← España

PS-00281-2024

1/15  Expediente N.º: EXP202200144 RESOLUCIÓN DE ARCHIVO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 13 de abril de 2021 interpuso reclamación ante la autoridad alemana de protección de datos de Baviera. La reclamación se dirige contra NH HOTEL GROUP S.A. con NIF A28027944 (en adelante, NH HOTEL). Los motivos en que basa la reclamación son los siguientes: A.A.A. se alojó en el Hotel NH en ***LOCALIDAD y tuvo conocimiento de un tratamiento de datos personales que consideró excesivo. Así que solicitó el acceso a sus datos personales de acuerdo con el artículo 15 del RGPD el 7 de diciembre de 2020. Envió la solicitud a la dirección de correo electrónico dpo@nh-hotels.com. El acceso nunca fue concedido. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 27 de diciembre de 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 10 de enero de 2022. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que la parte reclamada tiene su establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad alemana de protección de datos de Baviera, las autoridades de Países Bajos, Francia, Italia, Polonia, Suecia, Dinamarca, Portugal, Bélgica y las autoridades alemanas de Renania-Palatinado, Brandemburgo, Hesse y Baden-Wurtemberg. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 TERCERO: La autoridad alemana de protección de datos de Baviera compartió a través del Sistema IMI, el día 16 de febrero de 2022, la siguiente documentación (original en alemán y su traducción al inglés): - Reclamación presentada ante la autoridad alemana - Impresión de correo electrónico de A.A.A. a la dirección dpo@nh-hotels.com, de fecha 7 de diciembre de 2020, con el siguiente contenido (original en alemán, traducción no oficial): “Buen día, Quisiera pedir el acceso a mis datos en virtud del artículo 15 RGPD. Por favor confirme si está tratando mis datos personales (de acuerdo al art. 4.1 y 2 del RGPD). Si lo hace, solicito el acceso en virtud del artículo 15.1 del RGPD a 1. todos los datos personales sobre mi persona que tenga almacenados, incluyendo cualquier posible dato pseudoanonimizado sobre mí (como se define en el artículo 4.5 RGPD); 2. los fines del tratamiento; 3. las categorías de los datos personales que se trate; 4. los destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales; 5. de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar ese plazo; 6. si los datos personales no hubieran sido obtenidos de mí, cualquier información disponible sobre su origen; 7. en su caso, la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. Si trata datos anónimos sobre mí, quisiera que no solo me informe sobre esto, sino que se me explique claramente el procedimiento utilizado. Si transfiere mis datos personales a un tercer país u organización internacional, quisiera se me informe sobre las garantías adecuadas de acuerdo con el artículo 46 del RGPD respecto de la transferencia. Mi solicitud incluye específicamente todas las otras ofertas y compañías de las que es responsable de acuerdo con el artículo 4.7 del RGPD. En virtud del artículo 12.3 del RGPD, la información debe ser proporcionada sin demora, y en cualquier caso dentro del plazo de un mes desde la recepción de la solicitud. De acuerdo con el artículo 12.3 del RGPD, debe proporcionarse sin costo. He añadido la siguiente información para identificarme: Nombre: A.A.A. Compañía: (...) Fecha de nacimiento: (...) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Domicilio: ***DIRECCIÓN.1 E-Mail: A.A.A. Último número de reserva: (…) Si no cumple con mi solicitud en el plazo indicado, me reservo el derecho de iniciar acciones legales en su contra e interponer una reclamación ante la autoridad competente de protección de datos. Gracias por adelantado por su esfuerzo. Saludos cordiales, A.A.A.” - Copia de una carta enviada por la parte reclamada a la autoridad alemana de protección de datos de Berlín, de fecha 11 de agosto de 2021, con, entre otro, el siguiente contenido (original en alemán, traducción no oficial): “Solicitud de Información de fecha 12 de julio de 2021 Reclamante: A.A.A. Referencia: (...) Estimado (…), Hemos sido nombrados Delegados de Protección de Datos Externos por NH Hotels