1/16 Expediente N.º: EXP202103259 IMI Reference Case Register 99965 - A61VMN 158049 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación, con fecha 14 de agosto de 2019, ante la autoridad de protección de datos de Francia. La reclamación se dirige contra VOLOTEA S.L., (en adelante VOLOTEA) con NIF B64841927. Los motivos en los que basa la reclamación son los siguientes: La parte reclamante manifiesta que, tras intentarlo infructuosamente a través de la web, pidió a VOLOTEA en abril de 2019 que se eliminaran de su perfil los datos de su tarjeta de crédito, pero no solo no recibió respuesta, sino que, por el contrario, a finales de junio, se le hizo un cargo de 49.99 EUR en la misma. Asimismo, manifiesta haber enviado tres e-mails en julio para solicitar el reintegro de la cantidad, tan solo ha recibido respuestas automatizadas acusando recibo de su solicitud, pero su petición no ha sido atendida. La parte reclamante ha aportado la siguiente documentación: -Transcripción del contenido de un correo electrónico que la parte reclamante indica que envió a VOLOTEA el 1 de abril de 2019, en el que indica que no puede eliminar los datos de su tarjeta de crédito de su perfil y solicita que la eliminen. - Transcripción del contenido de correos electrónicos que la parte reclamante indica que envió a VOLOTEA los días 19, 23 y 25 de julio de 2019. La transcripción del correo del 19 de julio, cuyo contenido se repite en la transcripción de los correos de 23 y 25 de julio, es la siguiente (en francés en el original): “Buenos días, He notado un cargo en mi cuenta bancaria de 49,99 EUR el 27 de junio de 2019 correspondiente a una transacción de débito en mi tarjeta de crédito en beneficio de la empresa VOLOTEA. No he hecho ninguna compra de su empresa. No habiendo podido validar la eliminación de las referencias a mi tarjeta de crédito del sitio, ya le había enviado un correo electrónico el 1 de abril de 2019 solicitando que mi tarjeta de crédito se elimine de mi perfil. No recibí el acuse de recibo y no se dio seguimiento a mi solicitud, ya que se hizo una deducción en mi tarjeta que no autoricé. Les pido que me reembolsen los 49,99 EUR. Con mi agradecimiento Saludos sinceros A.A.A.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Copia de comunicación del Servicio de Atención al Cliente de VOLOTEA hacia la parte reclamante de fecha de 19 de julio de 2019, desde la dirección “General Information <info@volotea.com>" con el asunto “Re: Débit de ma carte bancaire non autorisé” (en español: “Re: Débito de mi tarjeta de crédito no autorizada”) y con el siguiente contenido: “Merci de nous avoir soumis votre requête. Nous avons bien reçu votre demande et nous vous répondrons dans les meilleurs délais. Merci par avance pour votre aide et votre patience. L’équipe Volotea”.(en español: Gracias por enviarnos su solicitud. Hemos recibido su solicitud y le responderemos tan pronto como sea posible. Gracias de antemano por su ayuda y paciencia. El equipo Volotea”) - Transcripción del contenido de un correo electrónico que la parte reclamante indica que envió a VOLOTEA el día 30 de julio de 2019. El contenido de esta transcripción es el siguiente, (en francés en el original): “Buenos días, ¡Les envié tres correos electrónicos el 19, 23 y 25 de julio que permanecieron sin respuesta! ¡Qué mal de su parte! Una transacción de débito en mi tarjeta de crédito de 49,99 EUR se llevó a cabo el 27 de junio de 2019 en beneficio de la empresa VOLOTEA sin mi autorización. No puedo eliminar las referencias de mi tarjeta de crédito de mi perfil en su sitio. Ya les había enviado un correo electrónico el 1 de abril de 2019 solicitando que mi tarjeta de crédito sea eliminada de mi perfil. No recibí el acuse de recibo y no se dio seguimiento a mi solicitud, ya que se hizo un cargo en mi tarjeta que no había autorizado. No he recibido ninguna respuesta de sus servicios y no tengo un número de teléfono que no sea de pago para contactar con sus servicios, por lo que procederé con los recursos legales por el uso fraudulento de mi tarjeta de crédito. Les pido que me reembolsen inmediatamente los 49,99 EUR. Con mi agradecimiento Saludos sinceros A.A.A.”] - Transcripción del contenido de un correo electrónico que la parte reclamante indica que envió a VOLOTEA el día 14 de agosto de 2019, en el que, al no recibir respuesta de VOLOTEA a sus anteriores correos, ha informado de la situación a la CNIL. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 15 de octubre de 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 19 de octubre de 2021. