PS-00373-2024

1/30  Expediente N.º: EXP202404458 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 4 de marzo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L. con NIF B41277146 (en adelante, SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son: A.A.A. manifiesta que, a través de la web ***WEB.1, reservó una vivienda vacacional a la SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS y señala que, tras realizar la reserva a través de la referida web, sin que exista información previa a dicho respecto, recibió mensajes de esta instándole a que se descargara una app para realizar el registro de pasajeros, obligándole a la remisión de imágenes de los documentos de identidad de todos los huéspedes, así como fotografía del rostro. Entiende A.A.A. que dicho proceder contraviene la normativa de protección de datos. Junto al escrito, se aporta: - Trascripción del primer correo electrónico de fecha 24 de febrero de 2024 remitido por ***WEB.1, donde se especifican los datos de la reserva del alojamiento y el importe pagado. - Trascripción del segundo correo electrónico de fecha 24 de febrero de 2024 remitido por ***WEB.1, donde se confirma la reserva del alojamiento, el pago y la forma para acceder al mismo. También se incluye la siguiente información: “Ponte en contacto con tu anfitrión para saber dónde tienes que recoger las llaves, a qué hora es el check-in o para realizar peticiones. Puedes llamarle al ***TELÉFONO.1. También puedes enviarle un e-mail a través de ***WEB.1” (sic). - Trascripción del tercer correo electrónico de fecha 24 de febrero de 2024 remitido por ***ALOJAMIENTO.1 vía ***WEB.1 con la siguiente información: “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino. Mira este video antes de tu estancia para descubrir todo lo que podrás hacer con la app de ***URL.1: Descárgate la app e introduce este código de huésped” (sic). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/30 - Trascripción del correo electrónico de fecha 25 de febrero de 2024 remitido por A.A.A. con el siguiente contenido: “Buenas tardes, me he descargado la app pero tenemos un problema. Dos de los tres huéspedes vienen de Navarra y no tengo sus DNI para escanearlos con la aplicación. Tampoco tengo fotografías suyas. Como procedo?” (sic). - Trascripción del cuarto correo electrónico de fecha 25 de febrero de 2024 remitido por ***ALOJAMIENTO.1 vía ***WEB.1 con la siguiente información: “Nuestro apartamento cuenta con un sistema de entrada autónoma a través de la app ***APLICACIÓN.1 que permitirá que su llegada y su estancia sean mucho más cómodas. Acaba de recibir un e-mail de ***APLICACIÓN.1 donde puede ver como descargar esta App y su fácil funcionamiento. Si no lo encuentra en su bandeja de entrada, por favor, revise en la bandeja de SPAM de su e-mail El apartamento está legalmente inscrito en el Registro de Turismo de la Junta de Andalucía (España). Por razones de seguridad y en cumplimiento de la Legislación Vigente en Andalucía (España), se requerirá a través de la app ***APLICACIÓN.1 que registre el Documento Oficial de Identificación (solo para miembros espacio Schengen) y/o Pasaporte de todos los huéspedes (requisito indispensable para las personas mayores de 14 años)” (sic). - Trascripción del quinto correo electrónico de fecha 25 de febrero de 2024 remitido por ***ALOJAMIENTO.1 vía ***WEB.1 con la siguiente información: “Como ya sabe el proceso de entrada y registro de viajeros en ***ALOJAMIENTO.1 es autónomo a través de una app. El día 24/02/2024 23:36:01 recibió un e-mail con toda la información sobre este proceso. Para ello debe instalar en su teléfono móvil la app de ***APLICACIÓN.1, si no lo ha hecho aún, por favor hágalo ahora” (sic). - Trascripción del sexto correo electrónico de fecha 25 de febrero de 2024 remitido por ***ALOJAMIENTO.1 vía ***WEB.1 con la siguiente información: “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino” (sic). - Trascripción del séptimo correo electrónico de fecha 25 de febrero de 2024 remitido por ***ALOJAMIENTO.1 vía ***WEB.1 con la siguiente información: “Como puede ver en las instrucciones de llegada, todos los huéspedes pueden tener la app ***APLICACIÓN.1 en su móvil y con el código de reserva, hacer su propio registro (escaneo de documentación, reconocimiento facial y firma)” (sic). - Copia de la factura de fecha 4 de marzo de 2024, Nº XXX – 1 emitida por SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICO, donde consta: el nombre del cliente, NIF, domicilio, concepto de la factura, y el importe total. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/30 adelante LOPDGDD), se dio traslado de dicha reclamación a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 21 de marzo de 2024 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 19 de abril de 2024 se recibe en esta Agencia escrito de respuesta indicando: "Nuestro alojamiento, como se especifica antes de realizar la reserva, cuenta con un sistema autónomo de check-in, gestionado a través de la empresa ***EMPRESA.1, a través de su APP ***APLICACIÓN.1. ***EMPRESA.1 actúa desde el 11 de enero de 2022 como encargado del tratamiento en los procesos de check-in de alojamientos turísticos por cuenta de los responsables del tratamiento, SOCIEDAD ANDALUZA DE CHARTERS ATLANTICOS, conciliando en estos procesos la privacidad de los huéspedes con la obligación legal establecida por el artículo 25 de la Ley 4/2015 de registro documental y comunicación a las Fuerzas y Cuerpos de seguridad de los partes de entrada diarios de clientes alojados". "Se le envió desde (…) el siguiente correo con su código de huésped a la dirección de email de : ***EMAIL.1. El huésped aceptó los términos y condiciones y realizó el registro con su móvil el 25/02/2024 a las 18:34". "(...) Se trata de un checkin on-line, y (...) existen tres disposiciones legales aplicables. Por un lado, el artículo 25 de la Ley Orgánica 4/2015 de Protección de la seguridad ciudadana que establece la obligación de registro documental y comunicación. (...) el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor. (...) la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos. Y para poder cumplir correctamente con las tres disposiciones se debe escanear todo el DNI por ambas caras, ya que la comprobación de la validez del documento y la extracción de datos mediante tecnología OCR se realiza gracias a una banda denominada MRZ, Machine Readable Zone, que se encuentra en el reverso del DNI. Una vez validado el DNI, sólo se recogen los datos mínimos para incorporarlos al libro-registro diario con los partes de entrada de cada alojamiento". "(...) En nuestro anuncio de ***WEB.1, antes de empezar el proceso de reserva, se especifica en el apartado "Información del alojamiento" lo siguiente "Nuestros apartamentos cuentan con un sistema de entrada autónoma a través de una app que permitirá al huésped que la llegada y la estancia sean mucho más cómodas. Por razones de seguridad y en cumplimiento de la Legislación Vigente en Andalucía (España), se requerirá, a través de esta app, el registro del Documento Oficial de Identificación (solo para miembros espacio Schengen) y/o Pasaporte de todos los huéspedes (requisito indispensable para las personas mayores de 14 años)." C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/30 "En cuanto a la primera incidencia relativa a la falta de información previa sobre la necesidad de descarga de una app para el registro de viajeros, entendemos que la información que aparece en la página web es la correcta y suficiente y cumple con los requisitos necesarios en cuanto a la protección de datos de carácter personal". "En cuanto a (...) el escaneo de los DNI y la aportación de la fotografía del rostro, (...), entendemos que el principio de licitud, minimización de datos, exactitud, limitación del plazo de conservación y todos los otros incluidos en el artículo 5 del RGPD se cumplen, y concretamente respecto al principio de minimización, entendemos que los datos son los adecuados (...)". CUARTO: Con fecha 4 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS es una empresa con un volumen de negocios de 18.000 € euros en el año 2022. SEXTO: Con fecha 21 de enero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. c)del RGPD tipificada en el artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS presentó escrito de alegaciones el 30 de enero de 2025 en el que solicita el archivo del presente procedimiento sancionador. Después de reiterar los detalles sobre la relación mantenida con la parte reclamante, ya manifestados en sus escritos anteriores, formula, en síntesis, las consideraciones siguientes como fundamento de su pretensión: 1.