Deutschland GmbH ("NHD"). En esta función, contestamos su carta de fecha 12 de julio de 2021 como sigue: Pregunta 1: Como responsable o encargado de tratamiento respecto de los citados hechos, ¿realiza tratamientos transfronterizos de datos personales de acuerdo con el artículo 4.23 del RGPD? Por favor, indique su propio análisis y proporcione sus razones. NHD opera el Hotel NH en ***LOCALIDAD y es la parte contratante en el contrato de alojamiento con el respectivo huésped del hotel, incluido quien reclama. NHD es una subsidiaria de NH Hotel Group S.A. con domicilio en Santa Engracia 120, 28003 Madrid, Spain ("NH Group"). El NH Group proporciona a sus subsidiarias sistemas y servicios centrales de IT (incluyendo el sistema de reservas), la mayoría de ellos se ubican en España. En este contexto, los datos personales de los huéspedes alemanes son transferidos específicamente a España para ser tratados en los sistemas de NH Group allí. Pregunta 2: ¿Es el citado tratamiento de datos personales llevado a cabo con la finalidad de garantizar los derechos de los interesados en conexión con las actividades de sucursales en más de un Estado Miembro? En este caso, por favor especifique todas las sucursales y conteste las siguientes preguntas para identificar el establecimiento principal: i. ¿En cuál establecimiento de la UE se adoptan las decisiones sobre las finalidades y medios del tratamiento? ¿Tiene este establecimiento la autoridad de implementar estas decisiones? ii. Si no, ¿en cual Estado Miembro se encuentra la sede social de la compañía? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 NHD garantiza a sus huéspedes los derechos sobre sus datos personales. Las solicitudes de los interesados se reciben a través de una dirección de correo electrónico central dentro del NH Group y se transmite a las subsidiarias individuales (por ejemplo, NHD para Alemania) para contestar. (…)” - Copia de una carta enviada por la parte reclamada a la autoridad alemana de protección de datos de Berlín, de fecha 15 de diciembre de 2021, con, entre otro, el siguiente contenido (original en alemán, traducción no oficial): “Su carta de fecha 24 de noviembre de 2021 Reclamante: A.A.A. Referencia: (…) Estimado (…), Respecto a su citada carta le informamos que en el presente caso, la empresa matriz española (NH Hotel Group S.A.) no ha transmitido la solicitud de acceso, por tal motivo el tratamiento de la solicitud de acceso se ha demorado (…)”. CUARTO: Con fecha 4 de mayo de 2022, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por A.A.A. QUINTO: En virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD, la Subdirección General de Inspección de Datos debió proceder a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. Al respecto, el apartado 2 del artículo 67 “Actuaciones previas de investigación” de la LOPDGDD dispone: “2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa.” SEXTO: Con fecha 29 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos declaró la caducidad de las actuaciones previas de investigación al haber transcurrido más de doce meses desde su inicio, abriéndose a continuación nuevas actuaciones de investigación. SÉPTIMO: Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: El día 4 de julio de 2023, se presentó un escrito ante la AEPD en representación de la parte reclamada, como respuesta a un requerimiento de información, con número de registro de entrada REGAGE23(…), en el que se aportaba, entre otra, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 1. Declaración de que la cuenta de correo a la que envió A.A.A. su solicitud de acceso era la del delegado de protección de datos (dpo@nh-hotels.com), que no era la misma que la dirección puesta a disposición de los interesados para el ejercicio de los derechos, dataprotection@nh-hotels.com. Y se indicaba que “Sin embargo, para garantizar el cumplimiento y salvaguarda de los derechos y libertades de los interesados, las solicitudes que son recibidas en la dirección de correo electrónico del DPD son remitidos a esta cuenta para el ejercicio de derechos, procediendo a la gestión y tramitación de todos ellos.” 