PS-00386-2021

1/44  Expediente N.º: PS/00386/2021 IMI Reference: A56ID 100962- Case Register 134474 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad de protección de datos de Baviera- Sector Privado de Alemania (Bavarian Lander Office for Data Protection Supervision). La reclamación se dirige contra AMADEUS IT GROUP, S.A. con NIF A84236934 (en adelante, AMADEUS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que tras varios intentos de ejercer su derecho de acceso y de supresión mediante el envío de varios correos electrónicos al responsable, la única respuesta recibida es un correo donde se proporcionan instrucciones para eliminar la cuenta, procedimiento que, por otro lado, la parte reclamante asegura que no funciona. Junto a la reclamación se aporta: - Correo electrónico de la parte reclamante de fecha 4 de octubre de 2018 a la dirección zentrale@de.amadeus.com, con el siguiente texto (en alemán el original): “Quisiera que se suprima mi cuenta de usuario con la presente dirección de correo electrónico, así como los datos a ella asociados. Solicito confirmación por escrito de la supresión y le pido me informe dentro de plazo otorgado por el RGPD qué datos tiene almacenados sobre mí. Cualquier forma de contacto por su parte con el propósito de volver a enviar publicidad no es deseada y le pido amablemente que se abstenga de ello. Muchas gracias y saludos cordiales”. - Correo electrónico de la parte reclamante de fecha 11 de noviembre de 2018 a la misma dirección, respondiendo al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, desafortunadamente no he recibido ninguna respuesta así que por favor contácteme de nuevo. Saludos” - Correo electrónico de la parte reclamante de fecha 14 de diciembre de 2018 a la dirección DataProtection@amadeus.com, reenviando los correos anteriores, con el siguiente texto (en alemán el original): “Buenas tardes, Desafortunadamente aún no he recibido ninguna respuesta de ustedes, aunque ya pasaron dos meses. Por tanto, solicito que me contacten lo antes posible y quisiera señalar en esta ocasión que, por lo que sé, las solicitudes sobre el RGPD deben ser respondidas dentro de 30 días de acuerdo con la normativa. Saludos cordiales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 - Correo electrónico de la dirección DataProtection@amadeus.com, de fecha 17 de diciembre de 2018, en el que se reenvía su solicitud al correo privacy.checkmytrip@amadeus.com, con el siguiente texto (en inglés el original): “Su correo electrónico ha sido reenviado a privacy.checkmytrip@amadeus.com quien podrá ayudarle con su solicitud”. - Correo electrónico de la dirección privacy.checkmytrip@amadeus.com a la parte reclamante, de fecha 17 de diciembre de 2018, con el siguiente texto (en inglés el original): “Gracias por su correo electrónico. Si usted tiene una cuenta con CheckMyTrip y desea suprimir su cuenta/ la información almacenada en esta cuenta, por favor abra la aplicación, inicie sesión con su cuenta, y siga los siguientes pasos:

1. a)Pinche en Ajustes > Información Personal
2. b)Pinche en “Suprimir Cuenta”, revise lo que está suprimiendo, y siga las instrucciones. Una vez que la cuenta sea suprimida esto suprimirá automáticamente la información personal de esta cuenta. Si usted tiene alguna pregunta sobre la privacidad de CheckMyTrip, por favor contacte con privacy.checkmytrip@amadeus.com, para cualquier otra solicitud por favor contacte con feedback@checkmytrip.com. Muchas gracias La Oficina de Protección de Datos” - Correo electrónico de la parte reclamante de fecha 27 de diciembre de 2018 a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, Desafortunadamente, ya no tengo acceso a los datos de mi cuenta de cliente. Por tanto solicito que ustedes supriman todos los datos sobre mí. Con la solicitud de confirmación. Saludos amables”. - Correo electrónico de la dirección privacy.checkmytrip@amadeus.com, de fecha 28 de enero de 2019, en respuesta al correo anterior, con el siguiente texto (en inglés el original): “Gracias por contactar con nosotros y perdón por los problemas que está teniendo. Para poder suprimir su cuenta por favor restablezca su contraseña para poder iniciar sesión. Una vez que haya restablecido su contraseña y pueda iniciar sesión podrá suprimir su cuenta:
3. a)Pinche en Ajustes > Información Personal
4. b)Pinche en “Suprimir Cuenta”, revise lo que está suprimiendo, y siga las instrucciones. Saludos CheckMyTrip - Correo electrónico de la parte reclamante de fecha 28 de enero de 2019 a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (el original en alemán): “Buenas tardes, He tratado realizar este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 procedimiento, pero recibo un mensaje de error “Datos de inicio de sesión incorrectos”, incluso cuando intento solicitar una nueva contraseña. Saludos”. - Correo electrónico de la parte reclamante de fecha 24 de febrero de 2019 a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, desafortunadamente no he recibido ninguna respuesta de ustedes hasta ahora y por tanto quiero pedirles que se comuniquen conmigo. Saludos”. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 6 de febrero de 2020, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) la citada reclamación. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que AMADEUS tiene su establecimiento principal en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad alemana de protección de datos de BavieraSector Privado, las autoridades de Dinamarca, Noruega, Suecia, Italia, Francia, Chipre, Polonia, Finlandia y las autoridades alemanas de Berlín y Baja Sajonia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en estas regiones resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a AMADEUS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 30 de junio de 2020 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de julio de 2020 se recibe en esta Agencia escrito de respuesta indicando que checkmytrip es un servicio vía online web o aplicación móvil que AMADEUS IT GROUP, S.A. ofrece a los pasajeros, que les permite reunir la información relevante sobre sus viajes. En un principio, el servicio surgió para ofrecer al pasajero la opción de acceder a los detalles de su reserva gestionada en el sistema de Amadeus. Hoy en día el servicio permite al usuario volcar información de otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 reservas (al reenviar el correo electrónico con el resumen del itinerario) y así visualizar en un solo lugar sus viajes con independencia del sistema de reservas utilizado. Es necesario crear una cuenta en la web/aplicación para usar el servicio. Este se ha diseñado para que el usuario registrado tenga el control de sus datos en todo momento y mediante sus credenciales pueda ver toda la información relacionada y asignada a su cuenta y borrarla cuando considere oportuno. Este servicio es completamente independiente y separado de la gestión del sistema de reservas que AMADEUS IT GROUP, S.A. ofrece a sus clientes ya sean agencias de viaje que se suscriben al sistema para poder realizar reservas y emitir billetes o a las aerolíneas y demás proveedores de servicios de viaje que ofrecen la disponibilidad de su oferta en el sistema. Ya que ambos servicios están destinados a clientes distintos, tienen propósitos distintos, la información procesada en ambos canales es distinta, la base legitimadora es distinta y por tanto el periodo de retención es distinto se han habilitado canales separados para la gestión de los derechos de los afectados, la recepción de reclamaciones o la gestión de cualquier aclaración que sea necesaria. Por esta razón se gestionan dos correos electrónicos: Privacy.checkmytrip@amadeus.com para gestionar todo lo relativo a checkmytrip y dataprotection@amadeus.com para gestionar lo relativo al sistema de Amadeus. La parte reclamante manifiesta que, tras varios intentos de ejercer su derecho de acceso y supresión mediante el envío de varios correos electrónicos al responsable, la única respuesta recibida es un correo donde se proporcionan instrucciones para eliminar la cuenta, procedimiento que, por otro lado, la parte reclamante asegura que no funciona. La reclamación se refiere a checkmytrip puesto que así lo indica la afectada en sus correos electrónicos. Los primeros fueron enviados fuera del canal establecido para ello ya que fueron enviados a una dirección de correo genérica, distinta de las anteriormente citadas, y manejada por una de las filiales de AMADEUS IT GROUP, S.A. en Alemania, ajena a este servicio. No obstante, cuando la solicitud se remitió al correo dataprotection@amadeus.com se contestó de forma inmediata y se dio traslado de la misma al correo correspondiente a checkmytrip. Desde ese correo, y también de forma inmediata, tal y como demuestran los correos proporcionados por la parte reclamante se procedió a dar las instrucciones correspondientes a la parte reclamante para que pudiera, mediante su acceso, acceder a los datos y proceder al borrado de la cuenta y demás información relativa a la misma. El usuario de checkmytrip puede por sí mismo realizar las acciones que considere oportunas para el ejercicio de sus derechos, por ello se responde a la parte reclamante indicando las instrucciones para que pueda realizar dicho acceso por sí misma. AMADEUS considera que la comunicación a la parte reclamante del modo en que acceder a dicho sistema (instrucciones para eliminar la cuenta) basta para tener por atendida la solicitud de ejercicio del derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 En relación al envío de instrucciones que la parte reclamante no puede ejecutar, los representantes de AMADEUS indican que sólo existen dos opciones para esta situación: 1) la pérdida de la contraseña o 2) que la cuenta ya no exista (haya sido previamente borrada ya por el titular de la misma). Es importante indicar que el mensaje que el usuario recibe es el mismo en ambos casos, ya que de otra forma se estaría dando información sobre la mera existencia de una cuenta asociada a ese correo electrónico a cualquiera que intente acceder sin la contraseña. Sin embargo, no permite al usuario identificar la razón por la que no accede a la cuenta y por lo tanto saber si el acceso no es posible porque ha perdido la contraseña o es porque el usuario ha procedido al borrado de la cuenta con anterioridad y por lo tanto esa cuenta ya no existe. Por esta razón, ante la indicación de no poder acceder se mandan las instrucciones para el restablecimiento de la contraseña puesto que se consideró que el usuario no solicitaría el acceso y supresión a una información que previamente ya ha borrado. Tras analizar la información que figura en sus sistemas, los representantes de AMADEUS informan que la cuenta asociada al correo electrónico de la parte reclamante fue creada el día 23 de julio de 2018 y posteriormente borrada por el usuario el 1 de septiembre del 2018. Por lo tanto, en la fecha en que se realizó la solicitud de acceso y borrado la cuenta ya no existía. Es por esta razón por la que la parte reclamante no podía ejecutar las instrucciones enviadas. Ante la revisión de la incidencia se ha procedido a la adopción de una serie de medidas para mejorar el proceso y evitar que se produzcan incidencias similares en el futuro. Dichas medidas incluyen: 1) Actualizar la Guía interna para la gestión de los derechos relativos a CheckMyTrip (“Privacy Manual: How to address data subject rigths”) para incluir la comprobación de la existencia de la cuenta cuando el usuario indique que no puede seguir las instrucciones con el objeto de responder al usuario con más exactitud y ser más precisos si la cuenta ya no existe y poder indicarlo claramente. 