- Cumplimiento por la SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS con el principio de minimización de datos: - - Considera que no debería haberse puesto en marcha un procedimiento sancionador, en tanto que su cumplimiento con el principio de minimización ya fue debidamente acreditado el 19 de abril de 2024, en escrito a la Agencia. Escrito que, su juicio, “no ha sido correctamente atendido ni contestado” por la AEPD. Insiste en que su sistema de registro de huéspedes cumple con el principio de minimización de datos y el principio de exactitud exigidos por la normativa aplicable, en concreto la Ley Orgánica 4/2015 de Protección de la seguridad el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor y la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos. Asegura que para acreditar la identidad de los huéspedes y asegurar la exactitud de los datos, recaba su fotografía así como una copia completa del C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/30 DNI por ambas caras e insiste en que la protección de datos no es un derecho absoluto y que la seguridad ciudadana es un elemento esencial que justifica su actuación. Señala que el 1/03/2024 (fecha de entrada al alojamiento de la parte reclamante) se reportaron únicamente los siguientes datos a la policía, obtenidos a través de un sistema de lectura OCR de la banda MRZ del documento de identidad: “Datos del viajero Número de documento de identidad Tipo de documento Fecha de expedición del documento Primer apellido Segundo apellido Nombre Sexo Fecha de nacimiento País de nacionalidad Fecha de entrada” A estos efectos aporta un Anexo que contiene la información completada y firmada, así como los datos que figuran en la aplicación en cuestión para poder generar el “parte de viajeros” donde figura de la parte reclamante, su nombre, apellidos, fecha de nacimiento, número de DNI, fecha de caducidad, fecha de expedición, dirección postal, nacionalidad, sexo, fecha de entrada y correo electrónico. E insiste en que el sistema no copia ni almacena datos biométricos, sino que genera un “algoritmo cifrado e irreversible” a través de las imágenes aportadas, siendo estas eliminadas en cuanto se realiza la verificación de la identidad. - - - Subraya que su encargado, el proveedor del sistema, cuenta con certificaciones en materia de seguridad, así como que las imágenes son eliminadas tan pronto como se ha comprobado la identidad del sujeto. Asimismo, asegura que se descartaron otras opciones más invasivas como la solicitud de “una prueba de vida” con carácter previo a la instauración del sistema. Señala que en el correo electrónico enviado a la parte reclamante se incluía información en materia de protección de datos y que este aceptó los términos y condiciones. Apela a la inexistencia del principio de culpabilidad en el presente caso, en tanto que asegura que no existe dolo o negligencia. 2.- Alegaciones en relación a las medidas indicadas en el acuerdo de inicio. - Insiste en que, tal como demuestra por medio del anexo incluido en la alegación anterior, su sistema no “copia, reproduce o almacena” documentos de identidad completos ni las fotografías del rostro, sino que, se basa en C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/30 tecnología OCR de lectura de la banda MRZ, validación documental y extracción de los datos mínimos necesarios para rellenar y comunicar el preceptivo parte de viajeros. Por ello, señala, que no debe cambiar su sistema ni tiene sentido las medidas correctivas propuestas. 3.- Solicitud a la AEPD para que publique un informe o guía en relación con las obligaciones previstas en el Real Decreto 933/2021 para todos aquellos sujetos obligados en la materia. Por último, asegura que existe contradicción entre el recientemente aprobado RIA y el RGPD en materia de verificación biométrica. OCTAVO: Con fecha 1 de diciembre de 2025 se formuló propuesta de resolución, proponiendo lo siguiente: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L., con NIF B41277146, por una infracción del Artículo 5.1.
2. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 500,00. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L., con NIF B41277146, que en virtud del artículo 58.2.
3. d)del RGPD, en el plazo máximo de tres meses desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber procedido al cumplimiento de las medidas siguientes: - - Modificar su sistema de registro para que no se solicite la aportación de una copia o imagen del documento de identidad de los huéspedes como requisito necesario para el alojamiento, ni una fotografía del huésped en cuestión. Acreditar que se han eliminado las fotografías de sus clientes y de sus documentos de identidad que se encuentren almacenadas en su sistema”. NOVENO: Notificada la mencionada propuesta de resolución conforme a las normas establecidas en la LPACAP el 4 de diciembre de 2025, la parte reclamada presentó el 16 de diciembre de 2025 escrito en el que, en síntesis, formulaba las siguientes alegaciones: 1. Respecto a la infracción del artículo 5.1
4. c)del RGPD: - Sostiene que los datos recabados son necesarios para asegurar la exactitud de los datos objeto de tratamiento, que se consagra como una obligación en el artículo 4.3 del RD 933/2021, cuyo incumplimiento lleva aparejadas sanciones en la misma norma. El mencionado artículo 4.3 señala: “Los partes y hojas serán proporcionados por el establecimiento de hospedaje o de alquiler de vehículos, los cuales serán responsables de la exactitud de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/30 datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios” - - Siguiendo el razonamiento anterior considera que, en la medida en que el artículo citado contiene el verbo “facilitado” esto permitiría que, en un contexto en línea, se pudiera recabar copia del DNI. Todo ello sin perjuicio de que asegure que no copia documentos de identidad, únicamente los lee con una tecnología OCR que permite extraer los datos necesarios para el parte de viajeros. Señala que “el lector OCR está configurado para extraer sólo los datos mínimos necesarios, no recoge la firma, por ejemplo, ni el nombre del padre y la madre o el lugar de nacimiento. Este proceso es muy rápido y el DNI no se copia ni conserva en el sistema”. Asegura que otros sistemas de acreditación de identidad contenidos en la “NOTA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS CON RELACIÓN A LA SOLICITUD DE COPIAS DE DOCUMENTOS DE IDENTIDAD EN HOSPEDAJES PARA DAR CUMPLIMIENTO AL REAL DECRETO 933/2021” no son suficientemente fehacientes a la hora de acreditar la identidad o no se encuentran lo suficientemente extendidos; por lo que permiten suplantaciones de identidad, a diferencia del sistema utilizado. Esto resulta particularmente relevante teniendo en cuenta el contexto en el que se realiza el tratamiento de los datos, que busca la prevención del terrorismo, por lo que debe realizarse una adecuada ponderación entre la seguridad y la privacidad. Señala que desde diciembre de 2024 se han realizado modificaciones en la normativa aplicable, de manera que ha aumentado el número de datos a proporcionar por viajero. Concluye señalando que en todas sus actuaciones ha operado conforme al principio de diligencia debida propia de un responsable del tratamiento y ha seleccionado empresas encargadas que ofrezcan garantías y que la evaluación de la idoneidad y proporcionalidad queda acreditada “teniendo en cuenta los escritos de alegaciones y evidencias aportadas”. 