2. Declaración de que, en este caso, la solicitud de A.A.A. “…fue remitida con fecha de 07 de diciembre de 2020, el correo electrónico remitido se recibió directamente en la carpeta de correo no deseado o Spam del DPD de NH Hotel Group, sin que se tuviera conocimiento de su recibo”, y que se tuvo conocimiento de la existencia de esta solicitud porque el 14 de julio de 2021, NH Hotels Deutschland GmbH recibió un requerimiento de información de la autoridad alemana de protección de datos en el que se le informaba de la reclamación interpuesta por A.A.A. debido a que no se había atendido su derecho de acceso. De este modo, se indicó que el delegado de protección de datos de NH Hotels Deutschland GmbH contestó a la autoridad alemana el 11 de agosto de 2021 e informó al delegado de protección de datos del grupo NH en España de esta situación, y que, después de esto, el delegado de protección de datos del grupo NH buscó el correo electrónico de A.A.A. y lo encontró en su carpeta de Spam e inició en ese momento el procedimiento interno para dar contestación al ejercicio del derecho de acceso de A.A.A. y le enviaron al reclamante la contestación al ejercicio de derecho el 10 de septiembre de 2021, e indican que, desde entonces, no han recibido ninguna comunicación de A.A.A. 3. Impresión de correo electrónico en idioma alemán, de fecha 10 de septiembre de 2021, remitido por dataprotection@nh-hotels.com a ***EMAIL.1, como respuesta al correo electrónico enviado por A.A.A. el 7 de diciembre de 2020. En este correo electrónico de 10 de septiembre de 2021, se le pide disculpas a A.A.A. por el retraso en la contestación y se le indica “dass NH HOTEL GROUP am Datum Ihrer Anfrage personenbezogene Daten von Ihnen verarbeitet.” [Traducción no oficial: “que NH HOTEL GROUP estaba tratando sus datos personales en la fecha de su solicitud”] y se le ofrece la siguiente información sobre el tratamiento de sus datos personales: “(

  1. i)Wir teilen Ihnen mit, dass wir Ihre Daten über die angebotenen Dienste direkt von Ihnen erhalten haben. (
  2. ii)Die Kategorien von Daten, die wir behandeln, sind: 1. Identifizieren von Daten. 2. Daten zu persönlichen Merkmalen. 3. Wirtschafts- und Finanzdaten. (iii) Ihre Daten werden für die folgenden Zwecke verarbeitet: - Verwaltung Ihrer Reservierungen in den Hotels der NH Kette, die zum vorliegenden Schreiben begleitet werden. - Durchführung von Zufriedenheitsumfragen für die von der für die Unterkunft verantwortlichen Stelle erbrachten Dienstleistungen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 (
  3. iv)Ihre personenbezogenen Daten werden von NH HOTEL GROUP für die folgenden Zeiträume aufbewahrt: - Zum Zwecke der Verwaltung Ihrer Reservierung werden Ihre Daten während der Verjährungsfrist der Klagen gespeichert. - Um Zufriedenheitsstudien für die Dienstleistungen der Eigentümerin der Unterkunft durchführen zu können, werden Ihre Daten während der Verjährungsfrist für rechtliche Schritte aufbewahrt. (
  4. v)Ihre Daten wurden weitergeleitet an: - Zur Entität NH HOTELES DEUTSCHLAND GMBH, zum Zwecke von die Erbringung von Dienstleistungen im Hotel NH ***LOCALIDAD. - Zur Entität NH HOTELES DEUTSCHLAND GMBH, zum Zwecke von die Erbringung von Dienstleistungen im Hotel NH Dortmund. - Zur Entität NH HOTELES AUSTRIA GMBH, zum Zwecke von die Erbringung von Dienstleistungen imHotel NH Graz City. Wir setzen Sie ebenfalls darüber in Kenntnis, dass Sie Ihr Recht auf Korrektur, Löschung, Beschränkung,Portabilität und Ablehnung der Verarbeitung Ihrer personenbezogenen Daten jederzeit inÜbereinstimmung mit der derzeitig gültigen Gesetzgebung ausüben können, und dass Sie dazuberechtigt sind, zuvor gegebene Zustimmung gemäß der Bedingungen der geltendenGesetzgebung zurückzuziehen und bei der spanischen Datenschutzbehörde eine Beschwerdevorzubringen.” [Traducción no oficial: “(
  5. i)Le informamos de que hemos recibido directamente de usted sus datos sobre los servicios ofrecidos. (
  6. ii)Las categorías de datos que tratamos son: 1. Datos de identidad. 2. Datos sobre características personales. 3. Datos económicos y financieros. (iii) Sus datos se tratarán con los siguientes fines: - Gestionar sus reservas en los hoteles de la cadena NH, que irán acompañadas de la presente carta. - Realizar encuestas de satisfacción de los servicios prestados por la entidad responsable del alojamiento. (
