← España

PS-00402-2019

1/5 Procedimiento Nº: PS/00402/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 14 de junio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL con NIF A85850394 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que habiendo sido cliente con una tarjeta de fidelización de Iberia (Iberia Plus), solicitó la baja en el programa de fidelización y la cancelación de sus datos personales con esa compañía. Posteriormente, recibió por escrito la confirmación de la baja y de la cancelación de sus datos. Sin embargo, siguió recibiendo mensajes de correo electrónicos. Ante estos hechos, presentó reclamación ante esta Agencia en agosto de 2018, de la cual se derivó el procedimiento sancionador PS/00370/2018. Así las cosas, ha vuelto a recibir correos electrónicos de la parte reclamada a la misma dirección de correo en los que claramente se ve que esta compañía no ha cancelado sus datos y sigue figurando como vinculado al programa de fidelización Iberia Plus. Se aporta, entre otras, la siguiente documentación: - Copia del correo electrónico recibido en su buzón. En él se informa de que se puede autenticar en su espacio personal de Iberia Plus no solo con su número de Iberia Plus, sino con su email y contraseña. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 1.A raíz de la consulta efectuada a la aplicación de la AEPD que gestiona antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, que a la IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL con NIF A85850394, consta que con fecha 1 de agosto de 2018 tuvo entrada en la Agencia Española de Protección de Datos otra reclamación dirigida contra la parte reclamada, en la que el reclamante manifestaba que continuaba recibiendo comunicaciones comerciales de IBERIA con posterioridad a que dicha entidad le confirmase, con fecha 20 de octubre de 2017, la cancelación de sus datos personales en contestación a su solicitud, de fecha 3 de octubre de 2017, de baja de la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales. Dichos hechos, dieron lugar al procedimiento sancionador PS/00370/2018. 2.La parte reclamada, manifiesta en contestación a la presente reclamación: “A pesar de que se le dio de baja al reclamante del programa Iberia Plus en fecha 09/10/2017, con motivo de un nuevo cambio implementado a nivel corporativo para dotar de más seguridad el acceso al área privada de los clientes en el portal web, se envió una comunicación masiva con los requisitos para el nuevo acceso a las cuentas y las acciones que debía llevar a cabo cada usuario. Sin embargo, en el momento del diseño del "mailing" para el envío de comunicación, que se lleva a cabo de forma manual, por un error involuntario se incluyó erróneamente el correo electrónico de este antiguo miembro del programa”. Afirman que: “tras el análisis del caso, han creado un nuevo proyecto para revisar los procesos de bajas de todas las comunicaciones comerciales de la compañía, y van a incorporar listas de exclusión y automatizar su aplicación, para evitar posibles errores humanos en la realización de los procesos manuales de confección de lista de distribución. Lo van a acompañar de un proceso de formación a las personas encargadas de seleccionar el público objetivo”. TERCERO: Con fecha 19 de noviembre de 2019, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL, con NIF A85850394, por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5

  1. a)del citado RGPD”. optándose en cuanto a sanción que pudiera corresponder a la de 20.000 euros (veinte mil euros), siendo notificado el 21 de noviembre de 2019. CUARTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1.A raíz de la consulta efectuada a la aplicación de la AEPD que gestiona antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, que a la IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL con NIF A85850394, consta que con fecha 1 de agosto de 2018 tuvo entrada en la Agencia Española de Protección de Datos otra reclamación dirigida contra la parte reclamada, en la que el reclamante manifestaba que continuaba recibiendo comunicaciones comerciales de IBERIA con posterioridad a que dicha entidad le confirmase, con fecha 20 de octubre de 2017, la cancelación de sus datos personales en contestación a su solicitud, de fecha 3 de octubre de 2017, de baja de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales. Dichos hechos, dieron lugar al procedimiento sancionador PS/00370/2018. 2.La parte reclamada, manifiesta en contestación a la presente reclamación: “A pesar de que se le dio de baja al reclamante del programa Iberia Plus en fecha 09/10/2017, con motivo de un nuevo cambio implementado a nivel corporativo para dotar de más seguridad el acceso al área privada de los clientes en el portal web, se envió una comunicación masiva con los requisitos para el nuevo acceso a las cuentas y las acciones que debía llevar a cabo cada usuario. Sin embargo, en el momento del diseño del "mailing" para el envío de comunicación, que se lleva a cabo de forma manual, por un error involuntario se incluyó erróneamente el correo electrónico de este antiguo miembro del programa”. Afirman que: “tras el análisis del caso, han creado un nuevo proyecto para revisar los procesos de bajas de todas las comunicaciones comerciales de la compañía, y van a incorporar listas de exclusión y automatizar su aplicación, para evitar posibles errores humanos en la realización de los procesos manuales de confección de lista de distribución. Lo van a acompañar de un proceso de formación a las personas encargadas de seleccionar el público objetivo”. El reclamado no ha presentado alegaciones al acuerdo de inicio del presente procedimiento. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el supuesto presente, a partir de la reclamación y documentación presentada, se constata que, el reclamante ha seguido recibiendo correos electrónicos de la parte reclamada. Tal como reconoce ésta, en su contestación al traslado de la reclamación. En consecuencia, dado que en el caso que nos ocupa se observa reincidencia por comisión de infracciones de la misma naturaleza, dado que el reclamante siguió recibiendo correos electrónicos procedentes de la aparte reclamada, incluso después de ser emitida la resolución del procedimiento sancionador PS/00370/2018. Por lo tanto, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 6.1, del RGPD, que establece que: “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte, el apartado
  2. b)del artículo 72.1, de la LOPDGDD tipifican como “muy grave”, el: “el tratamiento de los datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del RGPD”. III Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. De acuerdo con los preceptos indicados a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como criterios agravantes: - La intencionalidad o negligencia en la infracción (apartado b). - Por otras infracciones anteriores cometidas por el responsable o el encargado del tratamiento (apartado e). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite fijar una sanción de 20.000 euros (veinte mil euros), tipificada como “muy grave”, a efectos de prescripción de la misma, en el artículo 72.1.
  3. b)de la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL, con NIF A85850394, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 20.000 € (veinte mil euros). SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  4. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  5. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.