones aprendidas y, en definitiva, la voluntad de cumplimiento y máximo respeto por los derechos de los interesados de los que tratamos datos en todo momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/37 Asimismo, siendo conscientes de que la presentación de estas alegaciones supone la renuncia a la aplicación de una reducción en la sanción propuesta y el beneficio que esto puede tener en nuestra cuenta de resultados, preferimos exponer aquí nuestras alegaciones pues estamos convencidos de no haber actuado de mala fe en ningún momento ni con la intención de obtener un beneficio propio, muy al contrario, de haber seguido en todo momento las pautas y políticas internas que, interpretando los preceptos normativos y recomendaciones de las autoridades, hemos definido con intención de dar estricto cumplimiento a la normativa. No queremos defender aquí que las medidas y decisiones adoptadas hayan sido las más apropiadas, ya que siempre están sujetas a un constante proceso de revisión y mejora para evitar errores como el que nos ocupa. La satisfacción de los clientes de RCL es su mayor activo, por ello nos preocupamos por implementar políticas que protejan su información personal. La sensibilización de RCL acerca de las obligaciones que le incumben en este ámbito es máxima por lo que, sea cual sea la resolución final de este Procedimiento, seguiremos a disposición de las autoridades para corregir aquellos procedimientos internos que sean mejorables, dentro de nuestro plan de revisión y mejora continua de los mismos. Primera. Acerca del origen del incidente: error humano aislado y fortuito Entendemos que el envío del correo electrónico no se produjo debido a un fallo en las políticas, formación del empleado o causa técnica imputable a RCL, sino a un error humano de carácter completamente aislado y fortuito. Si bien, entendemos que procede ponderar la causa que originó el incidente imputable a un error humano de un agente comercial de RCL, que atempera la reprochabilidad de la conducta imputada. No defendemos que el error cometido suponga una causa de justificación ni mucho menos una exculpación suficiente, si bien se trata de un hecho aislado del que no constan precedentes ni ha vuelto a ocurrir hasta la fecha. La operativa de los agentes comerciales, así como de los call centers, la cual implica la gestión de decenas de expedientes y solicitudes en un mismo tiempo, impide en ocasiones llevar un seguimiento riguroso de cada asunto; en la tramitación de un mismo caso pueden intervenir varios agentes. Es esta característica de la discontinuidad es la que hemos identificado en este caso como la posible causante en la práctica de que los agentes que intervinieron no detectaran el error cometido durante el intercambio de comunicaciones. RCL tiene implementada una política de medidas de seguridad que tiene en cuenta todos y cada uno de los riesgos presentes en el tratamiento de los datos personales de sus clientes, incluyendo el factor humano, tal y como puede apreciarse en la formación que se imparte periódicamente a los agentes comerciales. De cara a evitar que en un futuro ocurra un error similar, se ha formado a los agentes para que puedan detectar a la mayor brevedad cualquier tipo de incidente de modo que se gestione y solucione de una manera rápida, aportando explicaciones claras a los afectados. Si bien, tal y como indica la AEPD en su Guía de gestión del riesgo y evaluación de impacto en tratamientos de datos personales “el concepto de “riesgo cero” no existe cuando hablamos de gestión del riesgo, en particular, cuando hablamos de los riesgos que pueden suponer los tratamientos de datos personales. Siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y, una vez que se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual”. Por muchas medidas que RCL adopte para mitigar el riesgo asociado al tratamiento de los datos de sus clientes, siempre existirá un riesgo residual asociado al factor humano de los agentes comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/37 Por tanto, solicitamos que se valore debidamente tanto el contexto de origen del incidente, como la total ausencia de intencionalidad por parte de RCL, y la ausencia de otro caso similar registrado ni antes ni después de este incidente, muestra de que los sistemas y la formación a empleados funcionan y que estamos ante un desafortunado caso aislado y fortuito, fruto de un error humano puntual. Segunda. Acerca de la naturaleza, gravedad y duración del error Tal y como se detalla en los hechos del escrito remitido por la AEPD, el correo electrónico remitido el día 23 de agosto de 2019 a la parte reclamante, únicamente contenía el nombre, apellidos, presupuesto y fechas del viaje. No había ningún tipo de información sensible de la persona afectada, por supuesto no hay datos sensibles y no incluyen datos de comportamiento, datos de sistemas, financieros y/o económicos por lo que se entendió en su momento que no entraña un alto riesgo para los derechos y libertades del afectado, por lo tanto, se concluyó que no resulta necesaria la comunicación a los mismos. Por tanto, las consecuencias para las personas físicas son mínimas o inexistentes, la pérdida de confidencialidad de datos identificativos como el nombre y apellidos no implica un riesgo en la práctica para los interesados, el riesgo de sufrir algún inconveniente por la utilización de los datos compartidos en el email de referencia es prácticamente nulo. El motivo por el que el correo electrónico apenas contenía información que identificara o hiciese identificable a los destinatarios es porque RCL ha implementado el principio de privacidad por diseño en todos sus procedimientos, de modo que, en un primer momento, durante la fase de solicitud y envío de presupuestos no se recaban más datos de los estrictamente necesarios para tramitar las solicitudes. Atendiendo a la naturaleza de la información objeto de la brecha de seguridad, solicitamos que se pondere convenientemente el bajo riesgo que para las personas ha supuesto este incidente aislado y fortuito. Tercera. De la cuantificación de la sanción Se estiman concurrentes como agravantes los criterios de graduación siguientes, entre otros:  El número de interesados. Respecto al número de interesados, pese a que el presente expediente ha sido iniciado a raíz de la reclamación de una sola persona, entendemos que el criterio adoptado por la AEPD para medir el número de interesados afectados pasa por entender que no sólo la reclamante se ha visto afectada sino aproximadamente 1.250.000 pasajeros de RCL en 2020, quienes pueden verse potencialmente afectados por la falta de adopción de medidas técnicas y organizativas apropiadas para evitar brechas de seguridad como la ocurrida en este caso. De conformidad con el principio de tipicidad establecido en el artículo 27 de la LRJSP, únicamente podrán imponerse sanciones por la comisión de infracciones administrativas, es decir, la concurrencia de una circunstancia agravante debe ser real y efectiva, no procede la graduación de la sanción conforme a la hipótesis de un posible daño tal y como hace la AEPD en el presente cuando entiende que la totalidad de los clientes de RCL podrían haberse visto afectados. No hay pruebas de que en la práctica haya habido más de un interesado afectado, por tanto, entendemos que el número de interesados no debería concurrir como agravante y se debería revisar esta cuestión.  Duración de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/37 El incidente ocurrió en un momento puntual y aislado, no se ha dado en la práctica ningún incumplimiento similar. A raíz del error, se impartieron sesiones de formación para evitar que se cometa un error similar en el futuro, por tanto, no se trata de una infracción continuada en el tiempo sino de un error puntual que se ha subsanado adoptando medidas apropiadas como la formación a los agentes. Además, es preciso tener en cuenta la circunstancia prevista en el artículo 83.2.