  7. iv)NH HOTEL GROUP facilitará sus datos personales para: Períodos de almacenamiento de los datos: - Para gestionar su reserva, sus datos se almacenarán durante el plazo de prescripción de las acciones. - Para poder llevar a cabo estudios de satisfacción de los servicios prestados por el propietario del alojamiento, sus datos se conservarán durante el plazo de prescripción de las acciones judiciales. (
  8. v)Sus datos se han transmitido a: - La entidad NH HOTELES DEUTSCHLAND GmbH, para la prestación de servicios en el hotel NH ***LOCALIDAD. - La entidad NH HOTELES DEUTSCHLAND GmbH, con el fin de prestar servicios en el hotel NH Dortmund. - La entidad NH HOTELES AUSTRIA GmbH, con el fin de prestar servicios en el hotel NH Graz City. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 Asimismo, le informamos de que puede ejercer su derecho de rectificación, supresión, limitación, portabilidad y negarse al tratamiento de sus datos personales en cualquier momento de conformidad con la legislación vigente, y de que tiene derecho a retirar el consentimiento previo de conformidad con las condiciones de la legislación aplicable y a presentar una reclamación ante la Agencia Española de Protección de Datos.”] Este correo electrónico de fecha 20 de septiembre de 2021 lleva adjunto un documento con el nombre “***DOCUMENTO.1”. 4. Copia de la Política de Privacidad y los Términos y Condiciones de Uso disponibles en la web del grupo NH el 7 de diciembre de 2020. Y se indicaba que ambos documentos fueron aceptados en varias ocasiones por A.A.A. “…concretamente, en cinco ocasiones, que coinciden con el número de solicitudes de servicios por parte de éste, para lo cual es preciso aceptar tanto la Política de Privacidad como las Condiciones de Uso. Sin esta aceptación de ambos documentos, no es posible llevar a cabo la prestación de los servicios por parte de NH Hotel Group.” En el documento aportado, en su apartado “11. EJERCICIO DE DERECHOS” se indica que “El usuario puede enviar un escrito a NH HOTEL GROUP, a la dirección indicada en el encabezado de la presente Política, o bien por medio de un correo electrónico a la dirección dataprotection@nh-hotels.com, adjuntando fotocopia de su documento de identidad, en cualquier momento y de manera gratuita”, y los datos de identificación que aparecen en el apartado “1. IDENTIFICACIÓN” de esta Política de Privacidad son los siguientes: “- Identidad: NH HOTEL GROUP, S.A. (en adelante, “NH HOTEL GROUP”) - NIF: A-28027944 - Dirección: Calle Santa Engracia n.º 120, 28003 Madrid, España - Delegado de Protección de Datos (DPO): puede contactar con nuestro DPO a través de los siguientes medios: - E-mail: dpo@nh-hotels.com - Teléfono: Oficinas centrales de calle Santa Engracias 120, 7ª, 28003, Madrid Indicando en la referencia “Delegado de Protección de Datos”” 5. Alegación de que “NH Hotel Group cuenta con un procedimiento de gestión de derechos, efectivo y correctamente implementado internamente. De hecho, en el año 2022, NH Hotel Group contestó a 3.845 solicitudes de derechos ejercitados por los interesados desde el 1 de enero hasta el 31 de diciembre y, en cuanto al año presente, desde el 1 de enero de 2023 hasta el día de hoy se ha dado contestación a más de 1.500 ejercicios de derechos. Por lo tanto, en el presente supuesto analizado, la demora en la contestación no se trató de una falta de cumplimiento o de efectividad de este procedimiento, sino que se trató de un error…”, por recibirse la solicitud de A.A.A. “…en la carpeta de correo no deseado o Spam del DPD”. 