1) Revisión de la política de privacidad para indicar al usuario la posibilidad de acceder y borrar los datos de carácter personal directamente desde la aplicación/ web sin necesidad de solicitarlo a través del correo electrónico, manteniendo la posibilidad de escribir al correo. Dicha revisión se incluirá en la próxima actualización de la política que se implementará lo antes posible. Por tanto, la cuenta ya no existía en el momento de la solitud de acceso y borrado ya que había sido borrada con anterioridad por el usuario y que conforme al diseño de la aplicación sólo el usuario puede borrarla. El borrado por el usuario implica el borrado de la cuenta y la información relativa a la misma, no pudiendo realizarse por parte de AMADEUS ningún borrado adicional al ya realizado por la parte reclamante con anterioridad. CUARTO: Con fecha 28 de agosto de 2020, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En respuesta a requerimiento de información formulado por esta Agencia, el 14 de septiembre de 2020, AMADEUS aporta copia de la respuesta al ejercicio de derechos de la parte reclamante, de fecha 9 de noviembre de 2020, al tener conocimiento de su reclamación, en la que se le confirma que sus datos fueron debidamente suprimidos en septiembre de 2018. SEXTO: Con fecha 16 de agosto de 2021, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 20 de agosto de 2021 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Transcurrido el plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades de control están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SÉPTIMO: Con fecha 21 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AMADEUS, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 21 de abril de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 29 de abril de 2022, AMADEUS presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y copia del expediente. NOVENO: Con fecha 4 de mayo de 2022, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de tres días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. Y se le remite copia del expediente. El acuerdo de ampliación se notifica a AMADEUS ese mismo día, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 10 de mayo de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de AMADEUS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 1. — LA PARTE RECLAMANTE SE DIRIGIÓ A UNA ENTIDAD DISTINTA AL RESPONSABLE DEL TRATAMIENTO DE LOS DATOS PERSONALES 1.1 AMADEUS alega que la reclamación sobre la que se fundamenta el presente Procedimiento Sancionador (la "Reclamación") nace como consecuencia del ejercicio por parte de la parte reclamante de sus derechos de acceso y supresión en relación con los datos personales que Amadeus ITG trataba en el contexto del servicio Checkmytrip ("Checkmytrip"). Sin embargo, considera necesario aclarar previamente los hechos que dan pie a tal Reclamación y al Traslado de Reclamación y Solicitud de Información (el "TRSI") (págs. 15 y ss. del Expediente). 1.2 AMADEUS indica que Checkmytrip es un servicio online de Amadeus ITG (independiente de otros servicios) que permite a los pasajeros reunir la información relevante sobre sus viajes y que, a día de hoy, permite al usuario volcar la información tanto del sistema Amadeus como de otras fuentes como se explicó en la contestación al TRSI en detalle (la "Contestación") (págs. 33 y ss. del Expediente). Explica AMADEUS que Checkmytrip ha sido diseñado de forma que el usuario tenga el control absoluto de sus datos personales en todo momento y, accediendo con sus credenciales, pueda ver toda la información relacionada y asignada a su cuenta y borrarla según considere oportuno. Y que como Checkmytrip es un servicio completamente independiente, se han habilitado canales separados: • privacy.checkmytrip@amadeus.com para gestionar reclamaciones, derechos y aclaraciones lo relativo a Checkmytrip; y • dataprotection@amadeus.com para gestionar reclamaciones, derechos y aclara- ciones del sistema de Amadeus. 1.3 Explica AMADEUS que, según consta en la Contestación, la parte reclamante remitió tres comunicaciones (dos correos electrónicos de fecha 4 de octubre y 11 de noviembre de 2018 a la dirección zentrale@de.amadeus.com y uno de fecha 14 de diciembre de 2018 a la dirección dataprotection@amadeus.com) a través de canales diferentes a los establecidos en el contexto de Checkmytrip, antes de que su solicitud fuera remitida por Amadeus ITG a la dirección correcta (i.e. privacy.checkmytrip@amadeus.com). La primera y la segunda comunicación de la parte reclamante se remitieron a una dirección de correo genérica gestionada por Amadeus Germany GmbH, la filial de Amadeus ITG en Alemania, y la tercera a la dirección del sistema de Amadeus. E indica que ninguna de estas dos direcciones de correo electrónico es la establecida para dar cabida a los derechos de les interesados relativos a Checkmytrip. 1.4 En opinión de AMADEUS, de conformidad con lo dispuesto por el Comité Europeo de Protección de Datos (el "CEPD") en el punto 54 de sus Directrices 01/2022 sobre los derechos de los interesados- Derecho de acceso (las ”Directrices"), Amadeus ITG no estaba obligado a atender a la solicitud de derechos remitida a esta dirección, ya que ni siquiera fue dirigida al responsable del tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 personales en cuestión, además de que Amadeus ITG había dispuesto debidamente un canal específico para realizar este tipo de solicitudes en el contexto de Checkmytrip: ” Cabe señalar que el responsable del tratamiento no está obligado a dar curso a una solicitud enviada a una dirección de correo electrónico (o postal) aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento, o a cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha facilitado un canal de comunicación adecuado, que pueda ser utilizado por el interesado" (la traducción y el destacado son de AMADEUS) En el mismo sentido, para AMADEUS, presenta especial relevancia el siguiente ejemplo incluido en las Directrices: “Ejemplo: El responsable del tratamiento Y gestiona una red de gimnasios. El responsable del tratamiento Y indica en su web y en el aviso de privacidad para los clientes del club de fitness que para presentar cualquier consulta o realizar una solicitud en relación con el tratamiento de los datos personales, hay que ponerse en contacto con el responsable deI tratamiento en la dirección de correo electrónico QUERIES@Y.COM. No obstante, el interesado envía una solicitud a una dirección de correo electrónico que se encuentra en los vestuarios, donde ha encontrado un aviso que dice “Si no está satisfecho con la limpieza de la sala, póngase en contacto con nosotros en: CLEANERS@ Y.COM.”, que es la dirección de correo electrónico del personal de limpieza. El personal de limpieza. obviamente, no está involucrado en la gestión de asuntos relacionados con el ejercicio de los derechos de los interesados de los clientes del club de fitness. Aunque la dirección de correo electrónico estaba en las instalaciones del club de fitness, el interesado no podía esperar razonablemente que ésta fuera una dirección de contacto adecuada para tales solicitudes, ya que el sitio web y el aviso de privacidad informaban claramente sobre el canal de comunicación que debía utilizarse para el ejercicio de los derechos de los interesados" (la traducción es de AMADEUS) 1.5 Explica AMADEUS que el tercer correo electrónico de la parte reclamante sí se remitió a Amadeus ITG, aunque fue enviado a la dirección de contacto destinada a la gestión de derechos diferentes a los relativos a Checkmytrip (i.e. se mandó a dataprotection@amadeus.com). No obstante, manifiesta AMADEUS que actuó de forma diligente y contestó inmediatamente, dando traslado de la solicitud al correo electrónico correspondiente de Checkmytrip, desde donde se gestionó la solicitud de ejercicio de derechos de la parte reclamante. Esto demuestra, en su opinión, que Amadeus ITG ha actuado en todo momento con la diligencia esperada, adoptando una posición proactiva en cuanto tuvo conocimiento de la solicitud de derechos de la parte reclamante y dando el curso debido a la misma de conformidad con lo estipulado en el RGPD. 1.6 Sin embargo, considera AMADEUS que no puede entenderse que la parte reclamante ejerciera sus derechos de protección de datos válidamente mediante las comunicaciones de 4 de octubre y 11 de noviembre de 2018 a la dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 zentrale@de.amadeus.com. En todo caso, no sería hasta el correo electrónico de fecha 14 de diciembre de 2018 (dirigido a dataprotection@amadeus.com) cuando la solicitud podría entenderse debidamente dirigida al responsable del tratamiento de los datos de Checkmytrip (i.e. Amadeus ITG aunque ni siquiera utilizó el canal habilitado para ello). Por tanto, la inactividad de Amadeus ITG durante el periodo que media entre el 4 de octubre y el 14 de diciembre de 2018 considera que no puede entenderse contraria al RGPD, ya que las dos primeras comunicaciones fueron enviadas por la parte reclamante a una tercera entidad (i.e. Amadeus Germany GmbH) que no es el responsable del tratamiento. En la información a disposición de los usuarios de Checkmytrip se mencionaba claramente a Amadeus ITG como responsable del tratamiento de los datos y del canal adecuado para ejercer los derechos. 