4. e)donde se tiene en cuenta toda infracción anterior cometida por el responsable del tratamiento. En este sentido es preciso poner de manifiesto que es la primera vez que RCL es objeto de procedimiento sancionador, cumpliendo hasta ahora las obligaciones dispuestas en la normativa aplicable, así como los criterios establecidos por las autoridades supervisoras, sin que esto haya sido tenido en cuenta como atenuante en la graduación de la propuesta de sanción. A este respecto, entendemos por lo argumentado que la AEPD ha de valorar el archivo del presente procedimiento sin imposición de sanción, como así ha venido haciendo en procedimientos similares en los que ha quedado acreditado que el incidente trae causa de un error humano de un empleado de carácter aislado y fortuito pero, incluso en el caso en el que estime que se ha cometido alguna infracción, atendiendo al espíritu de la norma expresado en el Considerando 148 del RGPD, consideramos oportuno que se valore la imposición de un apercibimiento en especial atención a la naturaleza, escasa gravedad y corta duración de la infracción, a su carácter no intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos y al grado de responsabilidad demostrado por RCL. Finalmente, nos gustaría poner de manifiesto las difíciles circunstancias por las que pasa RCL y el resto de las empresas dedicadas al sector viajes y turismo. Tras la aparición de la amenaza sanitaria ocasionada por el Coronavirus, los sectores productivos se han visto afectados por las diferentes restricciones que se han ido sucediendo para tratar de controlar la crisis sanitaria. Una de las más reseñables ha sido la limitación a la movilidad, que en un primer momento y debido al confinamiento domiciliario fue casi total, y que poco a poco se ha ido ajustando a las novedades de la situación, permaneciendo en algunos casos las restricciones para viajar entre países e incluso dentro de los mismos. En lo que se refiere sector turístico, desde la aplicación de estas medidas preventivas, este ha sido uno de los sectores más golpeados por la crisis de la COVID-19, con unas consecuencias que podrían poner en duda su viabilidad en los próximos años. Concretamente, el año 2020 cerró con una caída de la actividad turística del 69% respecto a los niveles máximos del año 2019. Esta circunstancia no ha tenido impacto únicamente financiero en cuanto a las pérdidas sufridas sino que se ha notado especialmente en el volumen de operaciones y solicitudes de información y, por tanto, comunicaciones con los clientes. Con el debido respeto, creemos que la Agencia debe revisar la extrapolación llevada a cabo argumentando que por el envío de un email erróneo y puntual con información de un pasajero a otro pasajero, sin que esta información haya llegado a salir del ámbito privado de este segundo pasajero, se ponga en riesgo la confidencialidad de los datos del 100% de los pasajeros atendidos (nada menos que 1.250.000 pasajeros), pues no parece proporcionada y carece de lógica alguna, es decir, es tanto como decir que se debería haber producido un error similar más de un millón de veces sin ser identificado o sin consecuencias o bien que un operador tendría la capacidad de, por error, adjuntar más de un millón de itinerarios a un email enviado por error a un pasajero que solicita información sobre su viaje. A mayor abundamiento, entendemos que esto supondría un cambio de criterio de la propia Agencia que en el pasado ha considerado oportuno el archivo de actuaciones por ausencia de infracción en casos en los que se ha aducido por la empresa un error humano fortuito, como es el caso del Expediente E/09932/2020, sin considerar, con buen criterio y siguiendo el mismo ejemplo, que la pérdida o robo de un pendrive sin cifrar podría conllevar el peligro para toda la información contenida en la base de datos de una empresa susceptible de ser almacenada en un pendrive. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/37 Por lo anterior, esta parte solicita que, en la cuantificación de la propuesta de sanción, si finalmente no se atiende a los argumentos presentados para el archivo, se ponderen todos y cada uno de los criterios estipulados en el artículo 83.2 del RGPD. Cuarta. Documentación adicional presentada Para favorecer una mejor comprensión de los hechos, se acompañan a esta comunicación los siguientes Documentos: Documento 1: Copia del presupuesto enviado por error para confirmar los datos en él contenido; Documento 2: Registro de las formaciones realizadas en materia de protección de datos y seguridad de la información por la empleada que cometió el error (años 2019, 2020, 2021 y 2022); Documento 3: Registro de la formación completada por la empleada en enero de 2019, sólo unos meses antes del incidente; Documento 4: Resumen de las medidas técnicas y organizativas implementadas por RCL Cruises.” NOVENO: Con fecha 07/07/2022, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00156/2022, dándose por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por RCL CRUISES, y la documentación que a ellas acompañaba. Ese mismo día esta Agencia ha requerido a RCL CRUISES para que en el plazo de quince días hábiles presentara la siguiente información: Realizar la siguiente prueba documental respecto de la seguridad de los tratamientos de datos personales, por la que se requiere a RCL CRUISES LTD: 1. Medidas de seguridad implantadas con anterioridad a la incidencia de seguridad en los tratamientos de datos donde se ha producido la brecha objeto del presente procedimiento, con fecha 23/08/2019. 2. Información respecto del motivo por el cual las medidas de seguridad implantadas no han impedido el incidente de seguridad. 3. Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. Con fecha 08/08/2022, RCL CRUISES presentó escrito de respuesta ante esta Agencia, en el que manifestaba que: “PRIMERO. Medidas de seguridad implantadas con anterioridad a la incidencia de seguridad en los tratamientos de datos donde se ha producido la brecha objeto del presente procedimiento, con fecha 23/08/2019. 1.1. Privacidad desde el diseño conforme al RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/37 Una vez expedido el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, Reglamento General de Protección de Datos o RGPD), durante nuestro proyecto de aplicación de esta normativa a todos los procesos de RCL que implicaran el tratamiento de datos personales, revisamos las actividades relacionadas en todas las funciones empresariales, incluidos el centro de llamadas y la función de experiencia de los huéspedes, poniendo en marcha las medidas adecuadas para integrar la protección de datos en las actividades de la compañía. Una de estas medidas fue incluir solo los nombres de los huéspedes y el rango de edad en el documento de reserva en espera, lo que ayuda a proteger los datos personales y la privacidad de los mismos. Tal y como consta en el documento adjuntado como número 1 en el escrito de alegaciones ya presentado en la anterior comunicación con la Agencia, el correo electrónico remitido a la parte reclamante el día 23 de agosto de 2019, únicamente contenía el nombre, apellidos, presupuesto y fechas del viaje, lo cual implica la implementación por parte de RCL del principio de privacidad por diseño en todos sus procedimientos, de modo que, en un primer momento, durante la fase de solicitud y envío de presupuestos no se recaban más datos de los estrictamente necesarios para tramitar las solicitudes. En efecto, no había ninguna información adicional que pudiera razonablemente relacionar los nombres y apellidos con una persona identificable, como la fecha de nacimiento, la dirección de su domicilio, su número de teléfono, etc., y desde luego ningún tipo de información sensible de la persona afectada, datos de comportamiento, datos de sistemas, financieros y/o económicos por lo que se entendió en su momento que el riesgo de sufrir algún inconveniente por la utilización de los datos compartidos en el email de referencia es prácticamente nulo, por lo que queda acreditado que la decisión tomada al respecto de la minimización de los datos, funcionó. El Departamento de Seguridad de la Información de RLC ofrece regularmente formación, políticas y otros materiales para recordar a los empleados, personal temporal, consultores y contratistas sus obligaciones en materia de seguridad de la información, en consonancia con la normativa del RGPD y el especial cuidado que se debe tener al momento de efectuar el tratamiento de datos personales. Adicionalmente, los agentes del centro de atención telefónica reciben formación en esta materia tanto por RCL como por parte de nuestro proveedor de servicios externo anualmente, en cumplimiento del contrato de prestación de servicios suscrito con el mismo. Precisamente, tal y como se expuso en los adjuntos del escrito de Alegaciones ya presentadas anteriormente denominados en dicho escrito como Documento 2 y Documento 3 donde se muestra el registro de las formaciones realizadas en materia de protección de datos y seguridad de la información por la empleada que cometió el error entre los años 2019 y 2022, así como el registro de la formación completada por esta persona en enero de 2019 solo unos meses antes del incidente, es claro como RCL toma medidas claras para la concienciación de los empleados y contratistas en materia de protección de datos personales. Los supervisores del centro de atención telefónica deben recordar periódicamente a nuestros agentes comerciales la importancia y necesidad de actuar con la debida diligencia y cuidado al introducir los datos de los clientes en los sistemas y revisarlos antes de efectuar su tratamiento. Esto es una buena práctica del sector y ha sido bien entendido e implementado por nuestros agentes del centro de atención telefónica (ver Anexo 1 adjunto al presente escrito). A su vez, se envían a los agentes comerciales vía correo electrónico comunicaciones y actualizaciones programadas en materia de protección de datos y sus respectivos protocolos, los cuales contienen un enlace a la formación sobre el RGPD, así como a nuestra página de intranet sobre conocimiento corporativo, formaciones y a las preguntas más frecuentes (ver Anexo 2 y Anexo 3 que acompañan el presente escrito). Reiteramos lo dispuesto en el Documento 4 presentado junto con el anterior escrito de alegaciones: “Resumen de las medidas técnicas y organizativas implementadas por RCL Cruises” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/37 adjunto en el escrito de Alegaciones, en el cual se detalla como la entidad utiliza una serie de medidas de