2. Respecto a la verificación biométrica: Reitera diversas afirmaciones en materia de verificación biométrica y la existencia de excepción del artículo 9.2 del RGPD. Asimismo, remite a https://www.mobbeel.com/mobbscan/ para obtener más información. En la mencionada página web, figura, entre otra, la siguiente información: “¿Cómo funciona MobbScan? ¡Realizar un proceso de KYC onboarding digital con MobbScan es pan comido! La tecnología KYC captura el documento de identidad y lo escanea, luego detecta el rostro del usuario verificando que es real y le saca una foto y, por último, devuelve el resultado con todas las validaciones”. (…) “A través de OCR (reconocimiento óptico de caracteres) se extrae toda la información textual de la imagen para poder manejarla como datos, rellenar un C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/30 formulario etc, facilitando al cliente la introducción de datos personales en un entorno móvil o en un PC. En definitiva, MobbScan automatiza y acelera el proceso de introducción de datos y mejora la experiencia de usuario en el proceso de registro”. 3. En relación con las medidas correctivas: Insiste en que debe considerarse que las “medidas correctivas ya han sido contestadas en nuestro anterior escrito de alegaciones (presentado el 30/01/2025 en el Reg. Administración General del Estado y con la Agencia Española de Protección de Datos como destinataria), donde aportamos copia de toda la información disponible en los sistemas de información sobre el denunciante, demostrando que no existía ninguna copia de su documento de identidad o imagen selfie, y que el proceso de autenticación biométrica había sido eliminado de la funcionalidad de la plataforma”. 4. Solicitud de inclusión de una reproducción literal de sus alegaciones: Por último, solicita que “Y que, en cualquier caso, la Agencia Española de Protección de Datos incluya el contenido completo de nuestras alegaciones en resolución y conteste a todas ellas para poder considerar que estamos ante un proceso completo, justo y con todas las garantías legales previstas”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS cuenta con un alojamiento ofrecido a través de ***WEB.1, denominado ***ALOJAMIENTO.1. SEGUNDO: El 24 de febrero de 2024, ***WEB.1 remitió un correo electrónico a A.A.A. donde se confirma la reserva del alojamiento, el pago y la forma para acceder al mismo. También se incluye la siguiente información: “Ponte en contacto con tu anfitrión para saber dónde tienes que recoger las llaves, a qué hora es el check-in o para realizar peticiones. Puedes llamarle al ***TELÉFONO.1. También puedes enviarle un e-mail a través de ***WEB.1” (sic). TERCERO: El 24 de febrero de 2024, ***ALOJAMIENTO.1 vía ***WEB.1 remitió un correo electrónico a A.A.A. con la siguiente información: “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino. Mira este video antes de tu estancia para descubrir todo lo que podrás hacer con la app de ***APLICACIÓN.1: Descárgate la app e introduce este código de huésped” (sic). CUARTO: El 25 de febrero de 2024, A.A.A. remitió un correo electrónico a ***ALOJAMIENTO.1 con el siguiente contenido: “Buenas tardes, me he descargado la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/30 app pero tenemos un problema. Dos de los tres huéspedes vienen de Navarra y no tengo sus DNI para escanearlos con la aplicación. Tampoco tengo fotografías suyas. Como procedo?” (sic). QUINTO: El 25 de febrero de 2024, ***ALOJAMIENTO.1 vía ***WEB.1 remitió un correo electrónico a A.A.A. con la siguiente información: “Nuestro apartamento cuenta con un sistema de entrada autónoma a través de la app ***APLICACIÓN.1 que permitirá que su llegada y su estancia sean mucho más cómodas. Acaba de recibir un e-mail de ***APLICACIÓN.1 donde puede ver como descargar esta App y su fácil funcionamiento. Si no lo encuentra en su bandeja de entrada, por favor, revise en la bandeja de SPAM de su e-mail El apartamento está legalmente inscrito en el Registro de Turismo de la Junta de Andalucía (España). Por razones de seguridad y en cumplimiento de la Legislación Vigente en Andalucía (España), se requerirá a través de la app ***APLICACIÓN.1 que registre el Documento Oficial de Identificación (solo para miembros espacio Schengen) y/o Pasaporte de todos los huéspedes (requisito indispensable para las personas mayores de 14 años)” (sic). SEXTO: El 25 de febrero de 2024, ***ALOJAMIENTO.1 vía ***WEB.1 remitió un correo electrónico a A.A.A. con la siguiente información: “Como ya sabe el proceso de entrada y registro de viajeros en ***ALOJAMIENTO.1 es autónomo a través de una app. El día 24/02/2024 23:36:01 recibió un e-mail con toda la información sobre este proceso. Para ello debe instalar en su teléfono móvil la app de ***APLICACIÓN.1, si no lo ha hecho aún, por favor hágalo ahora” (sic). SÉPTIMO: El 25 de febrero de 2024, ***ALOJAMIENTO.1 vía ***WEB.1 remitió un correo electrónico a A.A.A. con la siguiente información: “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino” (sic). OCTAVO: El 25 de febrero de 2024, ***ALOJAMIENTO.1 vía ***WEB.1 remitió un correo electrónico a A.A.A.: “Como puede ver en las instrucciones de llegada, todos los huéspedes pueden tener la app ***APLICACIÓN.1 en su móvil y con el código de reserva, hacer su propio registro (escaneo de documentación, reconocimiento facial y firma)” (sic). NOVENO: El 19 de abril de 2024 en escrito dirigido a esta Agencia, SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS reconoce que para llevar a cabo el checkin en su alojamiento, se requiere copia completa del DNI escaneada por ambas caras, así como fotografía de su titular a los usuarios. Asegura que esto se realiza en cumplimiento de la “Ley Orgánica 4/2015 de Protección de la seguridad ciudadana que establece la obligación de registro documental y comunicación. (...) el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor. (...) la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos”. FUNDAMENTOS DE DERECHO C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/30 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/30 Asimismo, el artículo 4.8 del RGPD define a la figura del «encargado del tratamiento» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, número de DNI y correo electrónico. Asimismo, en este caso se ha solicitado una copia completa del DNI, así como una fotografía del rostro. La SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS es la responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, antes reproducido. III Contestación a las alegaciones al acuerdo de inicio A continuación, se contestan las alegaciones formuladas al acuerdo de inicio siguiendo el orden reflejado en los antecedentes de hecho. 