1.7 En consecuencia, cree AMADEUS que en ningún caso puede entenderse que Amadeus ITG tuviera que llevar a cabo ninguna acción en relación con las dos primeras comunicaciones de la parte reclamante. Y considera que nada hay de reprochable en la actuación de Amadeus ITG en relación con esos dos primeros correos y, por consiguiente, que ni resulta procedente la imposición de una sanción por la falta de respuesta durante este periodo, ni puede ser considerado como un agravante. 2.— AMADEUS ITG HA RESPONDIDO AL EJERCICIO DE DERECHOS DE LA PARTE RECLAMANTE Y HA RESUELTO LA SITUACIÓN ACONTECIDA EN ESTE CASO 2.1 Por lo que respecta al mecanismo implementado por Amadeus ITG para atender las solicitudes de ejercicio de derechos de protección de datos en relación con Checkmytrip, explica AMADEUS que el objetivo es ofrecer al usuario un sistema de acceso remoto, directo y seguro a los datos personales, que garantiza, de modo permanente, el acceso a su totalidad y la posibilidad de que los gestione por sí mismo. 2.2 A la luz de lo anterior, manifiesta AMADEUS que dio respuesta a la parte reclamante dándole las instrucciones necesarias para que pudiera realizar dicho acceso y gestionar sus datos personales por sí misma accediendo a su cuenta. Por tanto, considera que la comunicación a la parte reclamante del modo de acceder a Checkmytrip, incluyendo las instrucciones para eliminar la cuenta y los datos personales asociados a la misma, resulta suficiente para tener por debidamente atendida su solicitud de ejercicio de derechos de protección de datos, en línea con lo dispuesto en el art. 13.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (la "LOPDGDD"): ”El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho." Así, entiende AMADEUS que ha atendido debidamente los derechos ejercidos por la parte reclamante, proporcionándole el modo de acceder y suprimir sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 personales, de conformidad con lo establecido en la LOPDGDD y sin contravenir en ningún momento el RGPD. 2.3 En este sentido, indica AMADEUS que las Directrices a las que hacía referencia con anterioridad indican que: “Aunque los procesos manuales de gestión de solicitudes de acceso podrían considerarse adecuados, algunos responsables del tratamiento pueden beneficiarse de la utilización de procesos automatizados para gestionar las solicitudes de los interesados. Este podría ser el caso, por ejemplo, para los responsables del tratamiento que reciben un gran número de solicitudes. Una forma de proporcionar la información prevista en eI art. 15 es facilitar al interesado herramientas de autoservicio [self- service tooIs]. Esto podría facilitar una gestión eficaz y oportuna de las solicitudes de acceso de los interesados y también permitirá al responsable del tratamiento incluir el mecanismo de verificación en la herramienta de autoservicio. Ejemplo: Un servicio de redes sociales cuenta con un proceso automatizado para gestionar solicitudes de acceso que permite al interesado acceder a sus datos personales desde su cuenta de usuario. Para extraer los datos personales, los usuarios de la red social pueden elegir la opción de “Descargar sus datos personales” cuando están conectados a su cuenta de usuario. Esta opción de autoservicio permite a los usuarios descargas un archivo con sus datos personales directamente desde la cuenta de usuario a su propio ordenador". (la traducción es de AMADEUS) 2.4 Sin perjuicio de lo anterior, explica AMADEUS que en el supuesto de hecho que nos ocupa se dio la circunstancia de que la parte reclamante no podía acceder a su cuenta y, por tanto, no lograba realizar las gestiones deseadas en relación con sus datos personales. Sólo existían dos Posibles explicaciones para esta situación: (
5. i)la pérdida de la contraseña; o (
6. ii)que la cuenta ya no existiera (es decir, que hubiese sido previamente borrada por su titular, que es lo ocurrió en este caso, como Amadeus ITG ha podido comprobar con posterioridad — la cuenta asociada al correo electrónico de la parte reclamante fue creada el día 23 de julio de 2018 y posteriormente borrada por la propia parte reclamante el 1 de septiembre de 2018, por lo que ya había sido eliminada en la fecha de su primera solicitud—). En aquel momento, indica AMADEUS que la práctica general en Amadeus ITG consistía en que el mensaje que el usuario recibía era el mismo en ambos casos, ya que de otra forma se estaría dando información sobre la mera existencia de una cuenta asociada a una dirección de correo electrónico a cualquiera que intentase acceder sin la contraseña. En particular, en el caso de la parte reclamante, que había indicado que no pedía acceder a su cuenta, se le mandaron las instrucciones para el restablecimiento de la contraseña, puesto que se consideró que no solicitaría el acceso y supresión de una información que previamente ya había borrado. Explica AMADEUS que, ante la situación acontecida, que, como se ha podido comprobar, es fruto de un mero malentendido, Amadeus ITG ha mejorado el proceso de ejercicio de derechos en el contexto de Checkmytrip (como ya se indicó en la Contestación — en concreto, en la pág. 38 del Expediente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 2.5 Por todo lo anterior AMADEUS considera que ha adoptado las medidas necesarias para resolver la situación de forma diligente y sin menoscabar de forma alguna los derechos de la parte reclamante. 3.— AUSENCIA DE DOLO Y CULPA EN LA ACTUACIÓN DE AMADEUS ITG 3.1 Además de lo anterior, alega AMADEUS que a la hora de valorar los hechos discutidos se debe tener en consideración la ausencia total de culpa, dolo o negligencia por parte de Amadeus ITG, así como la diligencia con la que ha actuado en todo momento para solucionar la incidencia una vez fue detectada. 3.2 Continúa diciendo que, como se ha detallado con anterioridad, el incidente se ha producido debido a la imposibilidad de la parte reclamante de acceder a su cuenta (que ya había sido borrada con anterioridad por la misma, por lo que no existía ninguna cuenta ni ningún dato personal al que acceder o que pudiera ser suprimido por parte de Amadeus ITG), lo que impidió que recibiera la información oportuna sobre el estado de sus datos personales. Esta situación se ha dado precisamente debido a los mecanismos de seguridad que Amadeus ITG había implementado proactivamente para Preservar la información personal de sus usuarios y así evitar que se proporcionase información sobre la existencia de una cuenta a usuarios que no correspondiese. Esto entiende que demuestra el afán de Amadeus ITG por proteger los datos personales de sus usuarios y su voluntad firme de no proporcionar ningún tipo de información a aquellas personas que no estén debidamente autorizadas. 3.3 Explica AMADEUS que dado que en este caso la cuenta de Checkmytrip no existía (ya que la propia parte reclamante la había borrado con anterioridad) el proceso de restablecimiento de la contraseña no se podía completar por mucho que la parte reclamante lo intentase, porque no había ninguna contraseña que recuperar. Entiende AMADEUS que esta situación no era previsible y ha permitido a Amadeus ITG revisar sus mecanismos y procedimientos, adaptarlos y mejorar los procesos para que no se vuelvan a producir este tipo de incidentes, por muy raros que sean, en el futuro. 3.4 En línea con lo descrito en las Alegaciones Primera y Segunda, entiende AMADEUS que ha quedado suficientemente acreditado que Amadeus ITG implantó el proceso de esta manera sin intención de obstaculizar el ejercicio de los derechos de protección de datos de los interesados, sino para preservar la privacidad y la seguridad de sus datos personales. Así, afirma que Amadeus ITG, cuenta (y ha contado en todo momento) con los mecanismos apropiados para satisfacer dichos derechos (tal y como quedó demostrado con la supresión de la cuenta de la parte reclamante en septiembre de 2018). Y que únicamente se ha producido una incidencia aislada relacionada con un supuesto concreto que no se esperaba que ocurriese. AMADEUS alega que, aun así, al tener noticia del suceso, Amadeus ITG se puso en contacto con la parte reclamante, a fin de confirmarle que sus datos habían sido debidamente suprimidos en septiembre de 2018, cuando la parte reclamante había eliminado su cuenta de Checkmytrip, y para informarle de las causas que habían originado la incidencia respecto de su solicitud de ejercicio de derechos (tal y como se recoge en la pág. 58 del Expediente). Además, afirma AMADEUS que, como se ha detallado anteriormente, Amadeus ITG ha puesto todo su empeño en asegurar que no se vuelva a producir una situación similar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 3.5 Para AMADEUS, lo anterior pone de manifiesto que se tomaron medidas adicionales y reactivas nada más tener conocimiento del incidente para ponerle fin. Y que la diligencia de Amadeus ITG se aprecia, de esta forma, no sólo de manera preventiva y proactiva, sino que se ve reafirmada al reaccionar ante el error con el refuerzo de la información, así como de los procesos de gestión de derechos, lo que ha permitido aclarar la situación y evitar que se produzcan nuevas incidencias como esta en el futuro. AMADEUS manifiesta que la toma en consideración e implementación de las medidas adecuadas para solventar la situación han sido tenidas tradicionalmente en cuenta por la AEPD en resoluciones como la dictada en el expediente PS/00019/2021, en la que se apreciaba la ausencia de culpabilidad según se detalla a continuación: "En el presente caso, consta que la reclamada, una vez tuvo conocimiento de los errores que se estaban produciendo en el cruce de datos con el listado Robinson de Adigital, actuó con la diligencia debida corrigiendo el error detectado enviando en fecha 5/02/2020 un nuevo listado corregido a la investigada e incorporando a su listado interno la numeración objeto de reclamación, cenando en lo sucesivo las llamadas al reclamante. En consecuencia, no se aprecia por la investigada el elemento volitivo de culpabilidad en la conducta inicialmente imputada.” (el destacado es de AMADEUS) 3.6 Por las razones expuestas, considera AMADEUS que no cabe apreciar dolo, culpa o intencionalidad en la actuación de Amadeus ITG, considerando que su objetivo en todo momento fue la satisfacción de los derechos de protección de datos de la parte reclamante. Por consiguiente, entiende que atribuir responsabilidad a Amadeus ITG por una infracción del art. 12 RGPD, sin que existan dolo ni culpa, resultaría en la nulidad del presente Procedimiento Sancionador, en la medida en que se verían vulnerados los principios que rigen el derecho administrativo sancionador. Y que, por este motivo, la AEPD debe proceder al archivo del presente Procedimiento Sancionador. 4.— SUBSIDIARIAMENTE, SOBRE LA NECESARIA PROPORCIONALIDAD DE LAS SANCIONES Y SU GRADUACIÓN. APLICACIÓN DE ATENUANTES 4.1 Subsidiariamente a las Alegaciones anteriores, considera AMADEUS que, en el improbable supuesto de que Amadeus ITG sea considerada responsable por la infracción del artículo 12, la Agencia debe tener en consideración las siguientes circunstancias atenuantes, aparte de las que ya se mencionan en el Acuerdo de Inicio, con el fin de determinar el importe de la multa, y de acuerdo con lo previsto en los arts. 83.2 RGPD y 76.2 LOPDGDD: (