seguridad organizativas y técnicas para salvaguardar los datos personales que tratan del acceso no autorizado o accidental, la divulgación, la copia, el uso, la modificación, la destrucción, el tratamiento y la transferencia de datos personales. SEGUNDO. Información respecto del motivo por el cual las medidas de seguridad implantadas no han impedido el incidente de seguridad. Partiendo del convencimiento de que la actuación de RCL se ha regido en todo momento por la buena fe y la intención de cumplir cuidadosamente con la normativa de protección de datos de carácter personal aplicable a través de nuestras políticas internas desarrolladas para garantizar los más altos estándares de cumplimiento, tal y como se mencionó en el escrito de alegaciones el incidente de seguridad ocurrido tuvo su origen en un error humano de un agente comercial de RCL de carácter fortuito. Se trata de un hecho aislado que no tenía registro de ocurrencia anterior y que no se ha repetido. Entendemos que el envío del correo electrónico erróneo no se debió a la falta de formación de la empleada, ya que RCL tiene implementada una política de medidas de seguridad que se imparte periódicamente a todos sus agentes comerciales en aras de generar concienciación en sus empleados y colaboradores frente a los riesgos que implica el tratamiento de datos personales y la forma de mitigarlos, y tal y como se enuncio en líneas anteriores, se demostró que esta persona había completado a satisfacción todas las formaciones. No obstante, conscientes de que en esta materia el “riesgo cero” resulta difícil de alcanzar, en el caso concreto no se trató de un fallo en las políticas o causa técnica imputable a RCL, sino de que no existe medida de seguridad técnica razonable que pudiera haberse desplegado para evitar esa forma de error humano, y por tanto, por muchas medidas que tome la entidad para mitigar el riesgo asociado al tratamiento de los datos de sus clientes con este propósito, siempre existirá un riesgo residual asociado al factor humano de los agentes comerciales. A pesar de ello, y en aras de evitar la ocurrencia de este tipo de errores, RCL ha reforzado la respuesta en sus procesos empresariales implementado medidas correctivas y preventivas que pretenden instruir a sus agentes comerciales la forma de identificar a la mayor brevedad cualquier tipo de incidente similar de modo que se gestione y solucione de una manera rápida, aportando explicaciones claras a los afectados, tal y como se explica en líneas posteriores. TERCERO. Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. Conscientes de que las medidas y decisiones adoptadas por la entidad siempre estarán sujetas a un constante proceso de revisión y mejora para evitar errores como el que nos ocupa, además de las medidas enunciadas en líneas anteriores, dentro de las herramientas preventivas y correctivas adicionales utilizadas por RCL se encuentra la revisión de los procesos internos de respuesta a los incidentes de seguridad de datos personales a nivel del centro de atención telefónica / experiencia de los clientes, trabajando estrechamente con los miembros de este equipo (ver Anexos 4 – 7 del presente escrito), obteniendo e implementando cuatro acciones principales: 3.1. (…). 3.2. (…). 3.3. (…). 3.4. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/37 Adicionalmente, con el fin de revisar el proceso de selección de huéspedes por parte del servicio de atención al cliente, se evaluó la resistencia de nuestros procesos para garantizar que se minimiza el riesgo de suplantación de identidad de los mismos (ver anexo 8). Los hallazgos de dicho análisis arrojaron que contamos con un sistema robusto de confirmación de reserva en caso de que se produjera un acceso no autorizado a esta información o intención de fraude, cumpliendo con los estándares de la industria, y determinamos que supondría un leve riesgo para el huésped. Todos nuestros clientes pasan por un sólido proceso de selección antes de que discutamos los detalles de cualquier reserva con ellos (ver anexos 8 y 9). Por lo anteriormente mencionado, se acompaña a esta comunicación los siguientes anexos para su respectiva valoración: • Anexo 1. Correo electronico recordatorio en materia de protección de datos (Supervisor Toolbox Briefings – Guest Data Protection Reminder_redacted Exh 1) de 24 de mayo 2019. • Anexo 2. Correo electrónico respecto al RGPD y actualización en el protocolo de atención de los derechos de los interesados. • Anexo 3. Página de formación en la intranet sobre el RGPD. • Anexo 4. Correo electrónico – invitación a reunión de discusión respecto a las lecciones aprendidas tras el incidente y nuevas acciones a implementar el 7 de julio 2022. • Anexo 5. Documento sobre conclusiones extraídas de la reunión de debate sobre el incidente en materia de protección de datos y lecciones aprendidas sostenida el 7 de julio 2022. • Anexo 6. Documento sobre conclusiones en reunión sobre privacidad y protección de datos – acciones sobre lecciones aprendidas del 21 de julio de 2022. • Anexo 7. Documento sobre conclusiones en reunión sobre privacidad y protección de datos – acciones sobre lecciones aprendidas del 28 de julio de 2022. • Anexo 8. Correo electrónico -invitación a reunión de discusión sobre evaluación del proceso de selección de clientes y prevención del fraude efectuada el 25 de enero de 2022. • Anexo 9. Correo electrónico sobre conclusiones respecto a la revisión del proceso de selección de nuestros clientes y prevención del fraude del 28 de enero de 2022. DÉCIMO: Con fecha 21/09/2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a RCL CRUISES LTD, con NIF GB102833940: - Por una infracción del Artículo 5.1.
5. f)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 20.000 € (veinte mil euros). - Por una infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 5.000 € (cinco mil euros). UNDÉCIMO: Examinada la propuesta de resolución notificada a RCL CRUISES, el instructor detecta en el texto de esta un error en la transcripción de la prueba documental aportada por RCL CRUISES, por lo que, con fecha 25/10/2022, firmó resolución de rectificación parcial de la propuesta de resolución, en base a lo dispuesto en el artículo 109.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/37 Con fecha 02/11/2022 se recibió por registro escrito de RCL CRUISES en el que declaraba haber recibido rectificación de error material de la propuesta de resolución, por lo que se entiende notificada en esta fecha conforme a lo dispuesto en el artículo 40.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). DUODÉCIMO: Con fecha 21 de noviembre de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de RCL CRUISES en el que aduce alegaciones a la propuesta de resolución, sin que conste en el expediente justificante de su recepción, por lo que se entiende notificada en esta fecha conforme a lo dispuesto en el artículo 40.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). En síntesis, RCL CRUISES manifestaba que: “Previa. Acerca de la prescripción de la infracción grave A los motivos aportados por RCL alegando la prescripción de la infracción grave, esta Agencia rechaza dicha alegación argumentando que la conducta infractora no ha finalizado, sino que continúa en el tiempo porque, según su entender, las medidas técnicas y organizativas aplicables a este tipo de casos no han variado desde que se produjo la brecha de seguridad. En el error puntual del empleado de RCL no concurren los requisitos propios de una infracción continuada fundamentalmente porque no hay una pluralidad de acciones. Sin pluralidad de acciones no cabe hablar de infracción continuada, como destaca, entre otras, la sentencia del Tribunal Supremo 7 de marzo de 2006 (STS Sala Tercera, de lo Contencioso administrativo, Sección 62, de 7 de marzo de 2006, fundamento tercero). Las infracciones continuadas, que se contemplan en el art. 29.6 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público, cuando señala que "será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión", constituye una construcción jurídica que proviene del Derecho penal, cuya concurrencia exige: la realización de un plan preconcebido o aprovechamiento de idéntica ocasión; la realización de una pluralidad de acciones con unidad psicológica y material; y la infracción del mismo o semejante preceptos administrativos. No basta, por lo tanto, para apreciar la existencia de infracción continuada con la simple reiteración de conductas semejantes, sino que es preciso que además esa reiteración de conductas se lleve a cabo en ejecución de un plan preconcebido o aprovechando idéntica ocasión. Nada de esto se da en el presente caso, en el que no hay una pluralidad de acciones, sino la puesta en conocimiento de un tercero de los datos personales relativos al denunciante. Ello ocurrió en un momento determinado en el tiempo. Ni siquiera puede decirse que esa puesta en conocimiento del dato personal fuera, en sí misma considerada, una acción prolongada durante un cierto período. La posición de infracción continuada articulada por la Agencia se basa en la afirmación incorrecta de que la brecha de seguridad se produjo debido a un sistema automatizado. Tal y como se detalla más adelante, el correo electrónico se genera automáticamente, pero es necesario incluir manualmente la dirección de correo electrónico del destinatario, por tanto, el email se envía automáticamente a la dirección de correo electrónico que se haya ingresado manualmente. El incidente, por tanto, se produjo debido a un error manual (la introducción incorrecta de un email), y no un incumplimiento que se preste a la repetición como puede ser en el caso de sistemas puramente automatizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/37 Que esa acción pudiera tener consecuencias lesivas para el titular del dato personal en un momento posterior no la convierte, contrariamente a lo afirmado por la propuesta de resolución, en una infracción continuada. Si se acogiera esta tesis, la mayoría de infracciones penales o administrativas serían continuadas, ya que los efectos lesivos de una acción u omisión pueden hacerse sentir tiempo después del momento de la comisión. No hay evidencias de que este error manual se haya producido de forma continuada. Por consiguiente, en atención a las anteriores consideraciones, y dadas las circunstancias del presente caso, entendemos que no existe infracción continuada, y por tanto la infracción del artículo 32 del RGPD ha prescrito de conformidad con el artículo 73 de la LOPDGDD. Primera. Acerca del origen del incidente: error humano aislado y fortuito Tal y