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 61 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que VOLOTEA tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, la autoridad de Italia, en virtud de que el responsable o el encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control. TERCERO: Con fecha 22 de octubre de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En respuesta a un requerimiento de información, con fecha de entrada en la AEPD el 19 de abril de 2022, VOLOTEA aporta, entre otra, la siguiente información: 1. Indica la aplicación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que en su artículo 74 establece como infracción leve “no atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD”, siendo el plazo de prescripción de un año. Indicación de que la reclamación tuvo lugar en 2019 y señalan la aplicación de este artículo para declarar la prescripción de estas actuaciones. 2. Indica la aplicación de los plazos de caducidad del artículo 64 de la LOPDGDD, en el caso de que ya hayan transcurrido, que establece un plazo máximo de 6 meses desde la admisión. 3. Indicación de que, habiendo realizado una búsqueda en su actual sistema de atención al cliente por el nombre y apellido de la parte reclamante, aparece la dirección de correo electrónico ***EMAIL.1 únicamente una vez en un correo de fecha 7 de noviembre de 2019. Y se aporta captura de pantalla de un sistema de tíckets en el que se ha realizado una búsqueda por el nombre y apellido de la parte reclamante en el que sólo aparece un usuario que tenga un email, y este email es ***EMAIL.1; aparecen otros 3 usuarios con nombres y apellidos parecidos al de la parte reclamante, pero no iguales. También se aporta una búsqueda por el correo electrónico ***EMAIL.1 en este sistema de tíckets y se observa que aparece un único usuario y un único tícket. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 4. Indicación de que el sistema de atención al cliente de VOLOTEA se cambió en el primer semestre de 2019, por lo que sólo se ha podido acceder a la base de datos histórica del antiguo sistema de atención al cliente, que no permite realizar búsquedas de casos completos; por este motivo, se ha realizado una búsqueda de los correos de ***EMAIL.1 obteniendo los siguientes resultados: - Correo del 19 de julio de 2019, con el mismo contenido que indica la parte reclamante. - Correo del 30 de julio de 2019, con un contenido distinto al que indica la parte reclamante. - No se recibieron correos de la dirección ***EMAIL.1 en los días 1 de abril, 23, 25 o 30 de julio, o 14 de agosto. 5. Se aporta una captura de pantalla de una consulta a la tabla “(…)” en la que el campo “(…)” sea “***EMAIL.1”, de la que se obtiene un único resultado con identificador de cliente (“(…)”) igual a “(…)”.También se aporta una consulta en la tabla “(…)” de los casos en que el campo “(…)” sea igual a ese mismo identificador de cliente “(…)”; de esta consulta, se obtienen 5 resultados con las siguientes fechas de creación (campo “(…)”) y contenido (campo “(…)”, del que indican que sólo se muestra el comienzo del contenido del mensaje): - 1 de mayo de 2018: Contiene una petición sobre un vuelo que no está relacionado con esta reclamación. - 3 de mayo de 2018: Contiene la indicación de que se ha realizado una nueva reserva. - 13 de julio de 2018: Contiene una incidencia sobre la impresión de unas tarjetas de embarque que no están relacionadas con esta reclamación. - 19 de julio de 2019: “Buenos días, he notado un cargo en mi cuenta bancaria de 49,99 EUR el 27 de junio de 2019 correspondiente a una transacción de débito en mi tarjeta de crédito en beneficio de la empresa volotea. No he hecho ninguna compra de su empresa. No habiendo podido validar” (en francés en el original). - 30 de julio de 2019: cuyo contenido el mismo que el correo anterior: “Buenos días, he notado un cargo en mi cuenta bancaria de 49,99 EUR el 27 de junio de 2019 correspondiente a una transacción de débito en mi tarjeta de crédito en beneficio de la empresa volotea. No he hecho ninguna compra de su empresa. No habiendo podido validar” (en francés en el original). 6. Indica la aplicación de lo establecido en la Ley 58/2000, de 7 de enero, de Enjuiciamiento Civil, sobre que el actor tiene la obligación de acreditar sus pretensiones o los hechos sobre las que se soportan. Y opina que las pruebas aportadas por la parte reclamante son insuficientes para acreditar los hechos que reclama, ya que son transcripciones de correos electrónicos sin indicar las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 direcciones de correo electrónico remitentes ni receptoras de los correos, ni ofrecen ninguna garantía de su envío ni de su contenido. 