1. En relación con el alegado cumplimiento del principio de minimización de datos: - En lo referente a las afirmaciones relativas a que se ha puesto en marcha un procedimiento sancionador sin que hubiera sido debidamente atendido y contestado el escrito presentado por esa entidad el 19 de abril de 2024, han de realizarse algunas precisiones. El escrito al que hace referencia la parte reclamada de 19 de abril de 2024 se trata de una contestación a unas actuaciones de traslado realizadas por la AEPD tras recibir la reclamación de la parte reclamante en aplicación del artículo 65.4 de la LOPDGDD. Las actuaciones de traslado, de carácter potestativo, están destinadas a determinar la admisión a trámite de una reclamación, de conformidad con el artículo 65.4 de la LOPDGDD. Una vez realizada la admisión a trámite, cabe la apertura de un procedimiento sancionador por medio de un acuerdo de inicio en los términos exigidos en el artículo 68 de la LOPDGDD y conforme a lo previsto por el artículo 64 de la misma norma. Por tanto, las actuaciones de traslado son aquellas que la norma permite a la AEPD, sin que tengan carácter obligatorio, antes de la admisión a trámite de la reclamación. En el presente supuesto, en el marco del expediente se llevaron a cabo actuaciones de traslado el 21 de marzo de 2024, que fueron atendidas por la parte reclamada el 19 de abril de 2024 mediante la presentación de un escrito C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/30 de contestación a las mismas. Estas actuaciones de traslado permitieron determinar, en un primer momento, la admisión a trámite de la reclamación. La admisión a trámite fue notificada a la parte reclamante en cumplimiento del artículo 65.5 de la LOPDGDD, que prevé que la decisión sobre la admisión o inadmisión a trámite se notifique exclusivamente a esta. La apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 21 de enero de 2025, que fue debidamente notificado a la parte reclamada ese mismo día, en el que se imputaba la presunta infracción del artículo 5.1
5. c)del RGPD, tipificado en el artículo 83.5 de la misma norma, se fijaba una sanción inicial de 500 euros y se daba a la reclamada plazo para alegaciones. Todo ello sin perjuicio de lo que se determine durante la instrucción del mismo. Por tanto, tanto las actuaciones anteriores al procedimiento sancionador como el procedimiento sancionador han seguido el cauce legalmente establecido sin que la AEPD hubiera de facilitar respuesta alguna al escrito presentado el 19 de abril de 2024 por la parte reclamada. - En cuanto a las alegaciones relativas a que el sistema utilizado cumple con el principio de minimización, en tanto que todos los datos recabados resultan necesarios para el cumplimiento de las exigencias de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, el Real Decreto 933/2021 y la Orden INT/1922/2003, se señala lo siguiente: En primer lugar, sin ánimo de extendernos en la contestación a estas alegaciones, conviene hacer una breve referencia a que el derecho a la protección de datos personales es un derecho fundamental, previsto por el artículo 18.4 de la Constitución Española. Por ello, de los artículos 81 y 53 de la Carta Magna se deriva que toda injerencia estatal en un derecho fundamental que incida directamente sobre su desarrollo o limite o condiciones su ejercicio, precisa de una habilitación legal. Así, el tratamiento de datos personales por razones de seguridad por personas físicas o jurídicas que ejerzan actividades de hospedaje, en la medida en que supone una injerencia en el ámbito del derecho fundamental a la protección de datos, se recoge en el artículo 25 de la mencionada ley orgánica. Dicha obligación se recoge en la mencionada norma como “obligación de registro documental”, sin que se especifique qué datos habrán de ser objeto de ese registro. Por su parte, el Real Decreto 933/2021 desarrolla el artículo 25 de la ley orgánica, precisando las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje, en los que se especifica expresamente los datos necesarios para el cumplimiento de su obligación de registro documental en el Anexo I A3, A4, B3 y B4. En ninguno de ellos figura la totalidad de los datos del DNI ni tampoco una fotografía del huésped. Por último, en cuanto a la Orden INT/1922/2003, respecto a la que la parte reclamada afirma que “se ha tenido en cuenta especialmente para cumplir con el principio de minimización de datos, se subraya que su anexo establece el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/30 modelo de parte de entrada de los viajeros. Entre los datos del viajero a incluir, constan: el número de documento de identidad, el tipo de documento, la fecha de expedición del documento, el primer y el segundo apellido, el nombre, el sexo, la fecha de nacimiento, el país de nacionalidad y la fecha de entrada. De nuevo, no constan la totalidad de los datos del DNI ni tampoco una fotografía del huésped. Es más, en el mencionado anexo se indica: “la recogida y tratamiento de estos datos se hará de acuerdo con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”. Así, cabe concluir que si bien la protección de datos no es un derecho absoluto, como señala la parte reclamada, (como no es lo es ningún derecho fundamental, por otra parte), en este caso, su ponderación con el derecho a la seguridad viene determinada por un marco normativo que establece de manera precisa los datos personales que pueden ser objeto de recogida, y resultan estrictamente necesarios para conciliar el ejercicio de ambos derechos. La actuación realizada por la parte reclamada desborda lo establecido por la normativa en materia de seguridad ciudadana -puesto que exige copia completa del DNI, además de una fotografía del huésped en cuestión- y, en consecuencia, no puede ampararse en la misma, en la medida en que recaba datos que no resultan necesarios para el cumplimiento de sus obligaciones legales. Conviene precisar, además, que la parte reclamada insiste en que no se produce un tratamiento excesivo de datos, en la medida en que los partes remitidos a la policía en cumplimiento de sus obligaciones se adaptan a lo estrictamente exigido por la mencionada Orden INT/1922/2003 en su modelo. A modo acreditativo, presenta el correspondiente a la parte reclamante, de 1 de marzo de 2024, en el que, efectivamente, figuran exclusivamente los datos de este correspondientes a número de DNI, tipo de documento, fecha de expedición del documento, primer y segundo apellido, nombre, sexo, fecha de nacimiento, país de nacionalidad y fecha de entrada; así como los datos que figuran en la aplicación que utiliza, que coinciden con estos. Asegura que esto se debe a que, una vez recibidos los documentos, se utiliza un sistema de lectura OCR de la banda MRZ del documento, que solo copiaría los datos personales obligatorios. Ahora bien, omite la parte reclamada que antes de realizar esa lectura y copiado de los datos personales necesarios a efectos de cumplir con las obligaciones en materia de seguridad, existen otros tratamientos previos conforme al artículo 4.2 del RGPD, que no estarían amparados por esas normas. Entre ellos, al menos, los siguientes: la solicitud y recogida del documento de identidad completo, la recogida de la fotografía del huésped, el cotejo de ambos documentos para determinar si coinciden y verificar la identidad. Así, entre los mensajes de correo electrónico enviados a la parte reclamante por la parte reclamada, destaca el enviado el 24 de febrero de 2024 en el que se le indica que ha de descargase la aplicación ***APLICACIÓN.1 y le facilita el enlace a un vídeo explicativo