como se detallaba anteriormente, el fallo que dio origen a la brecha de seguridad es un hecho aislado y fortuito del que no constan precedentes ni ha vuelto a ocurrir hasta la fecha. El incumplimiento se produjo debido a un error manual (la introducción incorrecta de un email), y no un incumplimiento que se preste a la repetición como puede ser en el caso de sistemas puramente automatizados. Nuestro proceso de reserva/oferta provisional se detalla a continuación: En el momento en que un cliente/huésped potencial se pone en contacto con RCL para realizar consultas sobre nuestros cruceros, los agentes brindan detalles de fechas y precios, existiendo la posibilidad de realizar una reserva temporal. Este proceso es un proceso 'en espera' o 'reserva provisional', y otorga al huésped un tiempo para considerar la reserva provisional. Solo después de que confirmen que desean continuar con la reserva, se realiza el cobro (parcial o total, según corresponda). La base legitimadora para recopilar dicha información personal es la ejecución del contrato, así como la aplicación de medidas precontractuales, por el cual la reserva provisional se convierte en un contrato formal una vez que el cliente confirma la reserva provisional y realiza el pago (en parte o en su totalidad). Uno de los requisitos de cumplimiento es proporcionar al posible huésped el certificado ATOL lo antes posible, generalmente cuando se crea la reserva provisional. Esta es una práctica estándar en la industria de viajes; es necesaria la dirección de correo electrónico del huésped principal para poder enviar la reserva provisional. Una vez que la dirección de correo electrónico se incluye en nuestro sistema de reservas, se redacta el correo electrónico automático que se envía al cliente. Esta oferta provisional caduca después de un número de horas si no se confirma la reserva mediante el pago. El efecto de la caducidad de la oferta provisional significa que la reserva ya no será accesible o visible para el agente. Respecto a la reserva del caso que nos ocupa, el agente de atención al cliente tenía más de una ventana abierta en el sistema mientras intentaba incluir información en una de las ventanas, y accidentalmente copió y pegó la dirección de correo electrónico incorrecta en la reserva provisional. Esto desencadenó el proceso automatizado de envío de los detalles de la reserva a la dirección de correo electrónico que se incluyó por error en el sistema. La reserva provisional caducó ya que no hubo más confirmación de la reserva y la información se volvió inaccesible, esto explica por qué el agente de atención al cliente le explicó al reclamante que la reserva estaba cancelada, ya que efectivamente se canceló automáticamente en nuestro sistema. RCL considera que no se pudo haber hecho nada más de las medidas ya implementadas y descritas en escritos anteriores para evitar el error humano y puntual que supuso que el agente del servicio de atención al cliente ingresara la dirección de correo electrónico incorrecta. Si bien puede haber medidas organizativas, como las implementadas, para reducir la probabilidad de error humano, este riesgo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/37 no se puede eliminar por completo. El agente de atención al cliente recibió formación sobre privacidad y protección de datos y tenía recordatorios programados para tener el debido cuidado al ingresar los datos personales de los clientes. Es innegable que por más medidas que RCL adopte para mitigar el riesgo asociado al tratamiento de los datos de sus clientes, siempre existirá un riesgo residual asociado al factor humano de los agentes comerciales, y por tanto reiteramos nuestra solicitud de re-evaluar tanto el contexto del origen del incidente, como la total ausencia de intencionalidad por parte del agente, y por tanto de RCL, y la ausencia de otro caso similar registrado en la compañía, por lo cual entendemos que no se trató de un fallo en las políticas o causa técnica imputable a RCL, sino de que no existe medida de seguridad técnica u organizativa que pudiera haberse desplegado para evitar esa forma de error humano. Así lo indica, entre otras, la sentencia del Tribunal Supremo número 188/2022 (STS Sala de lo Contencioso, Sección 3ª) de 15 de febrero de 2022 (rec. 7359/2020), en su Fundamento de Derecho Cuarto, “(…) la obligación que recae sobre el responsable del fichero y sobre el encargado del tratamiento respecto a la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado.” Por lo anterior, en nuestra opinión no ha habido infracción del artículo 5.1.f), ni del artículo 32 del RGPD, por lo que pedimos se tengan en cuenta los siguientes criterios atenuantes: (
6. i)los datos personales fueron comunicados a un único destinatario; (
7. ii)la ausencia de un evento dañoso sufrido por parte de los interesados titulares de los datos personales y por ende perjuicios causados del que se tenga noticia hasta el momento; (iii) la acreditación de que con anterioridad al hecho constitutivo de infracción RCL tenía implantados procedimientos de capacitación para el debido tratamiento de los datos de carácter personal, siendo la infracción consecuencia de un caso aislado y fortuito y; (
8. iv)no consta que este incidente haya ocurrido en más ocasiones. Segunda. Acerca de la naturaleza, gravedad y duración del error Respetuosamente, RCL no está de acuerdo con la argumentación seguida por la Agencia, según la cual, el nombre y apellidos de dos personas junto con un rango de edad (“mayores de 55 años”), así como un presupuesto para un viaje puede considerarse información sensible. El RGPD en el considerando décimo establece que el propio Reglamento reconoce también un margen de maniobra para que los Estados miembros especifiquen sus normas, inclusive para el tratamiento de categorías especiales de datos personales («datos sensibles»). Si acudimos a la LOPDGDD, no encontramos ninguna definición de dato sensible, por lo que entendemos que cuando la AEPD hace referencia a dato sensible, quiere decir «categorías especiales de datos personales», las cuales sí que están definidas en el artículo 9 del RGPD siendo “datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.” Llevar a cabo una interpretación unilateral y extensiva del término “dato sensible” no genera sino inseguridad jurídica para los responsables y encargados del tratamiento. El artículo 9 del RGPD es claro en establecer de forma taxativa las categorías especiales de datos que se consideran sensibles, y que, por lo tanto, exigen una especial protección, ya sea por su naturaleza o por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/37 relación que puedan tener con los derechos y las libertades fundamentales de las personas, haciendo que queden sujetos a disposiciones específicas cuando su tratamiento pueda suponer alto riesgo en la protección de datos. En el caso que nos concierne, el correo electrónico remitido el día 23 de agosto de 2019 a la parte reclamante, únicamente contenía el nombre, apellidos, presupuesto y fechas del viaje, los cuales no pueden interpretarse como información sensible de los afectados al no encuadrar dentro de esta definición. Efectuar esta interpretación de carácter generalizado y por demás subjetiva creemos que no resulta acertado, ya que los presupuestos enviados a quienes lo solicitan tan solo son una oferta de servicios que distan de revelar la capacidad económica de los interesados y a su vez, algunos de ellos no terminan materializándose en un contrato vinculante al no haber aceptación efectiva del solicitante. Téngase en cuenta que en ocasiones estos servicios pueden ser producto de un regalo, de un ahorro permanente, o simplemente de la curiosidad del interesado que puede no contar con los recursos económicos en el momento para efectuar el viaje, por lo cual no existe ninguna relación con su verdadera capacidad adquisitiva. Así mismo, considerando que las fechas contenidas en el presupuesto son tentativas, y en la práctica se encuentran sujetas a cambios dependiendo de diversos factores (i.e. alza de precios, temporada de vacaciones, fuerza mayor o caso fortuito, etc.), aducirlas como información sensible por constituir una ausencia en el domicilio en el mes de agosto dando lugar a un eventual robo, carece de sentido, más teniendo en cuenta que el correo electrónico en cuestión no fue enviado masivamente o los datos fueron públicamente comunicados, sino por el contrario, solo fue enviado a una sola persona, asumiendo que este cliente podría cometer un delito de hurto en atención al conocimiento de estos datos. Diferimos, con el máximo respeto, también de la afirmación de esta Agencia en la cual se indica que el presupuesto y fechas de viaje constituyen información sensible, pues según su entender “el presupuesto del crucero solicitado puede ser tomado como un indicio de capacidad económica del titular, así como la posible fecha de ausencia en el domicilio (en el mes de agosto), toda ella es información sensible. De hecho, una de las épocas del año en las que más robos de vivienda se producen es en verano, ante la ausencia de sus titulares, y las Fuerzas y Cuerpos de Seguridad del Estado suelen aconsejar que no se enuncie la ausencia del domicilio por vacaciones”. Entendemos que la valoración realizada por la Agencia acerca del impacto que para el denunciante podría haber tenido la brecha de seguridad es desproporcionada, dado que se está dando por hecho que el tercero que recibe los datos personales por error utilizará esa información para cometer un robo en la vivienda de los afectados, conociendo las fechas en las que podrían estar realizando un viaje. Esto presupone, entre otras cuestiones, ¿que existe una muy alta probabilidad de que cualquier ciudadano que reciba una información de este tipo sea un potencial criminal hasta el punto de aprovechar información sobre la ausencia en un domicilio para cometer un delito? A mayor abundamiento, incluso si se considerara el argumento de esta Agencia de que revelar la posible fecha de ausencia en el domicilio de los titulares de los datos personales (agosto), constituye un riesgo al ser este mes una época del año con cifras elevadas de robos en viviendas, el hecho de que este documento no contuviera la dirección de su domicilio reduce significativamente el riesgo o probabilidad de ocurrencia al no existir un indicio de la ubicación real de su residencia. Es por lo que entendemos que, con base en la información contenida en la oferta provisional de servicios, la probabilidad real de que el destinatario del correo electrónico pudiera haber causado un verdadero daño