6. Respecto a las medidas tomadas, entre otras, se indicaba que “se ha procedido a la actualización del procedimiento de gestión de derechos en materia de protección de datos, existente e implementado desde mayo de 2018, si bien se ha procedido a realizar esta actualización para garantizar que, en el supuesto de que se reciban solicitudes de derechos por parte de los interesados que entren directamente a esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 carpeta de correo no deseado o Spam, se dé respuesta y se atienda a los mismos. Esta actualización afecta, tanto a la cuenta de correo electrónico puesta a disposición de los interesados para ejercitar los derechos, dataprotection@nhhotels.com, como para la cuenta del DPD en la cual se recibió la solicitud que motiva la presente reclamación, dpo@nh-hotels.com.” y se indica que “en relación con la coordinación entre el DPD de NH Hotel Group y el DPD de NH Alemania, se han establecido nuevas medidas y procedimientos adicionales con la finalidad de reforzar la coordinación entre ambos y garantizar un alineamiento en sus funciones. Entre otras, se ha creado un reporte periódico sobre las funciones o asuntos que ambos se encuentran desempeñando y, del mismo modo, se han establecido reuniones quincenales entre ambos de tal forma que la comunicación y coordinación se desarrolle con mayor fluidez.” Según consta en la diligencia de fecha 30 de mayo de 2024, ese día desde esta Agencia se hizo una navegación en el sitio web https://web.archive.org/ para obtener el contenido histórico de la política de privacidad del sitio web https://www.nh-hotels.com (https://www.nh-hotels.com/privacy-policy), obteniéndose los siguientes resultados: 7. Los datos históricos de la política de privacidad correspondientes al año 2020 (de 19 de mayo de 2020 y de 9 de agosto de 2020) no son legibles. 8. La primera fecha del año 2021 de la que se conserva una copia de la política de privacidad es del 21 de julio de 2021, que en su apartado “11. EXERCISE OF RIGHTS” [Traducción no oficial: “11. EJERCICIO DE DERECHOS”] se indica lo siguiente: “Users may write to NH HOTEL GROUP, at the address noted at the top of this Policy, or by email to protecciondedatos@nh-hotels.com, including a copy of their identity document, at any time and free of charge” [Traducción no oficial: “El usuario puede enviar un escrito a NH HOTEL GROUP, a la dirección indicada en el encabezado de la presente Política, o por medio de un correo electrónico a la dirección protecciondedatos@nh-hotels.com, adjuntando fotocopia de su documento de identidad, en cualquier momento y de manera gratuita”] y, al principio de esta política de privacidad, aparece el apartado “1. IDENTIFICATION” con el siguiente contenido: “- Identity: NH HOTEL GROUP, S.A. (hereinafter “NH HOTEL GROUP”) - Tax ID: A-28027944 - Address: Calle Santa Engracia 120, 7ª, 28003, Madrid - Data Protection Officer (DPO): you may contact our DPO by the following: - E-mail: dpo@nh-hotels.com - Telephone: Headquarters at Calle Santa Engracia 120, 7ª, 28003, Madrid - Please state the reference "Data Protection Officer"” OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR el 30 de mayo de 2024, la entidad MINOR HOTELS EUROPE & AMERICAS S.A., con NIF A28027944, es una empresa de tipo “(…)”, constituida en 1881, y un volumen de negocios de (…) euros en el año 2022 y (…) empleados. NOVENO: Con fecha 13 de agosto de 2024, la Directora adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI el citado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante ese plazo, de acuerdo con lo establecido en el artículo 64 de la LOPDGDD. DÉCIMO: Con fecha 19 de diciembre de 2024, la Directora adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante ese plazo, de acuerdo con lo establecido en el artículo 64 de la LOPDGDD FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones y poderes que el artículo 57, 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que NH HOTEL GROUP S.A. realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, fecha de nacimiento y correo electrónico, entre otros tratamientos. NH HOTEL GROUP S.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, tal y como ha indicado la parte reclamada en su escrito de fecha 11 de agosto de 2021. IV Obligación incumplida. Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  9. a)los fines del tratamiento;
  10. b)las categorías de datos personales de que se trate;
  11. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  12. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  13. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  14. f)el derecho a presentar una reclamación ante una autoridad de control;