7. a)La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.a RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 En opinión de AMADEUS, la infracción no ha supuesto ningún perjuicio para la parte reclamante, ya que los datos personales en relación con los que solicitaba acceso y supresión ya habían sido previamente borrados por la parte reclamante en septiembre de 2018 (por lo que no había datos personales a los que acceder ni que suprimir). Por consiguiente, entiende que en ningún momento se ha privado a la parte reclamante del acceso o de la supresión de sus datos personales, ya que es quien decidió eliminarlos en el pasado. Considera que simplemente se ha producido una anomalía puntual en relación con la información proporcionada sobre el borrado de su cuenta de Checkmytrip. Así, alega que no se puede tratar de responsabilizar a Amadeus ITG del incumplimiento de una obligación que había satisfecho debidamente en septiembre de 2018. Además, afirma AMADEUS que debe tenerse en cuenta al ponderar la naturaleza y gravedad de la infracción, que la incidencia se ha producido como consecuencia de las medidas de seguridad proactivamente previstas por Amadeus ITG para no proporcionar información sobre la existencia de cuentas de Checkmytrip a usuarios que no estuvieran autorizados. Y que el suceso se ha producido a raíz de una situación que raramente Amadeus ITG podía imaginar, ya que no se esperaba que un usuario que hubiera borrado su cuenta solicitase posteriormente el acceso y supresión de sus datos. Alega AMADEUS que a la Iuz de la escasa (más bien nula) repercusión de la infracción en la esfera de privacidad de la parte reclamante, y de la manifiesta diligencia con la que Amadeus ITG actuaba (ha actuado y actúa), debe aplicarse como atenuante la ausencia de gravedad de la infracción así como de daños y perjuicios causados a la parte reclamante como consecuencia de la misma. También alega que, en todo caso, y en relación con la duración de la infracción, no cabe aceptar la interpretación que hace la AEPD, que considera que se ha cometido una infracción continuada en el tiempo. Por el contrario, considera necesario recordar que Amadeus ITG, ante el ejercicio de los derechos de la parte reclamante (que, a mayor abundamiento, no se hizo a través del mecanismo dispuesto para ello) contestó en tiempo y forma, proporcionado a la parte reclamante la manera de gestionar sus datos personales. Y que el hecho de que esta contestación no satisficiera a la parte reclamante (debido, precisamente, a que sus datos ya no estaban en los sistemas de Checkmytrip y, por tanto, no podía acceder a su cuenta) no Ileva directamente aparejado un incumplimiento continuado del art. 12 RGPD hasta septiembre de 2020, como sostiene la AEPD. Y que lo anterior es así, más aún cuando sus derechos habían sido correctamente atendidos por Amadeus ITG en septiembre de 2016, cuando la parte reclamante, a través de los mecanismos dispuestos al efecto, había suprimido los datos personales de su cuenta de Checkmytrip. (
8. b)La intencionalidad o negligencia en la infracción (art. 83.2.b RGPD) Alega AMADEUS que no ha existido intencionalidad ni actuación negligente por parte de Amadeus ITG a la hora de gestionar las solicitudes de derechos de la parte reclamante. Y que simplemente, en el supuesto que nos ocupa, ha ocurrido un malentendido puntual en relación con el acceso a la (inexistente) cuenta de Checkmytrip de la parte reclamante, debido a que los sistemas de Amadeus ITG (previstos para reforzar la seguridad) no indicaban el motivo concreto por el que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 parte reclamante no podía acceder a su cuenta (i.e. que la cuenta no existía porque ya había sido borrada por la propia parte reclamante) y le remitían directamente al proceso para restablecer la contraseña. Afirma AMADEUS que su única intención era prever mecanismos que asegurasen que no se proporcionaba información a usuarios no autorizados sobre la existencia o no de una cuenta asociada a una dirección de correo electrónico (esto es, proteger la confidencialidad de la información), pero en ningún momento ha habido intencionalidad o negligencia en el comportamiento de Amadeus ITG que haya propiciado la comisión de la infracción del art. 12 RGPD que se le imputa. Y que este hecho debe ser valorado como circunstancia atenuante. (
9. c)El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (art. 83.2.f RGPD) Alega AMADEUS que ha cooperado en todo momento con la Agencia para proporcionar la información que se le ha requerido en relación con la Reclamación y en el seno del presente Procedimiento Sancionador. Además, considera que ha acreditado que, tan pronto tuvo conocimiento de la incidencia, tomó las medidas necesarias para comunicarse con la parte reclamante y adaptar sus procedimientos de Checkmytrip de cara a proporcionar a los usuarios información completa y correcta sobre el estado de su cuenta, hecho que entiende debe ser valorado como circunstancia atenuante en el caso que nos ocupa. (
10. d)Los beneficios obtenidos como consecuencia de la comisión de la infracción (art. 76.2.c LOPDGDD) Afirma AMADEUS que no ha obtenido ningún tipo de beneficio o ingreso como consecuencia de este incidente. De hecho, considera que la situación ocurrida más bien supondría un riesgo de infracción (esto es, un perjuicio en vez de un beneficio), hecho que debe ser valorado como circunstancia atenuante. (
11. e)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción (art. 76.2.d LOPBGDD) AMADEUS considera que, a los efectos de ponderar la sanción aplicable, resulta especialmente relevante tener en cuenta el hecho de que la parte reclamante ejercitó sus derechos de protección de datos en relación con unos datos personales que había eliminado previamente (haciendo uso de los mecanismos de los que dispone Amadeus ITG para que los propios usuarios gestionen sus datos personales a su conveniencia) y sin cerciorarse primero de que el borrado de la cuenta de Checkmytrip implica el borrado de todos los datos y por lo tanto el completo ejercicio de su derecho. Entiende AMADEUS que es como si ejerciera el derecho después de haberlo ejercido ya y se trate de penalizar a Amadeus ITG por ello. AMADEUS manifiesta que, sin ánimo de dar por hecho en ningún caso que la actuación de la parte reclamante fuera de mala fe, sí entiende que es importante tener en cuenta esta circunstancia en relación con la ponderación de los hechos que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 discuten, y que la Agencia aprecie que la conducta de la parte reclamante debe considerarse como, al menos, poco diligente (podría haber indicado este hecho a Amadeus ITG en cualquier momento) y, en cierta medida, inductora de Ia comisión de la infracción por parte de Amadeus ITG. Y alega que este hecho debe ser valorado como circunstancia atenuante. 4.2 Alega AMADEUS que la falta de consideración de los atenuantes arriba indicados devendría en la desproporcionalidad de la sanción propuesta en relación con la supuesta infracción. En este sentido, Amadeus ITG considera que, en caso de apreciarse la concurrencia de la infracción del art. 12 RGPD (quod non), la medida coercitiva que resultaría apropiada, a la vista de los antecedentes del caso (entre otros, que la infracción se considera leve y se han tomado medidas correctivas apropiadas), sería la de apercibimiento. Recuerda AMADEUS que la medida de apercibimiento no resulta exclusivamente aplicable de responsables o encargados que sean personas físicas. Esta no es la dicción contenida en el considerando 148 RGPD y la AEPD ha venido a reconocerlo mediante la imposición de la sanción de apercibimiento a sociedades mercantiles (véase, entre otros, la resolución recaída a una sociedad de responsabilidad limitada en el procedimiento PS/00351/2020). En virtud de todo lo expuesto, AMADEUS solicita el archivo del presente procedimiento sancionador y, subsidiariamente, la imposición de la sanción de apercibimiento o, subsidiariamente, de la cuantía correspondiente en su grado mínimo. DÉCIMO PRIMERO: Con fecha 23 de mayo de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a AMADEUS IT GROUP, S.A., con NIF A84236934, por una infracción del artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5000 € (cinco mil euros). La propuesta de resolución se notificó conforme a las normas establecidas en la LPACAP el día 23 de mayo de 2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO SEGUNDO: Con fecha 6 de junio de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de AMADEUS en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que: 1. - Caducidad del Procedimiento Sancionador 1 1 Como primera alegación, alude a una supuesta situación de caducidad en la que se encuentra el presente Procedimiento Sancionador. 1 2 Cita AMADEUS que, a tenor del art 64 2 in fine de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (la "LOPDGDD") “Artículo 64 Forma de iniciación del procedimiento y duración () C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 2 ( ) El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” 1.3 Afirma AMADEUS que el Proyecto de Acuerdo de Inicio del Procedimiento Sancionador se dictó el 16 de agosto de 2021 (notificándose a esta parte el 20 de agosto de ese mismo año). Siendo ello así, y en aplicación del mencionado art. 64.2 de la LOPDGDD, entiende que el Procedimiento Sancionador habría caducado el pasado 16 de mayo de 2022, contando el plazo de fecha a fecha en línea con lo previsto en la Disposición Adicional Tercera de la LOPDGDD. En consecuencia, considera que la AEPD debe proceder a declarar la caducidad del Procedimiento Sancionador y el archivo de las actuaciones en cumplimiento de lo previsto en la norma citada. 2. - Ratificación y Reiteración del Contenido de las Alegaciones Frente Al Acuerdo de Inicio 2.1 Subsidiariamente a la alegación anterior, y para el improbable caso en el que no se declare la caducidad del Procedimiento Sancionador, Amadeus ITG se reitera en la totalidad de lo señalado por la misma en sus Alegaciones al Acuerdo de Inicio toda vez que, a su parecer, el contenido de la Propuesta de Resolución no rebate con suficiencia lo señalado en las Alegaciones. Con el fin de evitar reiteraciones, da por incorporadas a las presentes, el contenido de las Alegaciones mutatis mutandis. 