financiero, físico o de otro tipo a los interesados, es remota o nula. Por lo anterior, RCL en su calidad de responsable del tratamiento, considerando las circunstancias específicas del hecho acaecido, y lo dispuesto en las Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el Reglamento 2016/679 del Grupo de Trabajo sobre Protección de Datos del Artículo 29, WP250, de 3 de octubre de 2017, para evaluar el riesgo para los interesados derivado de la brecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/37 seguridad, ha tenido en cuenta criterios como el tipo de violación, la naturaleza y volumen de datos personales, el número de personas afectadas y la facilidad de identificación de dichas personas, la gravedad de las consecuencias para los mismos, y sus características particulares, concluyendo que las consecuencias para los dos interesados afectados son mínimas o inexistentes, la pérdida de confidencialidad de datos identificativos como el nombre y apellidos no implica un riesgo en la práctica para estos interesados, y el riesgo de sufrir algún inconveniente por la utilización de los datos compartidos en el email de referencia es prácticamente nulo, al contrario de lo que mantiene la Agencia. Tercera. De la cuantificación de la sanción En la propuesta de resolución se estiman concurrentes como agravantes los criterios de graduación siguientes, entre otros: • El número de interesados. • Duración de la infracción. Frente al número de interesados, se reitera nuestra oposición a la evaluación de este criterio como agravante, ya que debe considerarse que el presente procedimiento ha sido iniciado a raíz de la reclamación de una sola persona, no existiendo hasta el momento otras reclamaciones similares por el mismo hecho. En este sentido, no estamos conformes con el criterio adoptado por la AEPD para medir el número de interesados afectados y el nivel de daños y perjuicios que hayan sufrido, pues indica que no sólo el reclamante se ha visto afectado sino aproximadamente 1.250.000 pasajeros de RCL en 2020, quienes pueden verse potencialmente afectados por la falta de adopción de medidas técnicas y organizativas apropiadas para evitar brechas de seguridad como la ocurrida en este caso. Al respecto, debe aclararse que RCL tiene varios canales de reservas para la provisión de sus servicios y el centro de reservas vía telefónica es sólo uno de ellos. Tenemos un gran número de agentes de viajes que están autorizados a vender nuestros cruceros y a efectuar las reservas de los potenciales clientes y, además, contamos con una interfaz en nuestra página web que permite a los interesados reservar sus cruceros directamente sin necesidad de una interfaz humana, donde hasta el momento no ha habido ningún problema relacionado con el caso en cuestión. Por lo anterior, el criterio adoptado para medir el número de interesados afectados y su daño potencial considerando la totalidad de viajeros durante el año 2020, no corresponde con la realidad de la efectividad de nuestros canales de reserva, de los cuales el centro de atención telefónica constituye una pequeña proporción, y donde en su totalidad se toman las medidas necesarias para salvaguardar los datos personales y cumplir con toda la reglamentación en materia de protección de datos. El principio de tipicidad establecido en el artículo 27 de la LRJSP, es claro al establecer que únicamente podrán imponerse sanciones por la comisión de infracciones administrativas, es decir, la concurrencia de una circunstancia agravante debe ser real y efectiva, y por tanto no procede la graduación de la sanción conforme a la hipótesis de un posible daño, entendiendo la totalidad de clientes de RCL como potenciales afectados. En efecto, no hay pruebas de que en la práctica haya habido más de un interesado afectado, por tanto, entendemos que el número de interesados tomado como referencia no debería concurrir como agravante. Respecto a la duración de la infracción, nuevamente se hace énfasis en que el incidente ocurrió en un momento puntual y aislado, sin haber otro incumplimiento similar. Por lo anterior, queda acreditado que no se trata de una infracción continuada en el tiempo sino de un error puntual que se ha subsanado adoptando medidas técnicas y organizativas apropiadas con posterioridad a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/37 brecha, tales como el refuerzo de la formación continua en materia de protección de datos o el proceso de escalada de incidentes para reducir el período de respuesta.” HECHOS PROBADOS PRIMERO: El 12/08/2019 se envió un correo electrónico por la parte reclamante a la dirección infocliente.es@rccl.com, con el asunto “Visita del barco Oasis of the Seas en su escala en Palma el 2 sep” y el siguiente texto: “Buenas tardes, El barco Oasis of the Seas hará escala en Palma de Mallorca el próximo día 2 de septiembre y tengo entendido que a veces se hacen visitas guiadas para conocer el barco. Somos un grupo de varias personas y nos gustaría saber si esto es posible. Gracias A.A.A. Crown&Anchor Platinum: (...)” SEGUNDO: El 20/08/2019 se envió un correo electrónico a la parte reclamante desde la dirección infocliente.es@rccl.com, con el asunto “Re: [EXTERNAL] Visita del barco Oasis of the Seas en su escala en Palma el 2 sep” y el siguiente texto: “Apreciado señor, Gracias por contactar con nocotros (sic). Lamentablemente no es un asunto que lo podemos gestionar desde nuestro departamento. Nuestra recomendación es de ponerse en contacto con una agencia y solicitar más información sobre este tipo de visitas. Los agentes tendrían que pedir apoyo a nuestros comerciales de la zona. Atentamente, B.B.B. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes TERCERO: El 23 de agosto de 2019 se envió un de correo electrónico a la parte reclamante desde la dirección documentation@rccl.com, con el asunto “Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. – EC 02 Aug 2020”, en el cual se adjuntaba un documento con una oferta comercial y condiciones de reserva de RCL CRUISES, a nombre de C.C.C. y D.D.D., y con el siguiente texto: “Apreciado cliente, Le adjuntamos los documentos de crucero solicitados. Para visualizar e imprimir los documentos adjuntos, necesitará tener instalado Adobe Acrobat C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/37 Reader. Podrá obtener descarga gratuita del programa en el siguiente enlace: www.adobe.es/cgi/acrobat/reader21/download.cgi Este mensaje se envía de forma automática. Por favor no responda al mismo ya que los mensajes enviados no pueden ser procesados. Si precisa asistencia, recuerde que puede contactarnos llamando al 902 345 145 durante nuestro horario de oficina ó en cualquier momento enviándonos un correo electrónico a: Departamento Grupos: grupos.es@rccl.com Departamento Reservas Individuales: reservas.es@rccl.com Atentamente, Royal Caribbean Cruises España, SL” CUARTO: El 23/08/2019 se envió un correo electrónico por la parte reclamante a la dirección reservas.es@rccl.com, con el asunto “Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Si este mensaje se envía automáticamente, ¿por qué lo he recibido yo por error?. Agradecería una explicación. A.A.A.”. QUINTO: El 26/08/2019 se envió un correo electrónico a la parte reclamante desde la dirección infocliente.es@rccl.com, en fecha 26/08/2019, con el asunto “Re: Fw: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID:(...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Buenos días, Gracias por contactar con nosotros. Le informamos que ha tenido una oferta, sin compromiso hasta 24 agosto 2019. Es una opción que la hemos hecho, la semana pasada, el lunes - 19 agosto 2019. Atentamente, B.B.B. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes”. SEXTO: El 26/08/2019 se envió correo electrónico por la parte reclamante a la dirección infocliente.es@rccl.com, con el asunto “Re: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Los datos no tienen nada que ver conmigo. Mi email no tiene nada que ver con estas personas. Por favor, necesitaría una aclaración de lo que ha pasado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/37 Gracias”. SÉPTIMO: El 26/08/2019 se envió un correo electrónico a la parte reclamante desde la dirección infocliente.es@rccl.com, con el asunto “Re: [EXTERNAL] Re: Bkg: Confirmación copia de Pasajero for Reservation ID: (...) C.C.C. - EC 02 Aug 2020” y el siguiente texto: “Buenos días: La reserva indicada está anulada ya y no tiene que preocuparse, era solamente un bloqueo sin compromiso de la disponibilidad y precio del momento. Se hizo por teléfono con nosotros por parte de la Sra. D.D.D.. Cordialmente, E.E.E. Agente de Reservas Individuales | Individual Cruise Consultant Royal Caribbean International | Celebrity Cruises | Azamara Club Cruises E-mail: infocliente.es@rccl.com | Tel: +34 900 374 400 Horario de atención telefónica / e-mail 09.00 - 19.30 de Lunes a Viernes”. OCTAVO: De acuerdo con la documentación aportada por RCL CRUISES durante la fase de pruebas, una vez comprobado que se había producido la brecha en cuestión, la empresa ha adoptado una serie de medidas de carácter general para aumentar la seguridad de sus tratamientos de datos personales, tal como se detalla en el antecedente NOVENO. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/37 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que RCL CRUISES realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre, apellidos de dos clientes, ambos mayores de 55 años y su correo electrónico, entre otros tratamientos. RCL CRUISES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse puesto en conocimiento de un tercero los datos personales de unos clientes de RCL CRUISES que son objeto de tratamiento en el desarrollo de su actividad empresarial. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
9. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por RCL CRUISES: 1.- Prescripción de la infracción grave. Las medidas técnicas y organizativas aplicables a este tipo de casos no han variado desde que se produjo la brecha de seguridad, tal y como se expondrá posteriormente según la prueba practicada, por lo que estaríamos ante una situación en la que no ha finalizado la conducta infractora. No podemos entender prescrita la infracción, ya que, según el artículo 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público: “…En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.” 2.- Imposición de dos sanciones por un mismo hecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/37 Según RCL CRUISES, la infracción del artículo 32 del RGPD deriva del mismo incidente que la infracción del artículo 5.1.