  15. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  16. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." En el presente caso, A.A.A. envió un correo electrónico a la dirección dpo@nhhotels.com el 7 de diciembre de 2020, en el que solicitaba el acceso a sus datos personales en virtud del artículo 15 del RGPD. En su escrito de 4 de julio de 2023, la parte reclamada indicó que el citado correo electrónico fue recibido directamente en la carpeta de correo no deseado o Spam del DPD de NH Hotel Group, y que se tuvo conocimiento de la existencia de esta solicitud porque el 14 de julio de 2021, NH Hotels Deutschland GmbH recibió un requerimiento de información de la autoridad alemana de protección de datos en el que se le informaba de la reclamación interpuesta por A.A.A. debido a que no se había atendido su derecho de acceso. Y que el 10 de septiembre de 2021 se le envió un correo electrónico a A.A.A. proporcionando la información solicitada. En relación con esta cuestión, las Directrices 01/2022 sobre los derechos de los interesados-Derecho de acceso, señalan que “no hay requisitos específicos sobre el formato de una solicitud. El responsable del tratamiento debe proporcionar canales de comunicación adecuados y fáciles de usar que puedan ser utilizados fácilmente por el interesado. Sin embargo, el interesado no está obligado a utilizar estos canales específicos y, en su lugar, puede enviar la solicitud a un punto de contacto oficial del responsable del tratamiento. El responsable del tratamiento no está obligado a responder a las solicitudes que se envían a direcciones completamente aleatorias o aparentemente incorrectas”. De este modo, en el apartado 3.1.2 relativo a la forma de la solicitud, se recoge: “52. Como se ha señalado anteriormente, el RGPD no impone ningún requisito a los interesados en relación con la forma de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos en virtud del RGPD que los interesados deban observar a la hora de elegir un canal de comunicación a través del cual entren en contacto con el responsable del tratamiento. 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, a fin de que el interesado pueda presentar una solicitud efectiva. No obstante, si el interesado presenta una solicitud a través de un canal de comunicación proporcionado por el responsable del tratamiento, que es diferente del indicado como preferible, dicha solicitud se considerará, en general, efectiva y el responsable del tratamiento debe tramitar dicha solicitud en consecuencia (véanse los ejemplos que figuran a continuación). Los responsables del tratamiento deben realizar todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos de los interesados (por ejemplo, en caso de que el interesado envíe la solicitud a un empleado que se encuentre en situación de baja, un mensaje automático que informe al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 54. Cabe señalar que el responsable del tratamiento no está obligado a responder a una solicitud enviada a una dirección de correo electrónico (o postal) aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento, ni a ningún canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado que pueda ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico del empleado del responsable del tratamiento que puede no participar en el tratamiento de solicitudes relativas a los derechos de los interesados (por ejemplo, conductores, personal de limpieza, etc.). Estas solicitudes no se considerarán eficaces si el responsable del tratamiento ha proporcionado claramente al interesado un canal de comunicación adecuado. No obstante, si el interesado envía una solicitud al empleado del responsable del tratamiento que se ocupa diariamente de los asuntos del interesado (contacto único de un cliente, como, por ejemplo, el gestor de cuentas personales), dicho contacto no debe considerarse aleatorio y el responsable del tratamiento debe hacer todos los esfuerzos razonables para tramitar dicha solicitud de manera que pueda ser redirigido al punto de contacto y responder dentro de los plazos previstos por el RGPD. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan mecanismos adecuados para facilitar el ejercicio de los derechos de los interesados, incluidos sistemas de autorrespuesta para informar sobre ausencias del personal y el contacto alternativo adecuado y, cuando sea posible, mecanismos para mejorar la comunicación interna entre empleados sobre las solicitudes recibidas por quienes puedan no ser competentes para tramitarlas.” En el presente caso, A.A.A. ha dirigido su solicitud a la dirección de correo electrónico dpo@nh-hotels.com, que es la dirección de contacto del DPD de la parte reclamada. Así se recogía en la política de privacidad disponible en la web del grupo NH el 7 de diciembre de 2020, apartado 1 y así lo ha reconocido la propia parte reclamada en su escrito de 4 de julio de 2023. En este sentido, el apartado 56 de las citadas Directrices se cita un primer ejemplo en el que “un responsable de tratamiento X proporciona, en su página web y en su política de privacidad, dos correos electrónicos – el correo electrónico general del responsable de tratamiento: contacto@X.com y el correo electrónico del punto de contacto de protección de datos del responsable de tratamiento: solicitudes@X.com. De forma adicional, el responsable de tratamiento X indica en su página web que, para enviar cualquier consulta o solicitud respecto al tratamiento de datos personales, se debe contactar con el punto de contacto de protección de datos al correo electrónico indicado. Sin embargo, el interesado envía una solicitud al correo electrónico general del responsable de tratamiento: contacto@X.com. En este caso, el responsable de tratamiento debe realizar todos los esfuerzos razonables para que sus servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico general, para que se pueda redirigir al punto de contacto de protección de datos y sea respondida dentro del plazo establecido por el RGPD. Es más, el responsable de tratamiento no puede extender el plazo para responder a la solicitud, solamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 porque el interesado ha enviado una solicitud al correo electrónico general del responsable de tratamiento y no al punto de contacto de protección de datos.” Este primer ejemplo del apartado 56 de las citadas Directrices podría extrapolarse al supuesto que se dio en el presente caso. El interesado (A.A.A.) ha enviado su solicitud de acceso a una dirección de correo proporcionada por la empresa a la que se dirige (a mayor abundamiento, la dirección del delegado de protección de datos, a quien se remite una cuestión vinculada a un tema de privacidad como es un derecho de acceso a sus datos personales). Por tanto, el responsable de tratamiento (la parte reclamada) debió realizar todos los esfuerzos razonables para dar respuesta en plazo a tal solicitud. El hecho de que el responsable de tratamiento tomara la decisión de utilizar una herramienta para filtrar el correo SPAM que filtró la solicitud del interesado, eso no es óbice para que tal obligación subsista en el presente caso. Por tanto, de conformidad con las evidencias de las que se dispone en este momento, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a NH HOTEL GROUP S.A., por vulneración del artículo transcrito anteriormente. V Tipificación y calificación de la infracción a los efectos de la prescripción del artículo 15 del RGPD El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  18. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  19. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  20. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  21. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  22. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." En el presente caso, tal como ha quedado expuesto, A.A.A. solicitó acceso a sus datos personales ante NH HOTEL GROUP S.A. el 7 de diciembre de 2020, el cual fue contestado el 10 de septiembre de 2021. Dado que en este supuesto tal infracción prescribe a los 3 años, de conformidad con lo dispuesto por el artículo 72.1 de la LOPDGDD, la citada infracción estaría prescrita en la actualidad, lo cual impide iniciar un procedimiento sancionador. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a NH HOTEL GROUP S.A. con NIF A28027944. TERCERO: COMUNICAR la decisión a la autoridad de Baviera (Alemania), ante la que se ha presentado la reclamación, a fin de que se informe al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.