2.2 No obstante y dada su singular importancia, AMADEUS se detiene particularmente en un aspecto de la citada Propuesta de Resolución donde considera que la AEPD yerra especialmente. Se refiere al momento en que entiende la AEPD que la parte reclamante ejercitó sus derechos frente a Amadeus ITG. A ello dedican la siguiente Alegación Tercera. 3. - Falta de ejercicio efectivo por la parte reclamante de sus derechos ante a AMADEUS ITG hasta diciembre de 2018, cuando se dirigió realmente a esa entidad. No procede entender que los derechos se ejercitan correctamente cuando la parte reclamante se dirige a una entidad jurídica distinta del responsable 3.1 AMADEUS entiende que en la Propuesta de Resolución la AEPD yerra al fijar el momento en el que la parte reclamante ejerció efectivamente ante Amadeus ITG sus derechos en el contexto del servicio CheckMyTrip ("CheckMyTrip") (véase, a este respecto, la alegación primera de las Alegaciones al Acuerdo de Inicio). En la Propuesta de Resolución, tanto con el fin de establecer el inicio del cómputo para la contestación del ejercicio de derechos bajo el art. 12 RGPD, como a efectos del agravante señalado por la AEPD (la duración de la infracción), la AEPD parte de la fecha de 4 de octubre de 2018 en la que la parte reclamante mandó un primer correo electrónico a la dirección: zentrale@de.amadeus.com, considerando por tanto la Agencia que una notificación remitida a esa dirección de correo electrónico es un mecanismo correcto para dirigirse a Amadeus ITG a los efectos señalados. AMADEUS considera que esa postura de la AEPD está equivocada y no se sostiene ni bajo normativa de protección de datos ni a tenor de los criterios establecidos por el Comité Europeo de Protección de Datos (el CEPD ). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 3.2 Como ya se aclaró a la AEPD en las Alegaciones al Acuerdo de Inicio, AMADEUS indica que la dirección zentrale@de.amadeus.com es una dirección de correo electrónico genérica que se dirige a y es gestionada por Amadeus Germany GmbH, la filial de Amadeus en Alemania. Se trata por lo tanto de una persona jurídica diferente de Amadeus ITG (el único responsable del tratamiento), que se encuentra en un país distinto de dicho responsable y que entiende que claramente no presta el servicio objeto de los derechos ejercitados por la parte reclamante. Además, la dirección en cuestión no es la dirección facilitada por Amadeus ITG (el responsable del servicio y del tratamiento). Siendo ello así, considera que resulta palmario a sus ojos, que una comunicación dirigida a esa dirección jamás puede ser considerada como válidamente remitida a Amadeus ITG ni pretender que despliegue efectos frente a esta. 3.3 Sin embargo, la AEPD tiene otra - y equivocada, a ojos de AMADEUS- opinión. Considera que el uso de tal dirección no puede ser entendida como " aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento", ni tampoco cualquier canal de comunicación que claramente no esté destinado a recibir solicitudes relatives a los derechos del interesado, en los términos previstos por el CEPD en sus Directrices 01/2022 sobre los derechos de los interesados - Derecho de acceso (las "Directrices"). La Agencia entiende, en definitiva, que la parte reclamante podía esperar razonablemente que su solicitud fuera atendida. 3.4 A AMADEUS le sorprende enormemente que la AEPD alcance esta conclusión cuando las políticas de Amadeus ITG y de CheckMyTrip en ningún caso señalan a la mercantil alemana como entidad encargada de recibir esas solicitudes de ejercicio de derechos dirigidas a Amadeus ITG ni tampoco aluden al correo electrónico zentrale@de.amadeus.com. 3.5 Sobre este punto AMADEUS destaca que, en el presente supuesto, la parte reclamante tuvo que buscar proactivamente a la entidad alemana Amadeus Germany GmbH y su dato de contacto fuera del servicio CheckMyTrip para dar con la dirección de correo electrónico que utilizó, y la misma debió además omitir el hecho - por lo demás evidente como se aprecia en los siguientes extractos de información públicamente accesible en Internet - de que esa dirección que estaba utilizando pertenecía a la entidad alemana y no a la única responsable de los datos que es Amadeus ITG: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 3.6 AMADEUS entiende que no se está, por lo tanto, ante un supuesto en el que el interesado se dirija a una dirección de contacto genérica del responsable y distinta a la prevista para el ejercicio de derechos (véase el ejemplo primero del apartado 56 de la Directrices), ni en el que el interesado utilice un medio distinto al facilitado por el responsable (ex. Art. 12.2 RGPD). Cree que se trata de un escenario en el que a todas luces la parte reclamante se aleja del camino establecido para el ejercicio de sus derechos de protección de datos: este es, (
12. a)acudir a la dirección prevista en la política de privacidad para el ejercicio de derechos privacy.checkmytrip@amadeus.com-; o (
13. b)la del delegado de protección de datos u otras relacionadas con el derecho de protección de datos. 3.7 Siendo ello así, considera que difícilmente podía “esperar razonablemente" la parte reclamante que se le contestase cuando se dirigió a zentrale@de.amadeus.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 Entiende que ello resulta además claro cuando, en su correo de 14 de diciembre de 2018, la parte reclamante cambia el medio de contacto y se dirige a Amadeus ITG (el auténtico responsable) a la dirección dataprotection@amadeus.com (donde, incluso sin ser la dirección correcta para el ejercicio de derechos en el entorno CheckMyTrip, recibe respuesta en plazo). Este cambio puede indicar que la misma parte reclamante entienda que no es razonable esperar respuesta de Amadeus ITG a los correos enviados a la dirección que encuentra en internet. Entiende AMADEUS que es tanto labor suya como de la AEPD tratar de concienciar a los usuarios del hábito de buscar las políticas de privacidad para cualquier cuestión relativa a sus derechos y considera que entender que el derecho estuvo debidamente ejercido en el envío de los primeros correos no contribuye en absoluto a este objetivo. 3.8 Y, conectado con lo indicado, prosigue AMADEUS que si la AEPD considera que Amadeus ITG debió atender la solicitud de ejercicio de derechos de la parte reclamante aun cuando esta uso una dirección de correo electrónico que difería de la proporcionada por Amadeus ITG y ni siquiera se correspondía con una de las direcciones de la entidad española, simplemente por el hecho de ser Amadeus Germany GmbH una compañía de grupo Amadeus, cabe preguntarse por las medidas que espera la AEPD que Amadeus ITG hubiese implementado para poder hacer frente a tamaña empresa. 3.9 La AEPD no puede crear para los responsables del tratamiento una obligación (que es la otra cara de la moneda del derecho que le está reconociendo aquí a la parte reclamante) en virtud de la cual, tales responsables deben instaurar mecanismos para que toda comunicación de ejercicio de derechos bajo el RGPD que llegue a cualquier dirección de correo electrónico (u otro medio de comunicación) de cualquier de las entidades de su grupo empresarial (con independencia del país, objeto social, etc.) deba acabar siendo recibida por el responsable en cuestión, y ello con independencia de los mecanismos que dicho responsable haya puesto a disposición de los interesados para el ejercicio de los derechos. Tal exigencia supondría un esfuerzo desproporcionado, alegal (no se prevé en el RGPD la obligación de que los grupos de empresas en la UE instauren este tipo de canales con todas sus filiales), contrario a la propia sistemática del RGPD (en relación con los deberes de transparencia e información) y que pondría a los grupos internacionales en una clara situación de desprotección ante el ejercicio de derecho de los individuos, soportando el retraso y pérdida de plazo debida al incorrecto ejercicio de derechos a entidades de todo el mundo, en cualquier idioma, única y exclusivamente por ser un grupo de sociedades. 3.10 Las propias Directrices del CEPD (véase el apartado 53) antes citadas, cuando tratan los esfuerzos razonables que debe tomar un responsable al dar respuesta a los derechos cuando los interesados no acuden al canal previsto por el responsable, parten de casos donde se ejercen derechos ante el propio responsable de diversas formas (distintas a las previstas por el responsable), pero, como es lógico, no se plantea casos donde el derecho se ejerce a otro responsable aunque pertenezca al mismo grupo de empresas. Ahondando un poco más en las Directrices, del apartado 55 se extracta otro escenario en el que el responsable no tiene que actuar ante un ejercicio de derechos: cuando un interesado se dirige a un empleado que claramente no tiene que ver con cuestiones de protección de datos (e.g. conductores, servicio de limpieza, etc.). En el caso que nos ocupa ahora se va un paso más allá: el interesado se dirige a una entidad situada en otro país que nada tiene que ver con el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 de sus datos personales (más allá de ser una filial del responsable). Parece fuera de toda discusión que el mero hecho de ser parte de un grupo de sociedades no puede automáticamente hacer a sus miembros responsables de todos los tratamientos del resto de las empresas del mismo. 3.11 Explica AMADEUS que las filiales de un grupo son entidades jurídicas independientes y directamente sujetas a su propio régimen de cumplimiento con el RGPD que es autónomo e independiente con respecto al de otras personas jurídicas, sean del mismo o de otro grupo empresarial. Entiende que la AEPD no puede, ni debe, pretender cambiar esta realidad o moldearla para que, en relación con los derechos (como en el caso que nos ocupa), exista una suerte de responsabilidad en bloque o de grupo olvidando esta separación. Responsabilidad y/u obligación en bloque no prevista en el RGPD y, a su entender, contraria a los principios del derecho administrativo sancionador. 3.12 En conclusión, alega que no cabe que la AEPD acepte que la parte reclamante ejercitó sus derechos correctamente cuando se dirigió a zentrale@de.amadeus.com el 4 de octubre de 2018, en tanto que tal ejercicio se produjo ante una entidad: (
14. a)sobre la que no se informaba en el contexto del servicio CheckMyTrip; (
15. b)de otro país; (
16. c)distinta al responsable del tratamiento; (