10. f)del RGPD, por lo que entiende que no hay justificación para que un mismo hecho sea considerado como causante de infracción de dos preceptos distintos que, además, están relacionados. Motivo por el que entiende que se vulnera el principio non bis in idem. La confidencialidad y la seguridad de los datos tienen su reflejo fundamentalmente en dos preceptos independientes del RGDP: en el artículo 5.1.
11. f)y en el artículo 32 del RGPD. El artículo 5.1.
12. f)del RGPD es uno de los principios relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Pues bien, el artículo 5.1.
13. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Por otra parte, el artículo 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Como podemos ver, el artículo 32 del RGPD, aunque relacionado con el artículo 5.1.
14. f)del RGDP, no circunscribe el principio en su totalidad. El artículo 5.1.
15. f)del RGPD exige taxativamente que se garantice la confidencialidad, y requiere para su imputación una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello haya una pérdida de integridad y confidencialidad. Los hechos expuestos determinan la comisión de dos infracciones diferenciadas, por un lado, no se ha garantizado la confidencialidad de los datos personales de dos clientes de RCL CRUISES, que supone una infracción del artículo 5.1.
16. f)del RGPD y, por otro, se pone de manifiesto la falta de adopción por RCL CRUISES de unas medidas técnicas y organizativas que garanticen la seguridad y confidencialidad del tratamiento, tal y como exige el artículo 32 del RGPD, al no existir medidas que evitasen el envío de un correo automático con datos de clientes a un tercero, y desde el momento en que el doble aviso que hizo la parte reclamante conllevó simplemente la anulación de la reserva, según se expresó en el correo de 26/08/2019 en el correo electrónico enviado por RCL CRUISES a la parte reclamante: “La reserva indicada está anulada ya y no tiene que preocuparse…”, ni se identificó la brecha ni se tomaron medidas para evitar las consecuencias de la brecha de seguridad. 3.- Acerca de la buena fe y voluntad de cumplimiento de RCL No se pone en duda la buena fe de RCL CRUISES ni la falta de voluntad de cumplimiento la normativa aplicable en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/37 4.- Acerca del origen del incidente: error humano aislado y fortuito. La actuación negligente del empleado en la producción de la brecha de seguridad no exime de responsabilidad a RCL CRUISES. La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” Continua la sentencia argumentando acerca de la de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma". A mayor abundamiento, no podemos hablar tan sólo de un error humano puntual desde el momento que el correo electrónico por el que se revelan los datos personales de los interesados dice ser un correo automático: “Este mensaje se envía de forma automática. Por favor no responda al mismo ya que los mensajes enviados no pueden ser procesados.” No se han explicado el motivo por el cual un mensaje que se envía de forma automática ha podido llegar erróneamente a un tercero. 5.- Acerca de la naturaleza, gravedad y duración del error En este punto, no cabe si no discrepar sobre la valoración hecha por RCL CRUISES acerca de que “No había ningún tipo de información sensible de la persona afectada…”. El nombre y apellidos de dos personas les hace plenamente identificables, en la oferta se hace referencia a que son mayores de 55 años, el presupuesto del crucero solicitado puede ser un tomado como un indicio de la capacidad económica del titular, así como la posible fecha de ausencia en el domicilio (en el mes de agosto), toda ella es información sensible. De hecho, una de las épocas del año en las que más robo en vivienda se producen es en verano; ante la ausencia de sus titulares, y las Fuerzas y Cuerpos de Seguridad del Estado suelen aconsejar que no se anuncie la ausencia del domicilio por vacaciones (Fuente: https://www.interior.gob.es/opencms/es/detalle/articulo/La-Policia-Nacionalfacilita-consejos-para-prevenir-los-robos-en-domicilio-de-cara-a-las-vacaciones-veraniegas-00001/). No podemos analizar todos los supuestos y el alcance o perjuicio que una brecha de seguridad de este tipo pueda producir a los interesados, lo cual dependerá de las circunstancias del caso y del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/37 tipo de información que se trate. En cualquier caso, la confidencialidad de los datos personales debe quedar garantizada. 6.- De la cuantificación de la sanción:  El número de interesados Esta circunstancia es tenida en cuenta como agravante respecto a la sanción propuesta por la infracción del artículo 32 del RGPD. Debe considerarse que la debilidad de las medidas técnicas y organizativas existentes en RCL CRUISES para evitar brechas como la ocurrida en el presente caso, determinan un riesgo claro para los clientes de RCL CRUISES.  Duración de la infracción Cabe traer a colación lo dispuesto en cuanto a la prescripción de la infracción: las medidas técnicas y organizativas aplicables a este tipo de casos no han variado desde que se produjo la brecha de seguridad, tal y como se expondrá posteriormente según la prueba practicada. En consecuencia, el riesgo en el tratamiento de los datos personales de los clientes de RCL CRUISES se ha mantenido en el tiempo. Formulada propuesta de resolución por el instructor del presente procedimiento, en el trámite de audiencia al interesado se presentan alegaciones por parte de RCL CRUISES, a las que se procede a dar respuesta: • “Previa. Acerca de la prescripción de la infracción grave” Los hechos que constituyen la infracción del artículo 32 del RGPD no se imputan por un “error puntual del empleado de RCL”, tal y como argumenta RCL CRUISES en sus alegaciones, sino por la inexistencia de unas medidas técnicas y organizativas apropiadas que eviten brechas de seguridad como la acaecida en este procedimiento. Como se explica con mayor profundidad en el Fundamento de Derecho IV, “Valoración de la prueba practicada”, de esta resolución, el error humano o negligencia podría explicar el primer correo enviado con los datos personales de los dos clientes a un tercero, pero no los dos correos posteriores en los que no se detectó la brecha de seguridad ni se adoptó ninguna medida para mitigar sus efectos. A mayor abundamiento, en el segundo correo de RCL CRUISES del 26/08/2019 vuelve a darse el nombre y apellidos de una de las dos personas cuyos datos personales estaban en la reserva. Sin embargo, no se ha justificado ninguna medida específica de carácter técnico u organizativo destinada a evitar que un correo electrónico que se envía de forma automática revele los datos personales de los interesados a un tercero; no se ha hecho un análisis de los errores que se han producido y las medidas específicas que podrían evitarlos. Al no ser apropiadas las medidas adoptadas por RCL CRUISES, no podemos entender prescrita la infracción, ya que, según el artículo 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público: “…En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.” A diferencia de la infracción del artículo 5.1.