7. Indicación de que, en el correo recibido por la parte reclamante el 19 de julio de 2019 (y, presumiblemente, en el del 30 de julio de 2019), se realizaba una solicitud de devolución de un cargo de 49,99 euros, y no se realizaba ningún ejercicio de derechos de protección de datos sino que se hacía referencia a una petición de fecha 1 de abril, de la que no se tiene constancia. De este modo, se indica que “Al no contener dicho correo electrónico de 19 de julio (ni, presumiblemente, el de 30 de julio) una petición expresa de supresión de datos, expresado en el sentido de la normativa de protección de datos, y tratándose de los únicos correos de los que tenemos constancia de haber recibido, entendemos que el usuario no ejercitó, en esos correos electrónico, ningún derecho de protección de datos.” y que “No existe por tanto constancia de haber recibido ningún otro correo, más allá de la transcripción no evidenciada ni acreditada del propio interesado del presente Requerimiento.”. Del mismo modo, se indica que “En cualquier caso, queremos dejar constancia de que la información relativa a la tarjeta de crédito se eliminó efectivamente del perfil de usuario del interesado el mismo 19 de julio de 2019”. Y se aporta una captura de pantalla del sistema de gestión de usuarios (…) de los datos de un usuario con el nombre y apellido de la parte reclamante, en el que se observa que su correo electrónico es “***EMAIL.1” y que los campos “Frequent Flyer Numbers” [Traducción no oficial: “Números de Pasajero Frecuente”], “Customer Programs” [Traducción no oficial: “Programas de Cliente”] y “Default Payments” [Traducción no oficial: “Pagos por Defecto”], entre otros, están vacíos. 8. Indicación de que estos correos del 19 y 30 de julio de 2019 fueron dirigidos a la dirección info@volotea.com, que es distinta de la dirección “dataprotection.officer@volotea.com”, que es la dirección que ha aparecido siempre en la política de privacidad de VOLOTEA. 9. Enlaces a las políticas de privacidad que aparecen en el servicio (...) del sitio web ***WEB.1 (que contiene un archivo histórico del contenido de sitios web) de la dirección “https://www.volotea.com/fr/conditions-legales/politique-de-confidentialite/” en las fechas 28 de septiembre de 2018, 23 de mayo de 2019, 20 de junio de 2019 y 18 de julio de 2019. En estas políticas de privacidad se observa que aparece la dirección de correo electrónico “dataprotection.officer@volotea.com” en dos apartados de la política de privacidad: como “E-mail de contact” en el apartado “Qui est responsable du traitement de vos données personnelles ?” [Traducción no oficial: “¿Quién es el responsable del tratamiento de sus datos personales?], y en el apartado “Qui est le chargé de la protection des données de Volotea ?” [Traducción no oficial: “¿Quién es el delegado de protección de los datos de Volotea?], donde aparece la siguiente indicación: “Cette personne sera chargée de fournir toutes les informations dont vous pourrez avoir besoin concernant vos données personnelles. Si vous souhaitez la contacter, vous pouvez lui écrire à l'adresse électronique suivante: dataprotection.officer@volotea.com” [Traducción no oficial: “Esta persona será responsable de proporcionar toda la información que pueda necesitar sobre sus datos personales. Si desea ponerse en contacto con ella, puede escribirle a la siguiente dirección de correo electrónico: dataprotection.officer@volotea.com”]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 En las políticas de protección de datos de las fechas 23 de mayo de 2019, 20 de junio de 2019 y 18 de julio de 2019, la dirección de correo electrónico “dataprotection.officer@volotea.com” también aparece dentro de la siguiente frase: “Bien entendu, vous êtes en droit de retirer à tout moment les autorisations spécifiques que vous nous aurez éventuellement accordées pour exploiter vos données personnelles. Pour faire ça, il suffit de nous envoyer un e-mail à l'adresse dataprotection.officer@volotea.com. Veuillez noter qu’est nécessaire d’apporter une photocopie de votre passeport ou de votre document d'identité nationale, afin que nous puissions vérifier votre identité et éviter un exercice frauduleux de vos droits.” [Traducción no oficial: “Por supuesto, tiene derecho a retirar en cualquier momento cualquier permiso específico que nos haya concedido para utilizar sus datos personales. Para ello, simplemente envíenos un correo electrónico a dataprotection.officer@volotea.com. Tenga en cuenta que es necesario aportar una fotocopia de su pasaporte o su documento nacional de identidad, para que podamos verificar su identidad y evitar el ejercicio fraudulento de sus derechos.”] 