de YOUTUBE sobre el funcionamiento de la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/30 aplicación. En el vídeo se muestra como en la aplicación aparece la opción de “hacer el check-in ahora” o “hacer el check-in después”. Al pulsar en “hacer check-in ahora”, aparece una pantalla que indica “selecciona con qué tipo de documentación quieres realizar el check-in” y permite elegir entre el documento de identidad o el pasaporte. A continuación, se ha de hacer una fotografía de la parte frontal del DNI y otra de la parte trasera del DNI, así como un “selfie”. Se ha de pulsar validar para enviar a las tres fotografías que figuran en pantalla (parte delantera del DNI, parte trasera del DNI y “selfie”). Posteriormente, se requiere la firma y del huésped y el correo electrónico. En la siguiente pantalla figura un enlace que permite ver “los documentos firmados”. De la misma manera, en uno de los correos de 25 de febrero por la propia reclamada se hablaba de “escaneo de documentación y reconocimiento facial”. Por tanto, la parte reclamada sí realiza un tratamiento de datos excesivos, en la medida en que, al menos, los recoge y los almacena por medio de la aplicación utilizada, sin perjuicio de que luego, en su caso, lleve a cabo una supuesta lectura a través de un sistema OCR de los datos necesarios a efectos de cumplir sus obligaciones en materia de registro de huéspedes. Exigir una copia completa del DNI supone, tal y como se señalaba en el acuerdo de inicio, recoger más datos que los obligados a aportar en virtud de la normativa aplicable, como la fotografía del DNI, la fecha de caducidad del documento, el CAN o el nombre de los padres. Lo mismo ocurre cuando se solicita una fotografía añadida del titular, como hace la parte reclamada en este supuesto, a efectos de verificar la identidad. Sin que conste acreditado, además, cuándo se produce la eliminación de las tres fotografías de la aplicación. Por otra parte, en cuanto a la alegación referida a que no se almacenan datos biométricos, se subraya que el presente procedimiento sancionador únicamente incluye la presunta infracción del artículo 5.1
6. c)del RGPD, no del artículo 9 del RGPD, y se insiste en que recabar una fotografía del titular del DNI para comprobar su identidad resulta a todas luces excesivo y desproporcionado en los términos anteriormente señalados y tal y como se contenía en el acuerdo de inicio. - Respecto a las afirmaciones relativas a que su encargado del tratamiento cuenta con certificaciones ISO, que las imágenes son eliminadas tan pronto se ha comprobado la identidad del sujeto y que fueron descartadas otras opciones más invasivas antes de la implantación del sistema se ha de poner de manifiesto que estas no resultan relevantes para el presente procedimiento sancionador, ni alteran el resultado del mismo. Así, se recuerda que el objeto del presente procedimiento sancionador es el tratamiento de datos personales que resultan excesivos, dado que la parte reclamada, recaba copia completa del DNI por ambas caras, así como fotografía del titular de este para realizar un registro de huéspedes. Así, la infracción imputada se corresponde con un incumplimiento del artículo 5.1
7. c)del RGPD por estos hechos, y no posibles infracciones de otros artículos. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/30 Sin perjuicio de lo anterior, no puede obviarse en relación con las afirmaciones realizadas que todas ellas son obligaciones del responsable de acuerdo con el RGPD cuyo cumplimiento resulta imperativo. De esta manera, la adecuada selección de un encargado que ofrezca garantías suficientes es una obligación del responsable conforme al artículo 28.1 del RGPD, sin olvidar que el contrato de encargado debe contener las instrucciones y medidas exigidas a este en materia de seguridad conforme al artículo 28.3 de la misma norma; por otra parte, el principio de limitación del plazo de conservación es aplicable a todo tratamiento de acuerdo con el artículo 5.1 e), lo que no debe confundirse, sin embargo, con la recogida de datos que no son necesarios y que no deberían obrar en poder del responsable; además, asegurar que el tratamiento cumple con todos y cada uno de los principios y preceptos del RGPD es uno de los pilares esenciales del RGPD, basado en el principio de responsabilidad proactiva contenido en el artículo 5.2 del RGPD y desarrollado en el artículo 24 del RGPD. Lo mismo ha de señalarse respecto a las manifestaciones realizadas sobre que el correo electrónico enviado a la parte reclamante incluía información en materia de protección de datos y que este aceptó los términos y condiciones. Con el añadido, además, con independencia de que estos elementos no sean objeto del presente procedimiento sancionador, de que los artículos 13 y 14 del RGPD consagran la obligación de facilitar información a los interesados por parte del responsable del tratamiento. Asimismo, la aceptación de las condiciones no subsana los posibles incumplimientos en materia de protección de datos, sin que pueda olvidarse, a este respecto que la libertad de pactos establecidos por el Código Civil excluye que estos sean contrarios a las leyes en su artículo 1255. - En relación a las alegaciones relativas a la inexistencia de culpabilidad, al no mediar dolo o culpa, conviene señalar que el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/30 Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/30 volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el presente caso, más allá de las evidencias recabadas por medio de los mensajes remitidos a la parte reclamante para que realizara su check-in, la propia reclamada reconoce que para realizar el registro de huéspedes en su alojamiento exige la remisión de una copia completa del DNI escaneada por ambas caras de los usuarios, además de una copia de una fotografía de estos para acreditar su identidad para el cumplimiento, asegura, de sus obligaciones legales. Además, aunque asegure que no copia, ni almacena más que los datos necesarios, parece ignorar que la propia recogida, como poco, constituye un tratamiento de datos personales. Lo anterior pone de manifiesto, como poco, la conducta negligente de la parte reclamada, que desconoce sus obligaciones en materia de protección de datos, puesto que, tal y como se recoge en el fundamento de hecho relativo al incumplimiento del artículo 5.1
8. c)del RGPD, su actuación supone la recogida de datos excesivos y no pertinentes para alcanzar el fin perseguido. 2. En relación con las alegaciones relativas a las medidas correctivas incluidas en el acuerdo de inicio. Contrariamente a lo indicado por la parte reclamada, no ha quedado acreditado que el sistema utilizado por esta no copie, reproduzca y almacene documentos de identidad completos, ni fotografías del rostro. Tal y como se ha señalado en respuesta la alegación anterior, la parte reclamada solicita y recoge una fotografía del DNI completo (parte frontal y parte trasera), además de una fotografía del usuario por medio de la aplicación ***APLICACIÓN.1. Todo ello sin perjuicio de ulteriores tratamientos que realice y de que los datos remitidos a las Fuerzas y Cuerpos de Seguridad del Estado sigan el formato previsto en la Orden INT/1922/2003. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/30 Además, no consta acreditado ni el tiempo de conservación de esos documentos o la firma manuscrita del huésped en la mencionada aplicación y, en consecuencia, el tiempo de conservación de la totalidad de los datos del DNI, así como de la imagen. A este respecto, se subraya que uno de los principios vertebradores del RGPD es el principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD y desarrollado en el artículo 24 del RGPD por el que corresponde al responsable el cumplimiento de la normativa en materia de protección de datos, pero también ser capaz de demostrarlo. A la vista de lo anterior, no procede estimar la alegación formulada respecto a la eliminación de las medidas correctivas, sino, al contrario, precisar la necesidad de proceder tanto a la modificación del sistema como a la supresión de los documentos de identidad y fotografías de huéspedes que se encuentren en este. 3. En cuanto a la alegación relativa a que la AEPD publique un informe o una guía con las obligaciones previstas en el Real Decreto 933/2021 para todos los sujetos obligados en la materia, se subraya que es el responsable a quien corresponde el cumplimiento de las obligaciones establecidas en el RGPD, así como asegurar que todo tratamiento de datos personales cuenta con una base de legitimación adecuada y respeta todos y cada uno de los principios consagrados en el RGPD. El responsable del tratamiento es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD, así como tendrá que ser capaz de determinar cuándo un tratamiento no cumple con estas normas. Sin perjuicio de lo anterior, se informa de que la AEPD ha publicado una nota sobre esta materia: nota-aepd-registro-hospedajes.pdf Por último, se reitera que en el objeto del presente procedimiento sancionador no versa sobre verificación biométrica. Atendiendo a lo anterior, procede la desestimación de todas las alegaciones. IV Alegaciones a la propuesta de resolución A continuación, se contestan las alegaciones formuladas a la propuesta de resolución siguiendo el orden reflejado en los antecedentes de hecho. Se subraya que estas suponen, en esencia, una reiteración a las formuladas al acuerdo de inicio, por lo que se dan por reproducidas las actuaciones efectuadas. 1. Respecto a la infracción del artículo 5.1
9. c)del RGPD: En cuanto a las manifestaciones efectuadas relativas a que la obligación de garantizar al exactitud de los datos exigiría la recogida completa del DNI en cumplimiento de lo previsto en el artículo 4.3 del RD 933/2021, se subraya que el principio de exactitud es otro de los principios contenidos en el RGPD, en concreto en el artículo 5.1 d). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/30 El cumplimiento del RGPD exige que un tratamiento cumpla con la totalidad de los principios del artículo 5 RGPD. Así, en cuanto al verbo “facilitar” incluido en el artículo 4.3 del mencionado RD 933/2021, toda interpretación que se haga sobre el mismo ha de respetar la normativa en materia de protección de datos, a la que está sujeta, tal y como se indicaba ya en contestación a las alegaciones al acuerdo de inicio. Además, en ningún caso, puede entenderse que “facilitar” en una interpretación distinta al ser un mero sinónimo de exhibir, pueda llegar a abarcar toda una serie de operaciones de tratamiento que lleva a cabo el sistema utilizado por la parte reclamada en su establecimiento: escaneo, lectura del documento, cotejo, verificación de identidad, validación, almacenamiento. Así, no puede olvidarse que de acuerdo con el vídeo explicativo de YOUTUBE, el funcionamiento de la aplicación sería el siguiente: (
10. i)hacer una fotografía de la parte frontal del DNI y otra de la parte trasera del DNI, así como un “selfie”. (
11. ii)envío de las tres fotografías (
12. iv)firma del huésped y facilitar el correo electrónico (
13. v)Se ha de pulsar validar para enviar a las tres fotografías que figuran en pantalla (parte delantera del DNI, parte trasera del DNI y “selfie”). Además, en la medida en que en la siguiente pantalla figura un enlace que permite ver “los documentos firmados”, se produce un almacenamiento de los documentos. Todo ello con independencia de que el supuesto sistema OCR con posterioridad realice un filtrado y, supuestamente extraiga únicamente los datos necesarios para completar los formularios. No obstante, a pesar de las afirmaciones realizadas por la parte reclamada sobre el funcionamiento del sistema OCR, que no acredita por otra parte, se subraya que en la página web a la que remite en su escrito de alegaciones a la propuesta de resolución, se encuentran afirmaciones que entrarían en contradicción con las expresadas por la parte reclamada. Así, tal y como se pone de manifiesto más adelante, en la contestación a la segunda alegación a la propuesta de resolución, de lo señalado en la página web se desprende que el sistema no extrae exclusivamente los datos mínimos necesarios, sino que, con carácter previo, realiza una lectura de todos ellos. En relación con las alegaciones efectuadas sobre que otros sistemas de acreditación de identidad contenidos en la Nota de Hospedaje de la AEPD no acreditan fehacientemente la identidad o no se encuentran lo suficientemente extendidos, conviene realizar varias precisiones: (
14. i)El análisis de las diferentes alternativas existentes debe realizarse siempre con carácter previo al inicio del tratamiento, de manera concreta, valorando, entre otros aspectos, el cumplimiento del RGPD, así como el impacto del tratamiento en los derechos y libertades de los interesados. (
15. ii)La AEPD, en tanto que autoridad de control de nuestro país, es la autoridad encargada de velar por el cumplimiento del RGPD. En la nota se indica que no se descarta la existencia de otras opciones que deberán ser valoradas caso por caso. En el presente supuesto, valorado el sistema implementado por la parte reclamada, se estima que, en la medida en que recaba, escanea y almacena (sin que se haya acreditado lo contrario) la totalidad del DNI de los huéspedes no cumple con el principio de minimización. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/30 Por otra parte, en relación con las alegaciones relativas a las modificaciones operadas en la normativa por la que señala que aumenta el número de datos a proporcionar por viajero, se subraya que estas modificaciones siguen sin justificar la recogida, escaneo y copia de un DNI, así como, en su caso, de un selfie de su titular. Asimismo, la supuesta diligencia a la que hace referencia no impide que se haya producido un incumplimiento de lo previsto en el artículo 5.1
16. c)del RGPD que dé lugar, en consecuencia, a la imposición de una sanción conforme a los principios de eficacia, proporcionalidad y carácter disuasorio previsto en el artículo 83.1 del RGPD. 2. Respecto a la verificación biométrica: Se insiste, en que el procedimiento sancionador no versa sobre verificación biométrica, ni entra a valorar el cumplimiento de lo previsto en el artículo 9 del RGPD. Así, se reitera, que el objeto del procedimiento sancionador se centra, exclusivamente, en la utilización de un sistema para realizar el check-in en un hospedaje de la parte reclamada que recaba datos excesivos y que incumpliría el principio de minimización previsto en el artículo 5.1
17. c)del RGPD. En cualquier caso, y en lo que sí interesa y afecta al presente procedimiento sancionador, se subraya que aporta un enlace a la página web en el que se explicaría el funcionamiento del sistema. Ahora bien, en el mencionado enlace, se confirma lo sostenido en el presente procedimiento sancionador en relación con un tratamiento excesivo de datos personales, puesto que se indica que la tecnología utilizada realiza varias operaciones de tratamiento: (
18. i)la captura del documento de identidad, (
19. ii)el escáner del documento de identidad, (iii) la detección del rostro del usuario (
20. iv)realización de una fotografía al rostro del usuario (