17. f)del RGPD, la infracción del artículo 32 del RGPD es una infracción permanente, en los términos en los que aclara la Sentencia del Tribunal Superior de Justicia de Madrid de 3 de octubre de 2016 (PO 181/2015 s. 10ª), “…ha de distinguirse entre infracción continuada y permanente. Las infracciones continuadas se definen como aquéllas que implican una pluralidad de acciones destinadas al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/37 mismo fin mientras que las permanentes suponen una única acción que se agota en un momento concreto, aunque el resultado ilícito se prolongue en el tiempo...”. En la infracción del artículo 32 del RGPD esa “única acción” sería la adopción por RCL Cruises de las medidas técnicas y organizativas aplicadas en este caso y que, según lo expuesto, resultaron claramente insuficientes para evitar la brecha de confidencialidad. Al tratarse de una infracción permanente, el plazo de prescripción comenzaría cuando se corrija el resultado lesivo de la infracción cometida, esto es, cuando se adopten medidas técnicas y organizativas adecuadas para evitar brechas como la que ha motivado la instrucción del presente procedimiento o, de producirse, que puedan ser identificadas y sus consecuencias negativas solventadas. • “Primera. Acerca del origen del incidente: error humano aislado y fortuito” En este punto desde RCL CRUISES se formulan las mismas alegaciones tanto para la infracción del artículo 5.1.
18. f)del RGPD como para el artículo 32 del RGPD, por lo que corresponde diferenciar la respuesta con relación a cada infracción:
19. a)Infracción del artículo 5.1.
20. f)del RGPD. Hablamos de una infracción en la que la actuación negligente del empleado ha producido la pérdida de confidencialidad de los datos personales de clientes de RCL CRUISES, lo cual no le exime de responsabilidad. Esta cuestión ya se respondió en el punto 4 del presente Fundamento de Derecho en la propuesta de resolución: “La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” Continua la sentencia argumentando acerca de la de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma".
21. b)Infracción del artículo 32 del RGPD. En esta infracción, coincidimos con los términos de la Sentencia del Tribunal Supremo citada por RCL CRUISES: “…la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios”, la conducta sancionada no es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/37 un error humano aislado y fortuito. Tal y como se razona en el punto 2 de estas alegaciones, la infracción del artículo 32 del RGPD se produce al no existir medidas que evitasen el envío de un correo automático con datos de clientes a un tercero, y desde el momento en que el doble aviso que hizo la parte reclamante conllevó simplemente la anulación de la reserva, según se expresó en el correo de 26/08/2019 en el correo electrónico enviado por RCL CRUISES a la parte reclamante: “La reserva indicada está anulada ya y no tiene que preocuparse…”, ni se identificó la brecha ni se tomaron medidas para evitar las consecuencias de la brecha de seguridad. En último término, incluso se volvió a enviar nombre y apellidos de uno de los clientes. De la justificación realizada por RCL CRUISES acerca de que en el primer correo en el que se envían los datos se trataba de un correo automático, se desprenden que mediante estos avisos se envían datos personales sin confirmación de que los datos que se envían sean correctos. • “Segunda. Acerca de la naturaleza, gravedad y duración del error” Como ya se argumenta en el punto 5 de estas alegaciones, respecto a la repercusión que para los afectados puede tener la pérdida de confidencialidad de los datos personales proporcionados a RCL CRUISES, no podemos analizar todos los supuestos y el alcance o perjuicio que una brecha de seguridad de este tipo pueda producir a los interesados, lo cual dependerá de las circunstancias del caso y del tipo de información que se trate. En cualquier caso, la confidencialidad de los datos personales debe quedar garantizada tal y como exige el artículo 5.1.
22. f)del RGPD. • Tercera. De la cuantificación de la sanción Debemos distinguir de nuevo entre los agravantes aplicados a la cuantificación de la infracción del artículo 5.1.
23. f)del RGPD de la del 32 RGPD, ya que RCL CRUISES mezcla en sus argumentos los agravantes de ambas infracciones. El agravante del número de interesados afectados no se refiere a la infracción del artículo 5.1.
24. f)del RGPD, de la cual tan sólo se han visto afectados los dos interesados cuyos datos se han remitido a un tercero, la parte reclamante. Las medidas técnicas y organizativas puestas de manifiesto con ocasión de la brecha de seguridad son las que motivan la infracción del artículo 32 del RGPD, y esta falta de seguridad en el tratamiento de datos tiene como potenciales afectados a los clientes de RCL CRUISES. Además, estas medidas no afectan tan sólo a las reservas realizadas por vía telefónica, como señala RCL CRUISES, ya que el primer contacto de la parte reclamante con RCL CRUISES se produjo mediante correo electrónico. La graduación de la sanción en base al número interesados potencialmente afectados por la infracción es un criterio compartido con el Comité Europeo de Protección de Datos (CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD) se encuentra elaborando unas orientaciones para proporcionar una base clara y transparente para la fijación de sanciones por parte de las autoridades de supervisión nacionales (Directrices 04/2022 sobre el cálculo de las sanciones administrativas bajo el RGPD- “Guidelines 04/2022 on the calculation of administrative fines under the GDPR”). El apartado 54.b.iv de las Directrices 04/2022 del CEPD recoge, como una de las circunstancias a valorar en la graduación de la sanción: “El número de interesados concretamente, pero también potencialmente afectados”, y, aclara con relación a ese criterio: “Cuanto más alto es el número de interesados implicados, mayor ponderación podrá tener la autoridad de control atributo a este factor. En muchos casos también puede considerarse que la infracción asume connotaciones «sistemáticas» y, por lo tanto, puede afectar, incluso en diferentes momentos, sujetos de datos adicionales que no han presentado quejas o informes a la autoridad supervisora. La autoridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/37 control podrá, en función de las circunstancias del caso, considere la relación entre el número de interesados afectados y el número total de interesados en ese contexto (por ejemplo, el número de ciudadanos, clientes o empleados) con el fin de evaluar si la infracción es de carácter sistémico”. De este razonamiento se deduce que no puede graduarse una sanción de la misma forma cuando, ante la falta de medidas apropiadas, el tratamiento es realizado por una pequeña empresa que cuando se efectúa por una empresa con más de un millón de clientes anuales, como en el presente caso. En cuanto a las medidas adoptadas por RCL CRUISES, éstas han sido positivamente valoradas, tal y como se expresa en el punto 3 del Fundamento de Derecho IV, “Valoración de la prueba practicada” de esta resolución, por lo cual, ya en la propuesta de resolución, se incluyó un atenuante con relación a la infracción del artículo 32 del RGPD. Sin embargo, estas medidas adoptadas son de carácter general en materia de protección de datos, no son medidas específicas para evitar brechas de seguridad como la ocurrida en este caso, la remisión por correo electrónico de datos personales a terceros y la mitigación de sus efectos. Por todo lo expuesto, se desestiman las alegaciones presentadas. IV Valoración de la prueba practicada Con fecha 07/07/2022 el instructor del procedimiento acordó la realización de la práctica de prueba documental, respecto a la seguridad de los tratamientos de datos personales objeto del presente procedimiento. El 08/08/2022 RCL CRUISES presentó documentación, ante la cual cabe formular las siguientes valoraciones: 1. Medidas de seguridad implantadas con anterioridad a la incidencia de seguridad en los tratamientos de datos donde se ha producido la brecha objeto del presente procedimiento, con fecha 23/08/2019. No se concretan las actuaciones que los empleados de RCL CRUISES debían llevar a cabo en caso de que se produzca una brecha de seguridad, como en el presente caso, donde no llegó a identificarse por el operador u operadores correspondientes la brecha producida como tal, ya que se respondió a la parte reclamante, con relación a su comunicación de la brecha producida que “Le informamos que ha tenido una oferta, sin compromiso hasta 24 agosto 2019…”, y, como segunda acción, se procedió a anular la oferta. Ni siquiera se solicita al tercero que tuvo conocimiento indebido de los datos que proceda a eliminar los datos personales recibidos erróneamente, además de advertir sobre la ilegalidad de cualquier publicación, divulgación o uso de dichos datos. Por lo tanto, no existía un protocolo claro de actuación asumido por los empleados cuando se produce la comunicación de los datos personales de un cliente a un tercero. El nombre y apellidos, edad aproximada (mayores de 55 años), fechas de viaje, presupuesto con relación al viaje de una persona identificada son datos personales que deben ser protegidos. En general, sólo se demuestran cuestiones generales de formación y comunicaciones a los empleados, pero no se analiza las circunstancias que provocaron la brecha en este caso concreto. 2. Información respecto del motivo por el cual las medidas de seguridad implantadas no han impedido el incidente de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/37 En este punto, RCL CRUISES insisten en la formación en la formación de sus empleados, sin identificar qué ha podido suceder para que las medidas técnicas y organizativas no hayan evitado la brecha de seguridad, ni que, una vez realizada las advertencias por la parte reclamante, tampoco se hayan identificado como tal. El error humano o negligencia podría haber producido el primer envío del correo con los datos personales de un cliente a un tercero, pero no de los dos correos posteriores. A mayor abundamiento, en el segundo correo de RCL CRUISES del 26/08/2019 vuelve a darse el nombre y apellidos de una de las dos personas cuyos datos personales estaban en la reserva. Por otra parte, si no hubiera sido por las comunicaciones realizadas por la parte reclamante, RCL CRUISES no habría detectado la brecha de seguridad producida. 3. Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. Se valora positivamente las medidas adoptadas, tales como la formación o el proceso de escalamiento para reducir el período de respuesta en materia de ejercicios de derechos de protección de datos de los interesados a 48 horas. Sin embargo, no se ha justificado ninguna medida específica de carácter técnico u organizativo destinada a evitar que un correo electrónico que se envía de forma automática revele los datos personales de los interesados a un tercero; no se ha hecho un análisis de los errores que se han producido y las medidas específicas que podrían evitarlos. Existen diversas técnicas como, por ejemplo, la anonimización de datos personales que, en brechas de seguridad como la ocurrida en el presente caso, hubiesen impedido que los datos en cuestión hubieran sido puestos en conocimiento de un tercero. Además, deben adoptarse medidas para evitar los efectos negativos de la brecha de datos, como se hizo referencia anteriormente, comunicando al tercero que ha tenido acceso a los datos su obligación de eliminarlos y no dar ningún uso a los mismos, con advertencia de la responsabilidad legal que cualquier uso de dichos datos podría conllevar. V Principio de integridad y confidencialidad El artículo 5.1.
25. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
26. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de RCL CRUISES, fueron indebidamente expuestos a un tercero. La parte reclamante, se había puesto en contacto con RCL CRUISES por e-mail el día 12 de agosto de 2019 para solicitar información general sobre un crucero. El 20 de agosto de 2019 RCL CRUISES contestó a su correo. Tres días más tarde, el 23 de agosto de 2019 la parte reclamante recibió un correo electrónico automático que incluía un documento con una oferta de crucero dirigida a una persona desconocida, conteniendo datos personales de esa persona, su acompañante, y detalles del crucero objeto de la oferta. La parte reclamante contestó al correo diciendo que no tenía nada que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/37 ver con ello y, posteriormente, RCL CRUISES le informa que ha tenido una oferta hasta el 24 de agosto de 2019, sin ningún tipo de explicación en lo referente a los datos de terceras personas. Con fecha 26 de agosto de 2019 la parte reclamante vuelve a escribir a RCL CRUISES explicando que en su correo de 23 de agosto de 2019 se incluyen datos personales que nada tienen que ver con él, y que su correo electrónico tampoco tiene nada que ver con estas personas; RCL CRUISES contesta que la reserva ya está anulada. Según los hechos expuestos anteriormente, en el momento de producirse la brecha, RCL CRUISES fue informada en dos ocasiones por la parte reclamante mediante sendos correos electrónicos de fecha 23 y 26 de agosto de 2019, frente a los cuales se respondió, primero, que la parte reclamante había tenido una oferta sin compromiso y, en un segundo correo, que la reserva había sido anulada. En este último correo vuelve a mencionarse nombre y apellidos de uno de los clientes de RCL CRUISES. En contestación al requerimiento de información efectuado por esta Agencia, RCL CRUISES atribuye la brecha de seguridad a un error de un trabajador. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” De conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a RCL CRUISES, por vulneración del artículo 5.1.
27. f)del RGPD. VI Tipificación de la infracción del artículo 5.1.
28. f)del RGPD La citada infracción del artículo 5.1.
29. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
30. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/37 A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
31. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Sanción por la infracción del artículo 5.1.
32. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravante: - Negligencia en la infracción (apartado b): La parte reclamante se puso en contacto hasta en dos ocasiones con RCL CRUISES advirtiendo del error, quien se limitó en sus respuestas a señalar, en un primer correo, que había tenido una oferta y, posteriormente, que la reserva había sido anulada, sin realizar ninguna otra acción. Como atenuante: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): Los afectados por la brecha de confidencialidad, cuyos datos personales fueron remitidos a un tercero, corresponden tan sólo a dos clientes de RCL Cruises. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b). El desarrollo de la actividad empresarial que desempeña RCL CRUISES requiere un tratamiento continuo de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
33. f)del RGPD, permite imponer una sanción de 10.000 € (diez mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/37 VIII Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, según los hechos expuestos anteriormente, en el momento de producirse la brecha, RCL CRUISES fue informada en dos ocasiones por la parte reclamante mediante sendos correos electrónicos de fecha 23 y 26 de agosto de 2019, frente a los cuales se respondió, primero, que la parte reclamante había tenido una oferta sin compromiso y, en un segundo correo, que la reserva había sido anulada. No se da ninguna explicación ni se comunica la adopción de medida alguna en cuanto a la brecha de confidencialidad de los datos personales de los clientes a quienes iba destinada la oferta erróneamente enviada a la parte reclamante. Una vez que esta Agencia formula requerimiento de información, es cuando RCL CRUISES declara que se han adoptado medidas adicionales para proporcionar formación de repaso a los agentes del centro de llamadas y a la plantilla en general, sin que en la contestación al requerimiento se acredite nada al respecto. Por otra parte, tampoco se justifica la suficiencia de tales medidas para evitar brechas de seguridad similares en el futuro. De conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a RCL CRUISES, por vulneración del artículo 32 del RGPD. IX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/37 Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
34. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
35. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. X Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): Aproximadamente 1.250.000 pasajeros de RCL CRUISES en 2020, quienes pueden verse potencialmente afectados por la falta de adopción de medidas técnicas y organizativas apropiadas para evitar brechas de seguridad como la ocurrida en este caso. Fuente: https://es.statista.com/estadisticas/572472/cifra-anual-de-pasajeros-de-crucero-del-gruporoyal-caribbean-cruises/”. Este agravante es considerado de acuerdo con el razonamiento expuesto en el Fundamento de Derecho III, “Alegaciones aducidas”, de esta resolución, al contestar a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/37 alegaciones formuladas por RCL CRUISES a la propuesta de resolución, concretamente en la alegación “Tercera. De la cuantificación de la sanción”. No puede graduarse una sanción de igual manera cuando el tratamiento de datos personales tiene un número pequeño de potenciales afectados, que cuando afecta a una empresa con más de un millón de clientes anuales que pueden verse potencialmente afectados, como ocurre en el presente caso. - Negligencia en la infracción (apartado b): La parte reclamante se puso en contacto hasta en dos ocasiones con RCL CRUISES advirtiendo del error, quien se limitó en sus respuestas a señalar, en un primer correo, que había tenido una reserva y, posteriormente, que la reserva había sido anulada, sin realizar ninguna otra acción, aun después de haber recibido el requerimiento de información de esta Agencia. Como atenuante: - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (apartado k): A partir de las evidencias aportadas en el período de pruebas, se valora positivamente las medidas técnicas y organizativas adoptadas con posterioridad a la brecha, tales como la formación continua en materia de protección de datos o el proceso de escalamiento para reducir el período de respuesta en materia de ejercicios de derechos de protección de datos de los interesados a 48 horas, por lo que se incorpora este atenuante respecto del acuerdo de inicio. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): El desarrollo de la actividad empresarial que desempeña RCL CRUISES requiere un tratamiento continuo de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite imponer una sanción de 5.000 € (cinco mil euros). XI Imposición de medidas Se estima procedente ordenar al responsable que en el plazo de 60 días proceda a adoptar las medidas técnicas y organizativas adecuadas para garantizar la confidencialidad de los datos personales de los clientes de RCL CRUISES, evitando brechas como la que es objeto del presente procedimiento y, en el caso de que se produzcan, que permitan su más ágil identificación y corrección, de acuerdo con lo establecido en el citado artículo 58.2
36. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/37 operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Las medidas adoptadas en relación con las actividades de tratamiento se aplicarán en todos los países de la Unión Europea en los que opere RCL CRUISES. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a RCL CRUISES LTD, con NIF GB102833940: - Por una infracción del Artículo 5.1.f del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 10.000 € (di