10. Indicación de que, tras realizar búsquedas con el término “A.A.A.” en el buzón de correo “dataprotection.officer@volotea.com” y en el documento Excel que se utiliza para la gestión de este buzón de correo, no se ha encontrado ningún correo de la parte reclamante. 11. Indicación de que, además de atender el buzón “dataprotection.officer@volotea.com”, desde el 11 de abril de 2022, los usuarios de VOLOTEA también pueden ejercer sus derechos a través de un formulario disponible en su sitio web en varios idiomas. Se aportan capturas de pantalla de estos formularios en los idiomas francés y español y los enlaces a estos formularios (https://www.volotea.com/fr/formulaire-des-droits-des-passagers/ y https://www.volotea.com/es/formulario-derechos-pasajeros/, respectivamente). Volumen de negocio total anual global: VOLOTEA, según consulta realizada en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/) el día 24 de mayo de 2022, consta que es una empresa del tipo “Filial de grupo” que tuvo unas ventas de 192.800.305 euros y con un número de empleados de 688. QUINTO: Con fecha 16 de septiembre de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 3 de octubre de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a VOLOTEA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 19 de septiembre de 2022, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 23 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VOLOTEA a fin de imponerle una multa de 2.000 euros, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 12 del RGPD, en relación con el artículo 17, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a VOLOTEA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 23 de noviembre de 2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 2 de diciembre de 2022, VOLOTEA presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. OCTAVO: Con fecha 5 de diciembre de 2022, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a VOLOTEA en fecha 5 de diciembre de 2022, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 16 de diciembre de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de VOLOTEA en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: 1.- Sobre los hechos descritos en el acuerdo: el interesado no habría ejercitado el derecho de cancelación. VOLOTEA entiende que, de los correos que ella ha recibido de la parte reclamante, no puede deducirse el ejercicio del derecho de supresión de datos personales, por los siguientes motivos:
- a)no lo solicita al buzón o departamento de datos personales,
- b)en el primer correo que VOLOTEA recibe, la parte reclamante indica que lo había solicitado en un correo anterior, que VOLOTEA manifiesta no haber recibido, pero que en ese no lo pide, sino que manifiesta que lo había pedido. Por tanto, considera que no ha habido infracción por parte de VOLOTEA, ya que considera que no se habría producido un ejercicio formal de un derecho de supresión. Por otro lado, VOLOTEA entiende que, aun en el supuesto de que, desde esta Agencia, se considere que si se habría ejercitado un derecho de protección de datos por parte de la parte reclamante, no debería considerarse que “la infracción continúa en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 actualidad” tal y como se expone en el apartado de “evidencias significativas para la graduación de la sanción”, es decir, no debería considerarse que la infracción tiene carácter continuado, sino que se trataría de una infracción de tracto único, ya que entienden que la infracción existiría desde el momento en que dicha respuesta no se hubiera realizado en el plazo de un mes. 2.- Sobre la temporalidad del caso. En este punto, VOLOTEA se remite a su escrito de fecha 19 de abril de 2022, presentado durante la fase de actuaciones previas y en el que se ponía de manifiesto lo siguiente: Manifiesta que el supuesto que motiva la reclamación se produjo en 2019, y, por tanto, consideran que el objeto de la reclamación podría haber prescrito, en función de lo que establece el artículo 74 de la LOPDGDD, que establece que “no atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD” puede ser considerado infracción leve, siendo el plazo de prescripción de un año.” Por tanto, entienden que podría estar prescrito. Asimismo, manifiestan que se habría podido producir la caducidad del procedimiento, ya que consideran que la solicitud de información que se les realizaba se habría hecho en base al artículo 67 de la LOPDGDD, y, por tanto, entienden que ya se habría admitido a trámite la reclamación del interesado. Por ello, manifiestan que, como VOLOTEA desconocía cuando interpuso el interesado la reclamación a la CNIL, o la fecha en que la CNIL dio traslado a la AEPD dicha reclamación, se habría excedido del plazo de 6 meses para la admisión a trámite, o de nueve meses para la fase de actuaciones previas de investigación, previstos en el artículo 64 de la LOPDGDD. 