21. v)devolución de resultados: “¡Realizar un proceso de KYC onboarding digital con MobbScan es pan comido! La tecnología KYC captura el documento de identidad y lo escanea, luego detecta el rostro del usuario verificando que es real y le saca una foto y, por último, devuelve el resultado con todas las validaciones” Por otra parte, en otro momento, en la página web indicada se explica el funcionamiento de la lectura OCR en el que se reconoce que el funcionamiento se basa en la extracción de toda la información textual del DNI para poder manejarla como datos y poder rellenar formularios. Por tanto, de lo anterior se deriva que el sistema se basa en la recogida y lectura de todos los datos en primer término para, posteriormente, filtrar aquellos que resultan necesarios a efectos de completar un formulario: “A través de OCR (reconocimiento óptico de caracteres) se extrae toda la información textual de la imagen para poder manejarla como datos, rellenar un formulario etc, facilitando al cliente la introducción de datos personales en un entorno móvil o en un PC. En definitiva, MobbScan automatiza y acelera el proceso de introducción de datos y mejora la experiencia de usuario en el proceso de registro”. 3. En relación con las medidas correctivas: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/30 En cuanto a la reiteración de que no proceden las medidas correctivas en tanto que se habría acreditado en su escrito en respuesta a las alegaciones al acuerdo de inicio que “no existía ninguna copia de su documento de identidad o imagen selfie, y que el proceso de autenticación biométrica había sido eliminado de la funcionalidad de la plataforma”, no cabe sino remitir a la contestación a esta alegación incluida en la contestación a las alegaciones al acuerdo de inicio. Se insiste, especialmente en que con la documentación aportada no se ha acreditado que la aplicación utilizada no recoja y almacene los documentos de identidad completos ni las fotografías del rostro, al contrario, sin perjuicio de ulteriores tratamientos. Ha de recordarse que el responsable del tratamiento responde, con carácter general, de las actuaciones realizadas por su encargado, en tanto que es quien determina fines y medios, mientras que el encargado actúa por cuenta del responsable del tratamiento. En este sentido, se recuerda lo señalado en la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21: “ 84. Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya". 4. Solicitud de inclusión de una reproducción literal de sus alegaciones: Solicita la parte reclamada que se proceda a incluir “el contenido completo” de sus alegaciones. Dado que a continuación hace referencia a que de esa manera se pueda considerar “que estamos ante un proceso completo, justo y con todas las garantías legales previstas” conviene precisar algunos aspectos: Se han contestado, tanto en la propuesta de resolución como en esta resolución, la totalidad de las alegaciones formuladas; sin que, por parte de la reclamada se identifique la supuesta alegación que se habría dejado de contestar y que le habría causado indefensión. Cuestión distinta es que, esta autoridad, en el ejercicio de las competencias que le son propias y conforme a un principio de economía administrativa que debe regir sus actuaciones y asegurar la eficacia en la contestación de las alegaciones, no reproduzca la literalidad de los escritos presentados por la parte reclamada, pero sí el contenido esencial de todos ellos. Además, no debe olvidarse que la reproducción y contestación de las alegaciones está sujeta a su relación e incidencia con el procedimiento sancionador. Por tanto, no cabe sino desestimar las alegaciones presentadas. V C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/30 Régimen jurídico de los libros-registros y comunicación de datos de huéspedes a las Fuerzas de Seguridad y Cuerpos de Seguridad del Estado La normativa que regula los libros-registros y partes de entrada de huéspedes en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). El artículo 25 de la LO 4/2015 dispone en su apartado primero lo siguiente: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje (…) quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Estas obligaciones se desarrollan actualmente por el mencionado RD 933/2021, cuyo artículo 2 establece lo siguiente: “Artículo 2. Definiciones. A los efectos de lo establecido en este real decreto, se consideran: 1. Actividades de hospedaje: las llevadas a cabo, de modo profesional o no, con la finalidad de proporcionar, a cambio de un precio, contraprestación o compensación, habitación o espacio para la pernoctación a las personas, con o sin otros servicios de carácter complementario. En todo caso, quedan incluidas en esta definición las siguientes actividades:
22. a)Las llevadas a cabo por establecimientos comerciales abiertos al público integrados en este sector conforme a la normativa dictada por la administración competente. Se incluyen dentro de este concepto los hoteles, hostales, pensiones, casas de huéspedes, establecimientos de turismo rural o análogos.
23. b)[…] 3. Sujetos obligados: las personas físicas o jurídicas que desarrollen o intermedien en la realización de las actividades descritas.” (el subrayado es nuestro). Por su parte, el artículo 4.3 del RD 933/2021, dispone que: “Los partes y hojas serán proporcionados por el establecimiento de hospedaje o de alquiler de vehículos, los cuales serán responsables de la exactitud de los datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios.” En el apartado 3 del Anexo I.A del RD 933/2021 se concreta los datos de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/30 huéspedes que deben ser incorporados en la “Hoja-registro” que la entidad responsable del establecimiento de hospedaje debe trasladar a las Fuerzas y Cuerpos de Seguridad del Estado. Estos son: “
24. a)Nombre.
25. b)Primer apellido.
26. c)Segundo apellido.
27. d)Sexo.
28. e)Numero de documento de identidad.
29. f)Número de soporte del documento.
30. g)Tipo de documento (DNI, pasaporte, TIE).
31. h)Nacionalidad.
32. i)Fecha de nacimiento.
33. j)Lugar de residencia habitual. – Dirección completa – Localidad – País.
34. k)Teléfono fijo.
35. l)Teléfono móvil.
36. m)Correo electrónico.
37. n)Número de huéspedes.
38. o)Relación de parentesco entre los huéspedes (en el caso de que alguno sea menor de edad).” En consecuencia, de acuerdo con lo previsto en esta normativa, se deduce que no es obligatorio recoger, registrar ni comunicar a las autoridades competentes la imagen, fotocopia o imagen completa del documento de identidad de cada viajero, sino únicamente de algunos datos contenidos en el mismo como: nombre y apellidos, el número de identificación, el número de soporte, el tipo de documento (DNI; pasaporte…etc.), la nacionalidad, y la fecha de nacimiento. Por tanto, el mencionado RD 933/2021 no ampara el tratamiento de datos personales consistente en recabar la copia completa del documento o una fotografía del rostro del huésped. Hay que tener en cuenta que la imagen o fotocopia del DNI del viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad contiene datos personales que exceden de los exigidos en esta normativa, tales como: la imagen o cara del viajero, el número de equipo, o los nombres de los progenitores del viajero, sobre los que no concurre una obligación legal de recogida, registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían datos personales cuyo C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/30 tratamiento implica un tratamiento excesivo que es contrario al principio de minimización de datos previsto en el artículo 5.1.