17. d)que no presta el servicio que da lugar al tratamiento de los datos de la parte reclamante y, finalmente, (
18. e)que utilizaba una dirección distinta a la prevista por el responsable (Amadeus ITG) en su política de privacidad para el ejercicio de los derechos. Y considera que tampoco es aceptable que se sancione a la entidad española Amadeus ITG por una supuesta obligación "de la filial alemana de reenviar dicha solicitud a través de los canales pertinentes, ya que es la filial la que sí conoce los procedimientos internos del grupo, en especial los relativos al ejercicio de derechos de protección de datos". Alega AMADEUS que cualquier ejercicio efectivo de derechos por parte de la parte reclamante ante Amadeus ITG debe situarse como pronto en el 14 de diciembre de 2018, fecha en la que esta se dirigió al autentico responsable (Amadeus ITG) en dataprotection@amadeus.com y ello a todos los efectos, incluidos en relación con el agravante identificado en la Propuesta de resolución (la duración de la infracción). Alega que el respeto al derecho a la protección de datos de las personas y el cumplimiento de la normativa que lo regula, constituye eje central de la actividad de grupo Amadeus y a ello destina numerosos recursos y medios, contando con procesos puestos en marcha con el objetivo de proteger al individuo en todo momento. Sin embargo, considera que lo que la AEPD exige a Amadeus ITG al reprocharle que no atendiera una notificación remitida a una dirección completamente ajena a ella como es zentrale@de.amadeus.com excede de lo que es razonablemente exigible. Y solicita: 1. El archivo del presente Procedimiento Sancionador dada su caducidad. 2. Subsidiariamente a lo anterior, el archivo del presente Procedimiento Sancionador relacionado con la supuesta infracción del artículo 12 RGPD. 3. Subsidiariamente a todo lo anterior, y en el improbable caso de que se considere a Amadeus ITG responsable de la infracción del artículo 12 RGPD, la imposición de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 sanción de apercibimiento, o, subsidiariamente, de la cuantía correspondiente en su grade mínimo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 4 de octubre de 2018 la parte reclamante envío un correo electrónico a la dirección zentrale@de.amadeus.com, con el siguiente texto (en alemán el original): “Quisiera que se suprima mi cuenta de usuario con la presente dirección de correo electrónico, así como los datos a ella asociados. Solicito confirmación por escrito de la supresión y le pido me informe dentro de plazo otorgado por el RGPD qué datos tiene almacenados sobre mí. Cualquier forma de contacto por su parte con el propósito de volver a enviar publicidad no es deseada y le pido amablemente que se abstenga de ello. Muchas gracias y saludos cordiales” SEGUNDO: El 11 de noviembre de 2018 la parte reclamante envío un correo electrónico a la dirección zentrale@de.amadeus.com, respondiendo al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, desafortunadamente no he recibido ninguna respuesta así que por favor contácteme de nuevo. Saludos”. TERCERO: El 14 de diciembre de 2018 la parte reclamante envió un correo electrónico a la dirección DataProtection@amadeus.com, reenviando los correos anteriores, con el siguiente texto (en alemán el original): “Buenas tardes, Desafortunadamente aún no he recibido ninguna respuesta de ustedes, aunque ya pasaron dos meses. Por tanto, solicito que me contacten lo antes posible y quisiera señalar en esta ocasión que, por lo que sé, las solicitudes sobre el RGPD deben ser respondidas dentro de 30 días de acuerdo con la normativa. Saludos cordiales”. CUARTO: El 17 de diciembre de 2018 se envió un correo electrónico a la parte reclamante desde la dirección DataProtection@amadeus.com, en el que se reenvía su solicitud al correo privacy.checkmytrip@amadeus.com, con el siguiente texto (en inglés el original): “Su correo electrónico ha sido reenviado a privacy.checkmytrip@amadeus.com quien podrá ayudarle con su solicitud”. QUINTO: El 17 de diciembre de 2018 se envió un correo electrónico a la parte reclamante desde la dirección privacy.checkmytrip@amadeus.com, en respuesta a los correos anteriores, con el siguiente texto (en inglés el original): “Gracias por su correo electrónico. Si usted tiene una cuenta con CheckMyTrip y desea suprimir su cuenta/ la información almacenada en este cuenta, por favor abra la aplicación, inicie sesión con su cuenta, y siga los siguientes pasos:
19. a)Pinche en Ajustes > Información Personal
20. b)Pinche en “Suprimir Cuenta”, revise lo que está suprimiendo, y siga las instrucciones. Una vez que la cuenta sea suprimida esto suprimirá automáticamente la información personal de esta cuenta. Si usted tiene alguna pregunta sobre la privacidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44 CheckMyTrip, por favor contacte con privacy.checkmytrip@amadeus.com, para cualquier otra solicitud por favor contacte con feedback@checkmytrip.com. Muchas gracias La Oficina de Protección de Datos” SEXTO: El 27 de diciembre de 2018 la parte reclamante envió un correo electrónico a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, Desafortunadamente, ya no tengo acceso a los datos de mi cuenta de cliente. Por tanto solicito que ustedes supriman todos los datos sobre mí. Con la solicitud de confirmación. Saludos amables”. SÉPTIMO: El 28 de enero de 2019 se envió un -correo electrónico a la parte reclamante desde la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (en inglés el original): “Gracias por contactar con nosotros y perdón por los problemas que está teniendo. Para poder suprimir su cuenta por favor restablezca su contraseña para poder iniciar sesión. Una vez que haya restablecido su contraseña y pueda iniciar sesión podrá suprimir su cuenta:
21. a)Pinche en Ajustes > Información Personal
22. b)Pinche en “Suprimir Cuenta”, revise lo que está suprimiendo, y siga las instrucciones. Saludos CheckMyTrip OCTAVO: El 28 de enero de 2019 la parte reclamante envió un correo electrónico a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (el original en alemán): “Buenas tardes, He tratado realizar este procedimiento, pero recibo un mensaje de error “Datos de inicio de sesión incorrectos”, incluso cuando intento solicitar una nueva contraseña. Saludos”. NOVENO: El 24 de febrero de 2019 la parte reclamante envió un correo electrónico a la dirección privacy.checkmytrip@amadeus.com, en respuesta al correo anterior, con el siguiente texto (en alemán el original): “Buenas tardes, desafortunadamente no he recibido ninguna respuesta de ustedes hasta ahora y por tanto quiero pedirles que se comuniquen conmigo. Saludos”. DÉCIMO: Checkmytrip es un servicio vía online web o aplicación móvil que AMADEUS IT GROUP, S.A. ofrece a los pasajeros, que les permite reunir la información relevante sobre sus viajes. En un principio, el servicio surgió para ofrecer al pasajero la opción de acceder a los detalles de su reserva gestionada en el sistema de Amadeus. Hoy en día el servicio permite al usuario volcar información de otras reservas (al reenviar el correo electrónico con el resumen del itinerario) y así visualizar en un solo lugar sus viajes con independencia del sistema de reservas utilizado. Es necesario crear una cuenta en la web/aplicación para usar el servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 Este servicio es completamente independiente y separado de la gestión del sistema de reservas que AMADEUS IT GROUP, S.A. ofrece a sus clientes ya sean agencias de viaje que se suscriben al sistema para poder realizar reservas y emitir billetes o a las aerolíneas y demás proveedores de servicios de viaje que ofrecen la disponibilidad de su oferta en el sistema. Se han habilitado canales separados para la gestión de los derechos de los afectados, la recepción de reclamaciones o la gestión de cualquier aclaración que sea necesaria. Por esta razón se gestionan dos correos electrónicos: Privacy.checkmytrip@amadeus.com para gestionar todo lo relativo a checkmytrip y dataprotection@amadeus.com para gestionar lo relativo al sistema de Amadeus. DÉCIMO PRIMERO: La dirección de correo zentrale@de.amadeus.com es manejada por una de las filiales de AMADEUS IT GROUP, S.A. en Alemania. Y es ajena al servicio checkmytrip. DÉCIMO SEGUNDO: Para que los usuarios no puedan ejecutar las instrucciones que facilita AMADEUS para acceder a sus datos personales, sólo existen dos opciones: 1) la pérdida de la contraseña o 2) que la cuenta ya no exista (haya sido previamente borrada ya por el titular de la misma). El mensaje que el usuario recibe es el mismo en ambos casos, lo cual no permite al usuario identificar la razón por la que no accede a la cuenta y por lo tanto saber si el acceso no es posible porque ha perdido la contraseña o es porque el usuario ha procedido al borrado de la cuenta con anterioridad y por lo tanto esa cuenta ya no existe. DÉCIMO TERCERO: La cuenta asociada al correo electrónico de la parte reclamante fue creada el día 23 de julio de 2018 y posteriormente borrada por el usuario el 1 de septiembre del 2018. Por lo tanto, en la fecha en que se realizó la solicitud de acceso y borrado la cuenta ya no existía. Es por esta razón por la que la parte reclamante no podía ejecutar las instrucciones enviadas. DÉCIMO CUARTO: A raíz del presente caso, AMADEUS ha adoptado las siguientes medidas: - Actualización de la Guía interna para la gestión de los derechos relativos a CheckMyTrip (“Privacy Manual: How to address data subject rigths”) para incluir la comprobación de la existencia de la cuenta cuando el usuario indique que no puede seguir las instrucciones con el objeto de responder al usuario con más exactitud y ser más precisos si la cuenta ya no existe y poder indicarlo claramente. - Revisión de la política de privacidad para indicar al usuario la posibilidad de acceder y borrar los datos de carácter personal directamente desde la aplicación/web sin necesidad de solicitarlo a través del correo electrónico, manteniendo la posibilidad de escribir al correo. DÉCIMO QUINTO: El 9 de noviembre de 2020 AMADEUS envió a la parte reclamante un correo electrónico en el que se le explica por qué no había podido acceder a sus datos en enero y febrero de 2019 con las instrucciones que se le habían proporcionado y se le confirma que sus datos habían sido debidamente suprimidos el 1 de septiembre de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44 FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AMADEUS realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. AMADEUS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento es transfronterizo, dado que AMADEUS tiene su establecimiento principal en España, si bien presta servicio a varios países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, AMADEUS tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 Por su parte, el artículo 15 del RGPD reconoce el derecho de acceso de los interesados a sus datos personales, mientras que el artículo 12 del RGPD indica el modo en que este derecho debe ser atendido. III Alegaciones aducidas En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por AMADEUS: 1. - Caducidad del Procedimiento Sancionador Alega AMADEUS a una supuesta situación de caducidad del presente Procedimiento Sancionador, dado que el proyecto de acuerdo de inicio de procedimiento sancionador fue dictado el 16 de agosto de 2021 y se notificó el 20 de agosto de 2021 y entiende que el procedimiento debe durar nueves meses, en virtud del artículo 64.2 de la LOPDGDD, por lo que habría caducado el 16 de mayo de 2022. Al respecto, esta Agencia desea señalar que en el citado proyecto de decisión de inicio de procedimiento sancionador, en el Fundamento de Derecho X se indica que: “ (..) Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que los plazos de tramitación establecidos en este artículo quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos (…)”. Tal y como se ha indicado en el Antecedente de Hecho Sexto, el 20 de agosto de 2021 se transmitió a través del sistema IMI este proyecto de decisión de inicio de procedimiento sancionador y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Por tanto, en virtud del artículo 64.4 de la LOPDGDD, el procedimiento estuvo suspendido desde el 20 de agosto de 2021 al 17 de septiembre de 2021, fecha en la que finalizó el plazo para que las autoridades interesadas presentaran sus objeciones pertinentes y motivadas. Por lo que la caducidad del presente procedimiento se produciría el 13 de junio de 2022. Por todo lo expuesto, se desestima la presente alegación. 2. - Ratificación y Reiteración del Contenido de las Alegaciones Frente Al Acuerdo de Inicio Amadeus ITG se reitera en la totalidad de lo señalado por la misma en sus Alegaciones al Acuerdo de Inicio, por lo que se procede a dar respuesta a todas ellas a continuación, a excepción de la relativa a que la parte reclamante se dirigió a una entidad distinta al responsable del tratamiento de los datos personales, sobre la cual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44 insiste AMADEUS en su alegación tercera a la propuesta de resolución del presente procedimiento sancionador. Alegación Segunda al Acuerdo de Inicio del presente Procedimiento Sancionador.AMADEUS ITG HA RESPONDIDO AL EJERCICIO DE DERECHOS DE LA PARTE RECLAMANTE Y HA RESUELTO LA SITUACIÓN ACONTECIDA EN ESTE CASO AMADEUS alega que dio respuesta a la parte reclamante dándole las instrucciones necesarias para que pudiera realizar dicho acceso y gestionar sus datos personales por sí misma, accediendo a su cuenta. Y considera que esta comunicación sobre el modo de acceder a Checkmytrip, con las instrucciones para eliminar la cuenta y los datos personales asociados a la misma, resulta suficiente para tener por debidamente atendida su solicitud de ejercicio de derechos de protección de datos, en línea con lo dispuesto en el art. 13.2 de la LOPDGDD. En el presente caso, se dio la circunstancia de que la parte reclamante no podía acceder a su cuenta y no lograba realizar las gestiones deseadas. Esto debido a que, como AMADEUS pudo comprobar con posterioridad, la cuenta asociada al correo electrónico de la parte reclamante había sido eliminada con anterioridad a su primera solicitud. En aquel momento, la práctica general de AMADEUS consistía en que el mensaje que el usuario recibía era el mismo tanto si el usuario había perdido la contraseña o si la cuenta ya no existía, al entender que de otra forma se estaría danto información sobre la mera existencia de una cuenta asociada a una dirección de correo electrónico a cualquiera que intentase acceder sin la contraseña. Alega AMADEUS que la situación acontecida fue fruto de un mero malentendido y que ha mejorado el proceso de ejercicio de derechos en el contexto de Checkmytrip, por lo que considera que ha adoptado las medidas necesarias para resolver la situación de forma diligente y sin menoscabar de forma alguna los derechos de la parte reclamante. Al respecto, esta Agencia desea señalar que es verdad que el artículo 13.2 de la LOPDGDD permite entender otorgado el derecho de acceso con una comunicación del responsable al afectado sobre el modo en que este podrá acceder a un sistema de acceso remoto, directo y seguro a sus datos. No obstante, en el presente caso, las instrucciones enviadas por AMADEUS resultaron inútiles toda vez que la cuenta asociada a la dirección de correo electrónico de la parte reclamante había sido eliminada, por lo que no podía acceder a ver los datos personales con los que contaba AMADEUS. Resulta evidente que en este caso concreto no le fue posible a la parte reclamante acceder a sus datos personales ni se le proporcionó una respuesta adecuada explicándole el porqué de tal situación, por lo que no puede entenderse que AMADEUS hubiera dado una debida respuesta a la solicitud de la parte reclamante. No basta con proporcionar unas instrucciones con el modo para acceder a sus datos personales si luego estas instrucciones no permiten atender debidamente el derecho solicitado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 En cuanto a los motivos que impidieron ejecutar las citadas instrucciones, resulta irrelevante que se hubiera eliminado con anterioridad la cuenta asociada al correo electrónico de la parte reclamante. El caso es que no se le proporcionó tal información a la parte reclamante pese a que se comunicó nuevamente con AMADEUS para indicar que seguía sin poder acceder a su cuenta. Por último, esta Agencia desea señalar que valora positivamente que AMADEUS hubiera mejorado el proceso de ejercicio de derechos en el contexto de Checkmytrip a raíz de la reclamación que dio origen al presente procedimiento, pero no puede considerar que AMADEUS hubiera “adoptado las medidas necesarias para resolver la situación de forma diligente y sin menoscabar de forma alguna los derechos” de la parte reclamante, toda vez que se le dio debida respuesta a raíz de la intervención de esta Agencia. Por todo lo expuesto, esta Agencia desestima la presente alegación. Alegación Tercera al Acuerdo de Inicio del presente Procedimiento Sancionador.AUSENCIA DE DOLO Y CULPA EN LA ACTUACIÓN DE AMADEUS ITG Alega AMADEUS que se debe tener en consideración la ausencia total de culpa, dolo o negligencia por parte de AMADEUS, así como la diligencia con la que ha actuado en todo momento para solucionar la incidencia una vez fue detectada. Indica que la parte reclamante no pudo recibir la información oportuna sobre el estado de sus datos personales (esto es, que su cuenta había sido borrada con anterioridad) debido a los mecanismos de seguridad que AMADEUS había implementado proactivamente para evitar que se proporcionase información sobre la existencia de una cuenta a usuarios que no correspondiese, lo cual demuestra el afán de AMADEUS por proteger los datos personales de sus usuarios y su voluntad firme de no proporcionar ningún tipo de información a aquellas personas que no estén debidamente autorizadas. Alega que la situación del presente caso (que la cuenta hubiera sido borrada con anterioridad por la parte reclamante) no era previsible y ha permitido a AMADEUS revisar sus mecanismos y mejorar los procesos para que no se vuelvan a producir este tipo de incidentes, por muy raros que sean. Manifiesta AMADEUS que se trató de una incidencia aislada relacionada con un supuesto concreto que no se esperaba que ocurriese y que, aun así, al tener noticia del suceso AMADEUS se puso en contacto con la parte reclamante a fin de confirmarle que sus datos habían sido eliminados debidamente el 1 de septiembre de 2018. Y ha puesto todo su empeño en asegurar que no se vuelva a producir una situación similar. Entiende AMADEUS que lo anterior pone de manifiesto que se tomaron medidas adicionales y reactivas nada más tener conocimiento del incidente para ponerle fin. Y que la diligencia de AMADEUS se aprecia no sólo de manera preventiva y proactiva, sino que se ve reafirmada al reaccionar ante el error con el refuerzo de la información, así como de los procesos de gestión de derechos, lo que ha permitido aclarar la situación y evitar que se produzcan nuevas incidencias como esta en el futuro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 Cita la resolución dictada en el PS/00019/2021, en el que entiende se apreció la ausencia de culpabilidad por la toma en consideración e implementación de las medidas adecuadas para solventar la situación. Por todo lo expuesto, entiende AMADEUS que no cabe apreciar dolo, culpa o intencionalidad en su actuación, por lo debe procederse al archivo del presente procedimiento sancionador. Al respecto, esta Agencia desea señalar que valora positivamente que AMADEUS hubiera implementado mecanismos de seguridad para proteger los datos personales de sus usuarios (lo cual, por otra parte, es su obligación), pero no puede entender que la situación aquí planteada no fuera en absoluto previsible si no que AMADEUS no esperaba que ocurriese, lo cual es distinto. Además, tampoco es cierto que “al tener noticia del suceso AMADEUS se puso en contacto con la parte reclamante”. AMADEUS se puso en contacto con la parte reclamante una vez intervino esta Agencia, mientras que la parte reclamante había enviado tres correos electrónicos indicando que no había podido acceder a su cuenta, sin haber obtenido respuesta por parte de AMADEUS. Por el mismo motivo, tampoco es cierto que “se tomaron medidas adicionales y reactivas nada más tener conocimiento del incidente para ponerle fin”. Por lo que no se puede apreciar la diligencia de AMADEUS “de manera preventiva y proactiva”, en los términos expuestos por AMADEUS. Si bien es cierto que, una vez intervino esta Agencia, se han adoptado medidas para prevenir que se produzca un incidente similar en el futuro, no es menos cierto que la actuación de AMADEUS en el presente caso ha sido, cuanto menos, negligente ya que había recibido al menos tres correos electrónicos de la parte reclamante indicando que no había podido acceder a su cuenta y no le dio una debida respuesta hasta que intervino esta Agencia. En cuanto a la referencia al PS/00019/2021, además de ser un caso totalmente distinto referido a la realización de llamadas publicitarias una vez se había opuesto el interesado debido a un error involuntario y puntual, la regularización de tal situación había tenido lugar con anterioridad a la intervención de esta Agencia. Por todo lo expuesto, esta Agencia desestima la presente alegación. Alegación Cuarta al Acuerdo de Inicio del presente Procedimiento Sancionador.SUBSIDIARIAMENTE, SOBRE LA NECESARIA PROPORCIONALIDAD DE LAS SANCIONES Y SU GRADUACIÓN. APLICACIÓN DE ATENUANTES 4. 1 Alega AMADEUS que deben tenerse en consideración las siguientes circunstancias atenuantes:
23. a)Artículo 83.2
24. a)RGPD: la infracción no ha supuesto ningún perjuicio para la parte reclamante, ya que los datos personales sobre los que solicitaba acceso y supresión ya habían sido previamente borrados en septiembre de 2018, por lo que en ningún momento se ha privado a la parte reclamante del acceso o supresión de sus datos. Y entiende que no se puede responsabilizar a AMADEUS del incumplimiento de una obligación que había satisfecho debidamente en septiembre de 2018. Por tanto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44 interpreta que debe aplicarse como atenuante la ausencia de gravedad de la infracción así como de daños y perjuicios causados a la parte reclamante. Al respecto, esta Agencia desea señalar que el perjuicio ocasionado a la parte reclamante es precisamente la falta de control sobre sus datos personales. Si se hubiera respondido debidamente cuando la parte reclamante lo solicitó, no se habría producido la citada infracción. El bien protegido en el presente caso es el control de los interesados respecto de sus datos personales y, si no se les da una debida respuesta, carecen de este control. En el presente caso, del control de saber con qué datos suyos cuenta el responsable de tratamiento en cuestión (AMADEUS). Haberle proporcionado unas instrucciones inútiles a la parte reclamante, no es dar debida respuesta a la información solicitada. Y tampoco se le dio respuesta a por qué no funcionaban dichas instrucciones, pese a haberlo indicado la parte reclamante en al menos tres ocasiones. Por su parte, alega AMADEUS que, en relación con la duración de la infracción, AMADEUS contestó en tiempo y forma al ejercicio de derechos de la parte reclamante (que no se hizo a través del mecanismo dispuesto para ello), proporcionándole la manera de gestionar sus datos personales. El hecho de que esta contestación no satisficiera a la parte reclamante (debido que los datos ya no estaban en los sistemas de Checkmytrip) no lleva un incumplimiento continuado del art. 12 RGPD hasta septiembre de 2020. Más aún cuando sus derechos habían sido correctamente atendidos por AMADEUS en septiembre de 2018, cuando la parte reclamante había suprimido sus datos personales de su cuenta de Checkmytrip. En cuanto a la dirección utilizada para ejercitar el derecho correspondiente, esta Agencia se remite a su respuesta a la alegación tercera de AMADEUS a la propuesta de resolución del presente procedimiento sancionador. Respecto a la duración de la infracción, esta Agencia considera que no se contestó en tiempo y forma al ejercicio de derechos de la parte reclamante, toda vez que las instrucciones proporcionadas resultaron inútiles, circunstancia que la parte reclamante puso en conocimiento de AMADEUS en tres ocasiones sin haber obtenido respuesta. Únicamente una vez que intervino esta Agencia se le dio debida respuesta, en los términos del artículo 12 del RGPD en septiembre de 2020. Por todo lo expuesto, se desestima la presente alegación.
25. b)Artículo 83.2.
26. b)RPGD: entiende AMADEUS que no ha existido intencionalidad ni actuación negligente por su parte y que este hecho debe ser valorado como circunstancia atenuante. Al respecto, esta Agencia reitera lo expuesto en su respuesta a la alegación tercera al acuerdo de inicio del presente procedimiento sancionador y desestima la presente alegación.
27. c)Artículo 83.2.
28. f)del RGPD: alega AMADEUS que ha cooperado en todo momento con la Agencia para proporcionar la información que se le ha requerido en relación con la reclamación y ha acreditado que, tan pronto tuvo conocimiento de la incidencia, tomó las medidas necesarias para comunicarse con la parte reclamante y adaptar sus procedimientos de Checkmytrip de cara a proporcionar a los usuarios información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44 completa y correcta sobre el estado de su cuenta, hecho que debe ser valorado como circunstancia atenuante. Al respecto, esta Agencia desea señalar que ya se ha valorado como atenuante el hecho de que hubiera dado respuesta a la parte reclamante en septiembre de 2020, dentro del apartado
29. c)del artículo 83.2 del RGPD y también valoró como atenuante el hecho de haber adoptado medidas para que en un futuro no se repita un incidente como el del presente caso, en el apartado
30. c)del artículo 83.2 del RGPD. Por lo que se desestima la presente alegación.
31. d)Artículo 76.2.
32. c)de la LOPDGDD: alega AMADEUS que no ha obtenido ningún beneficio o ingreso como consecuencia del presente incidente, lo que debe ser valorado como circunstancia atenuante. Al respecto, esta Agencia desea señalar que este precepto sólo puede considerarse como agravante. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
33. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto se añade que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
34. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. También cabe citar la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
35. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al presente caso, la falta del presupuesto para su aplicación respecto del art. 76.2.
36. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44 Por todo lo expuesto, se desestima la presente alegación.
37. e)Artículo 76.2.
38. d)de la LOPDGDD: AMADEUS alega que la parte reclamante ejercitó sus derechos en relación con unos datos personales que había eliminado previamente y sin cerciorarse primero de que el borrado de la cuenta de Checkmytrip implica el borrado de todos los datos y por lo tanto el completo ejercicio de su derecho. Entiende que es como si ejerciera el derecho después de haberlo ejercido ya y se trate de penalizar a AMADEUS por ello. Y solicita que la actuación de la parte reclamante (que no se da por hecho fuera de mala
39. fe)se considere como, al menos, poco diligente y, en cierta medida, inductora de la comisión de la infracción por parte de AMADEUS, lo cual debe ser valorado como circunstancia atenuante. Al respecto, esta Agencia desea señalar que de ninguna manera considera que la parte reclamante hubiera actuado de mala fe. Tampoco es objeto del presente procedimiento que los datos de la parte reclamante no se hubieran suprimido, sino la falta de una debida respuesta a la solicitud de ejercicio de derechos, en los términos del artículo 12 del RGPD. Hubiera bastado con responder en su momento que la parte reclamante había suprimido sus datos correctamente en septiembre de 2018 y que por ello AMADEUS no podía acceder a su cuenta de Checkmytrip y que la empresa carecía de datos personales sobre su persona. Pero esto sólo tuvo lugar una vez intervino esta Agencia, en septiembre de 2020. Por todo lo expuesto, se desestima la presente alegación. 4.2 AMADEUS alega que la falta de consideración de los atenuantes arriba indicados devendría en la desproporcionalidad de la sanción propuesta en relación con la supuesta infracción. Y considera que, en caso de apreciarse la concurrencia de la infracción del artículo 12 del RGPD, la medida coercitiva que resultaría apropiada (teniendo en cuenta que la infracción se considera leve y se han tomado medidas correctivas apropiadas), sería la de apercibimiento. Y recuerda que no es una medida reservada exclusivamente a personas físicas (citando, como ejemplo, la resolución del PS/00351/2020). Al respecto, esta Agencia desea señalar que se ha desestimado los atenuantes alegados por AMADEUS y que considera que la naturaleza de esta infracción es grave a los efectos del artículo 83 del RGPD, toda vez que se trata de una pérdida de control de los datos personales de los interesados al no poder conocer qué datos posee un responsable de tratamiento sobre su persona ni si esos datos habían sido suprimidos. Razón por la cual, se desestima la presente alegación. 3. - Falta de ejercicio efectivo por la parte reclamante de sus derechos ante a AMADEUS ITG hasta diciembre de 2018, cuando se dirigió realmente a esa entidad. No procede entender que los derechos se ejercitan correctamente cuando la parte reclamante se dirige a una entidad jurídica distinta del responsable AMADEUS entiende que en la propuesta de resolución la AEPD yerra al fijar el momento en el que la parte reclamante ejerció efectivamente ante Amadeus ITG sus derechos en el contexto del servicio CheckMyTrip ("CheckMyTrip") al considerar la comunicación del 4 de octubre de 2018 (fecha en la que la parte reclamante mandó un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 primer correo electrónico a la dirección: zentrale@de.amadeus.com) como un mecanismo correcto para dirigirse a Amadeus ITG a los efectos señalados. AMADEUS indica que la dirección zentrale@de.amadeus.com es una dirección de correo electrónico genérica que se dirige a y es gestionada por Amadeus Germany GmbH, la filial de Amadeus en Alemania. Y que se trata de una persona jurídica diferente de Amadeus ITG (el único responsable del tratamiento), que se encuentra en un país distinto de dicho responsable y que entiende que claramente no presta el servicio objeto de los derechos ejercitados por la parte reclamante. Además, la dirección en cuestión no es la dirección facilitada por Amadeus ITG (el responsable del servicio y del tratamiento). Siendo ello así, considera que resulta palmario a sus ojos, que una comunicación dirigida a esa dirección jamás puede ser considerada como válidamente remitida a Amadeus ITG ni pretender que despliegue efectos frente a esta. Y afirma que las políticas de Amadeus ITG y de CheckMyTrip en ningún caso señalan a la mercantil alemana como entidad encargada de recibir esas solicitudes de ejercicio de derechos dirigidas a Amadeus ITG ni tampoco aluden al correo electrónico zentrale@de.amadeus.com. Al respecto, esta Agencia desea señalar que la parte reclamante reside en Alemania y resulta esperable que se relacione con la filial alemana de AMADEUS. De hecho, de las capturas de pantalla aportadas por AMADEUS, es la misma filial alemana la que refiere la dirección de correo electrónico zentrale@de.amadeus.com como medio válido para contactar con Amadeus Germany GmbH. El considerando