3.- Medidas correctoras implementadas. VOLOTEA manifiesta que habría adoptado las siguientes medidas: - implementación de un formulario de atención de solicitudes de derechos centralizado backoffice de gestión específico. - implementación de un sistema de alertas mediante palabras clave en el sistema de gestión de casos de atención al cliente. - revisión de procedimientos internos de gestión de ejercicio de derechos y atención de reclamaciones, que ha dado lugar a un nuevo procedimiento de atención de derechos RGPD y que vincula a los departamentos de atención al cliente y la oficina de privacidad. - ponen de manifiesto que se ha procedido a informar a la parte reclamante sobre la supresión de sus datos personales, aportando como documento 2 la acreditación de la respuesta remitida y el contenido de dicha respuesta. 4.-sobre el mecanismo de corrección escogido por la AEPD. VOLOTEA pone de manifiesto que esta AEPD tiene otros mecanismos de corrección que resultarían menos lesivos para la entidad, como el apercibimiento, o que proceda a dar respuesta a la parte reclamante, todo ello teniendo en cuenta la naturaleza, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 gravedad e intencionalidad de la infracción, así como las medidas tomadas por VOLOTEA para evitar situaciones similares en el futuro, y la inexistencia de incumplimientos previos. Además, pone de manifiesto que: - la parte reclamante podía comprobar que la información ya no constaba en su perfil de usuario entrando en él. - los datos de pago del interesado ya no constaban en su perfil, por lo que entienden que no se causó ningún perjuicio a la parte reclamante. De este modo, entienden que no se vieron afectados sus derechos, ni sus libertades, y la única consecuencia que pudo haberse derivado de esta acción es el desconocimiento o incertidumbre respecto a la supresión de sus datos. - la existencia de procedimientos incoados por la AEPD en los que las partes reclamadas no atendieron el ejercicio de derechos de protección de datos y no fueron sancionadas: Resolución R/00826/2022, en la que el responsable no atendió un derecho de supresión, ni siquiera tras la aplicación de las medidas previstas en el artículo 65.4 de la LOPDGDD. VOLOTEA añade que esta medida no fue ofrecida por la AEPD. Resolución R/00058/2019, en la que el responsable no atendió un derecho de acceso, y se instaba a la entidad reclamada a ejercitar el derecho y que se acredite ante la AEPD. En estos dos supuestos, se ofrecía primero la oportunidad de solventar la infracción, cosa que no se propuso a VOLOTEA, a pesar de haber acreditado que el dato no constaba ya en el perfil del usuario. VOLOTEA entiende que las consecuencias para la parte reclamante en estos dos supuestos, para sus derechos y libertades, son más graves, ya que ni se habría atendido o ejecutado el ejercicio del derecho, ni se informó a los interesados, porque nunca se atendió el ejercicio del derecho. Asimismo, tampoco se habría dado la oportunidad a VOLOTEA de atender el derecho tras la recepción de la reclamación, en el supuesto de que, desde esta Agencia, se considerara que la parte reclamante habría ejercitado dicho derecho, tal y como permite el artículo 37.2 LOPDGDD, al tener VOLOTEA un delegado de protección de dato correctamente nombrado ante esta Agencia. Por todo ello, VOLOTEA entiende que habría quedado debidamente acreditado en el presente expediente: - que el interesado no habría ejercitado un derecho de supresión en la forma prevista en el RGPD, y, aun así, sus datos ya no constarían en su perfil de usuario. Además, el interesado podría haber accedido a su perfil para conocer este dato. - que la AEPD dispone de poderes de corrección de situaciones de incumplimiento que no implican procedimientos sancionadores y/o imposición de multas, tales como remitir la reclamación al delegado de protección de datos (artículo 37.2 LOPDGDD); ordenar la respuesta al interesado (artículo 58.2 c); así como aplicar el apercibimiento (artículo 58.2.b). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 - que no se habría causado ningún perjuicio a la parte reclamante en relación con su privacidad, sus derechos y libertades. - que VOLOTEA ha implementado medidas técnicas y organizativas orientadas a prevenir que esta situación pueda repetirse en el futuro. - que VOLOTEA ya habría contestado a la parte reclamante, por lo que podría considerarse que se habría concluido la infracción objeto del presente expediente. DÉCIMO: Con fecha 7 de febrero de 2023, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/12479/2021, así como las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VOLOTEA, S.A., y la documentación que a ellas acompaña. En dicho escrito, esta Agencia acordó también la siguiente prueba documental: solicitar a la autoridad de control receptora de la reclamación que se dirija a la parte reclamante a fin de que aporte copia de las cabeceras del correo electrónico enviado el día 1 de abril de 2019. Esta acción se realizó mediante una solicitud de asistencia mutua a la autoridad francesa de protección de datos, en virtud del artículo 60 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). De acuerdo con lo establecido en el artículo 64.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), los plazos de tramitación del presente procedimiento quedaron automáticamente suspendidos desde el 6 de febrero de 2023 hasta el 21 de marzo de 2023, tiempo que medió entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos. DÉCIMO PRIMERO: El 6 de febrero de 2023 la AEPD solicita, a través del Sistema IMI, a la autoridad francesa de protección de datos (CNIL) que se requiera a la parte reclamante para que aporte copia de las cabeceras del correo electrónico enviado el día 1 de abril de 2019. La autoridad francesa de protección de datos compartió, a través del sistema IMI, el día 21 de marzo de 2023, la siguiente documentación: - copia de un correo electrónico (en francés) enviado el 9 de febrero de 2023 a las 19:39 desde la dirección ***EMAIL.1 “Bonjour (…), Je vous remercie de votre information. Malheureusement je ne parviens pas à consulter mon historique "éléments envoyés" avant juillet 2019. Changement d'ordinateur tombé en panne et mauvaise sauvegarde de ce courriel. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 J'abandonne cette réclamation auprès de cette société Volotea qui n'a jamais répondu” Traducción no oficial: “Buenos días, (…), Gracias por su información. Desafortunadamente, no puedo consultar mi historia «artículos enviados» antes de julio de 2019. El cambio de computadora se bloqueó, con una copia de seguridad deficiente de este correo electrónico. Abandono esta queja a esta empresa Volotea que nunca ha respondido” Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: DÉCIMO SEGUNDO: Con fecha 21 de julio de 2023, la Directora de la AEPD adoptó un proyecto de decisión de archivo de actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 28 de julio de 2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. HECHOS PROBADOS PRIMERO: La parte reclamante contrató el servicio MEGAVOLOTEA, en el cual, para poder acceder al mismo, el usuario debe suscribirse directamente desde la página web, o durante un proceso de compra o reserva de un billete, aceptando el pago de una cuota de 49,99 euros anuales a cambio de obtener descuentos y ventajas. Dicha suscripción se produjo el día 26 de abril de 2018. SEGUNDO: El día 19 de julio de 2019, la parte reclamante envió un correo electrónico con el siguiente contenido (en francés el original): “Buenos días, He notado un cargo en mi cuenta bancaria de 49,99 EUR el 27 de junio de 2019 correspondiente a una transacción de débito en mi tarjeta de crédito en beneficio de la empresa VOLOTEA. No he hecho ninguna compra de su empresa. No habiendo podido validar la eliminación de las referencias a mi tarjeta de crédito del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 sitio, ya le había enviado un correo electrónico el 1 de abril de 2019 solicitando que mi tarjeta de crédito se elimine de mi perfil. No recibí el acuse de recibo y no se dio seguimiento a mi solicitud, ya que se hizo una deducción en mi tarjeta que no autoricé. Les pido que me reembolsen los 49,99 EUR. Con mi agradecimiento…” TERCERO: El día 19 de julio de 2019, la parte reclamante ha recibido un correo electrónico desde la dirección info@volotea.com con el asunto “Re: Débito de mi tarjeta de crédito no autorizada” y con el siguiente contenido (en francés el original): “Gracias por enviarnos su solicitud. Hemos recibido su solicitud y le responderemos tan pronto como sea posible. Gracias de antemano por su ayuda y paciencia. El equipo Volotea”. CUARTO: Con fecha 30 de julio de 2019 la parte reclamante envió un correo electrónico a la entidad VOLOTEA con el siguiente texto (en francés el original): “Buenos días, ¡Les envié tres correos electrónicos el 19, 23 y 25 de julio que permanecieron sin respuesta! ¡Qué mal de su parte! Una transacción de débito en mi tarjeta de crédito de 49,99 EUR se llevó a cabo el 27 de junio de 2019 en beneficio