39. c)del RGPD. VI Obligación incumplida. Minimización de datos La letra
40. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
41. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" El objetivo del citado principio de minimización de datos, como se desprende de la jurisprudencia del Tribunal de Justicia de la Unión Europea (asuntos C-708/18 y C524/06), es garantizar que el tratamiento de datos personales se limite estrictamente a la información que sea adecuada, pertinente y necesaria para alcanzar fines legítimos y previamente determinados. De esta forma, este principio busca prevenir el uso excesivo o desproporcionado de datos, y se reducen los riesgos de accesos indebidos, posibles abusos y vulneraciones de derechos. En el presente caso, A.A.A., después de reservar un alojamiento de la SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS a través de una plataforma web, fue requerido para que se descargara la aplicación ***APLICACIÓN.1 y remitiera a través de la misma una fotografía del rostro y el documento de identidad escaneado por ambas caras, con la finalidad de realizar el check-in. La relación contractual que supone la estancia en un alojamiento justifica el tratamiento de datos personales de los clientes por SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS a los datos personales de las personas que los ocupan, siempre que resulten necesarios para el cumplimiento de las obligaciones que conlleva dicha estancia; pero no justifica el acceso a toda la información que contiene el documento de identidad del cliente y, menos aún, la recogida y conservación de una copia de este documento sin que exista una base jurídica que así lo justifique, ni tampoco de una fotografía de su rostro. La SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS confirma en su escrito de contestación al traslado de 19 de abril de 2024 a esta Agencia que, efectivamente, se efectuó dicho requerimiento con la finalidad de realizar el check-in es online, para cumplir “con la obligación legal establecida por el artículo 25 de la Ley 4/2015 de registro documental y comunicación a las Fuerzas y Cuerpos de seguridad de los partes de entrada diarios de clientes alojados.” La normativa que regula los libros-registros y partes de entrada de huéspedes en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/30 información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). Primero, la actividad realizada por la SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS está incluida en el ámbito de aplicación de esta normativa, que va dirigida a las personas físicas o jurídicas que realicen actividades de hospedaje. Ahora bien, solicitar una copia completa del DNI, como hace la parte reclamada, supone un tratamiento excesivo de datos. Esto se debe a que el DNI completo contiene más datos que los obligados a aportar en virtud de la normativa aplicable, como la fotografía, la fecha de caducidad del documento, el CAN o el nombre de los padres. Asimismo, el entregar una copia de la documentación personal implica, entre otros, un riesgo innecesario de suplantación de la identidad, que debe ser evitado o, por lo menos, mitigado de manera efectiva. A este respecto cabe señalar que la finalidad del Real Decreto 933/2021 es “la protección de personas y bienes y el mantenimiento de la tranquilidad ciudadana” ante la “especial relevancia” de la “logística del alojamiento” “en el modus operandi de los delincuentes”, según recoge la Exposición de Motivos de la norma. Así las cosas, el envío de una copia del documento no permite verificar con certeza la identidad de la persona y, por tanto, carece de la idoneidad suficiente para cumplir con la finalidad de la norma. Respecto de la recogida de los datos que requiere el Real Decreto 933/2021, que recae sobre las personas físicas o jurídicas que ejercen actividades de hospedaje, la AEPD considera que podría ser suficiente con que las personas faciliten o completen un formulario que recoja exclusivamente los datos exigidos en los apartados A.3 y B.3 del Anexo I del Real Decreto (“Datos a facilitar en el ejercicio de la actividad de hospedaje”, apartados A.3, A.4, B.3 y B.4). Este formulario puede ser cumplimentado en línea o presencialmente en el hospedaje. En caso de recogida de datos en línea sin atención presencial, como ocurre en el presente supuesto, esta verificación puede realizarse mediante mecanismos como certificados digitales. También es posible la verificación de que los datos y la información proporcionada concuerda con los datos asociados al medio de pago utilizado. Igualmente, entre las medidas posibles, se puede emplear el envío de códigos de seguridad enviados a los números de teléfono o direcciones de correo electrónico de los huéspedes obligados a identificar, como factores de autenticación. Estos últimos son datos que forman parte de la información que el titular de la actividad de hospedaje ha de recoger de las personas usuarias de los servicios de hospedaje de acuerdo con el Real Decreto 933/2021. En definitiva, en el presente caso la solicitud y recogida de una copia del documento de identidad de la parte reclamante por ambas caras, así como su fotografía “selfie” constituye un tratamiento de datos personales inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento, contrario a los principios de protección de datos, concretamente, al principio de “minimización de datos”, regulado en el artículo 5.1.
42. c)del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/30 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS, por vulneración del artículo 5.1
43. c)del RGPD transcrito anteriormente. VII Tipificación de la infracción del artículo 5.1.
44. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
45. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
46. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VIII Sanción A fin de determinar la multa administrativa se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/30 artículo 58, apartado 2, letras
47. a)a
48. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
49. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
50. b)la intencionalidad o negligencia en la infracción;
51. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
52. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
53. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
54. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
55. g)las categorías de los datos de carácter personal afectados por la infracción;
56. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
57. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
58. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
59. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
60. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
61. a)El carácter continuado de la infracción.
62. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
63. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
64. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
65. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
66. f)La afectación a los derechos de los menores.
67. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
68. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/30 En el presente caso, considerando la gravedad de la infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa debe ser en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS de 18.000 € euros en el año 2022. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
69. c)del RGPD, permite fijar una sanción de multa administrativa de 500,00 euros. IX Medidas correctivas De acuerdo con lo establecido en el citado artículo 58.2
70. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la infracción cometida y los hechos que dan lugar a esa vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se requiere a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS para que, en el plazo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte y acredite las medidas siguientes: - Modificar su sistema de registro para que no se solicite la aportación de una copia o imagen del documento de identidad de los huéspedes como requisito necesario para el alojamiento, ni una fotografía del huésped en cuestión. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/30 - Acreditar que se han eliminado las fotografías de sus clientes y de sus documentos de identidad que se encuentren almacenadas en su sistema. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L., con NIF B41277146, por una infracción del artículo 5.1.
71. c)del RGPD tipificada en el artículo 83.5 del RGPD, una multa de 500 euros ( QUINIENTOS EUROS). SEGUNDO: ORDENAR a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L., con NIF B41277146, que en virtud del artículo 58.2.
72. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: - Modificar su sistema de registro para que no se solicite la aportación de una copia o imagen del documento de identidad de los huéspedes como requisito necesario para el alojamiento, ni una fotografía del huésped en cuestión. Acreditar que se han eliminado las fotografías de sus clientes y de sus documentos de identidad que se encuentren almacenadas en su sistema. SEGUNDO: NOTIFICAR la presente resolución a SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
73. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/30 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
74. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es