de la empresa VOLOTEA sin mi autorización. No puedo eliminar las referencias de mi tarjeta de crédito de mi perfil en su sitio. Ya les había enviado un correo electrónico el 1 de abril de 2019 solicitando que mi tarjeta de crédito sea eliminada de mi perfil. No recibí el acuse de recibo y no se dio seguimiento a mi solicitud, ya que se hizo un cargo en mi tarjeta que no había autorizado. No he recibido ninguna respuesta de sus servicios y no tengo un número de teléfono que no sea de pago para contactar con sus servicios, por lo que procederé con los recursos legales por el uso fraudulento de mi tarjeta de crédito. Les pido que me reembolsen inmediatamente los 49,99 EUR. Con mi agradecimiento…” QUINTO: La dirección de correo electrónico: “info@volotea.com” es una de las direcciones de correo electrónico desde las que VOLOTEA ofrecía, en el año 2019, el servicio de atención al cliente. SEXTO Con fecha 19 de julio de 2019 VOLOTEA borró el dato correspondiente a la tarjeta de crédito de la parte reclamante. SÉPTIMO: Con fecha 16 de diciembre de 2022, VOLOTEA comunica a la parte reclamante que el dato correspondiente a la tarjeta de crédito no consta en sus sistemas. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales es competente para iniciar y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VOLOTEA realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos, correo electrónico, número de teléfono, y número de la tarjeta de crédito, entre otros tratamientos. VOLOTEA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que VOLOTEA está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, VOLOTEA tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 17 del RGPD reconoce el derecho de los interesados a suprimir sus datos personales, mientras que el artículo 12 del RGPD regula el modo en que este derecho debe ser ejercitado. III Derecho de supresión (artículo 17 RGPD) El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. IV Modalidades de ejercicio de los derechos del interesado (artículo 12 RGPD) El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “(…). 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 (…)” Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” de la LOPDGDD dispone que: “(…) 4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable. (…)”. 1.- Sobre los hechos descritos en el acuerdo: el interesado no habría ejercitado el derecho de cancelación. En el presente caso, la parte reclamante reclamaba haber solicitado la supresión de sus datos personales, mediante un correo electrónico enviado a la dirección de correo electrónico ‘info@volotea.com,’ sobre la que VOLOTEA habría contestado a la parte reclamante, acusando recibo de haber recibido su solicitud el día 19 de julio de 2019. La parte reclamante manifiesta haber enviado un correo electrónico en fecha 1 de abril de 2019, solicitando dicha supresión. No obstante, en el presente procedimiento, no ha podido constatarse el envío de este correo electrónico. En el periodo de prueba del presente procedimiento sancionador, se ha solicitado a la parte reclamante que aporte copia de las cabeceras de este correo electrónico, habiendo contestado la parte reclamante que ya no dispone del mismo. En el correo electrónico que la parte reclamante envía a VOLOTEA el día 19 de julio de 2019, VOLOTEA afirma que se realizaba una solicitud de devolución de un cargo de 49,99 euros, y no se realizaba ningún ejercicio de derechos de protección de datos, sino que se hacía referencia a una petición de fecha 1 de abril, de la que VOLOTEA asegura que no tiene constancia, y de la que no ha podido acreditarse su envío. En cualquier caso, VOLOTEA ha manifestado en su escrito de fecha 19 de abril de 2022, que la información relativa a la tarjeta de crédito se eliminó efectivamente del perfil de la parte reclamante el mismo 19 de julio de 2019. Asimismo, en su escrito de fecha 16 de diciembre de 2022 ha aportado copia de un correo electrónico, de fecha 16 de diciembre de 2022, enviado a la parte reclamante, en el que se informaba que ya no disponían de “información relativa a sus medios de pago” Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. En consecuencia, no procede analizar el resto de las alegaciones presentadas por VOLOTEA, en la medida en que no se ha podido constatar el envío del correo electrónico solicitando la supresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Archivar el presente procedimiento sancionador contra VOLOTEA, S.A., con NIF B64841927. SEGUNDO: NOTIFICAR la presente resolución a VOLOTEA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-300823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es