← España

PS-00443-2021

1/14  Expediente N.º: PS/00443/2021 IMI Reference: A56ID 149531- Case Register 163850 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de julio de 2019 interpuso reclamación ante la autoridad de protección de datos de Francia (Commission Nationale de l’Informatique et des Libertès). La reclamación se dirige contra VACACIONES EDREAMS, S.L., con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que adquirió unos billetes de avión en la página web ***URL.

  1. Tras detectar un error en su nombre se puso en contacto con el servicio de atención al cliente para que rectificaran dicho error. Esta modificación motivó que le hicieran un cargo adicional en el billete de 50 euros. Considera que el responsable no estaría cumpliendo con las disposiciones del art. 12.5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos (RGPD) en cuanto a la gratuidad de la actuación realizada en virtud del artículo 16 de este Reglamento. Además, señala la parte reclamante que en la confirmación de la reserva del 7 de marzo de 2019, a pesar de haber realizado el cargo adicional de 50 euros, el nombre aún aparece mal escrito. Junto con la reclamación aporta: - Captura de correo electrónico enviado desde la dirección no-***EMAIL.1 a ***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto: “Ya puede partir. Reserva confirmada Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original) En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “A.A.A.”. - Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a ***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto: “Ya puede partir. Reserva confirmada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original) En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “A.A.A.”. - Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a ***EMAIL.2, en fecha 4 de abril de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.2” y el siguiente texto: “Ya puede partir. Reserva confirmada Referencia de reserva GoVoyages: ***REFERENCIA.2 (…)” (en francés en el original). En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “A.A.A.”. - Copia de una factura de GOVOYAGES a nombre de A.A.A., de fecha 11 de febrero de 2019, en la que figura un cargo de 50 euros por un “Servicio suplementario de vuelo”, número de Dossier ***REFERENCIA.
  2. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información se transmitió la citada reclamación el día 14 de septiembre de 2020 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 16 de septiembre de
  3. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EDREAMS tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada”, además de la autoridad francesa de protección de datos, la autoridad de Italia, esta última en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dicho Estado miembro es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 10 de diciembre de 2020, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14
  4. Respecto al procedimiento establecido por EDREAMS para atender los derechos de rectificación de datos personales de sus clientes de ***URL.2 Los representantes de EDREAMS manifiestan que los derechos de rectificación de datos personales, así como los de cualquier otro derecho de datos personales, se centralizan desde el Formulario de Privacidad. De esta forma, se facilita a los usuarios el ejercicio de dichos ejercicios, mediante esta herramienta de fácil acceso y enlazada con la Política de Privacidad. Este formulario permite a su vez automatizar parte del proceso, en el que se abre un ticket de XXXXXXXX (exclusivamente condicionado a que los agentes especializados en la gestión de dichos derechos puedan confirmar la información y se tengan suficientes garantías de que la persona dice ser quien es y/o que la representación de un tercero está suficientemente acreditada), y, posteriormente, se conecta con los departamentos oportunos, según el derecho ejercido. Una vez las acciones oportunas han sido realizadas, se procede a dar respuesta al interesado de acuerdo siguiendo una guía interna. En este caso, aplica la guía del derecho de rectificación. Asimismo, los clientes pueden ejercer sus derechos por cualquier vía que consideren oportuna, como la parte reclamante la realizó vía telefónica con su equipo de atención al cliente. Los agentes de atención telefónica disponen de una política interna que deben seguir en caso de que se solicite el ejercicio de cualquier derecho de datos personales, en los términos descritos anteriormente.
  5. Respecto a la cuota establecida para atender dicha rectificación de datos El derecho de rectificación de datos, así como cualquier otro derecho recogido en la normativa de protección de datos personales, es gratuito.
  6. Respecto del procedimiento establecido para corregir errores en el nombre del pasajero en un billete adquirido por medio de ***URL.2 indicando la tarifa que debe abonar el cliente El cliente puede principalmente rellenar el Formulario de Privacidad o llamar al servicio de atención al cliente. El departamento que centraliza la gestión de derechos contactará, caso por caso, con los departamentos titulares de los sistemas donde se encuentren los datos y procederá a realizar la acción oportuna. En este caso, la corrección de un error en el nombre del pasajero de un billete, el cambio se realizará en nuestros sistemas, así como en el de la compañía aérea correspondiente, de acuerdo a los términos y condiciones de la misma. No hay ninguna tarifa asociada para proceder a dicha corrección de errores en el nombre del pasajero por parte de EDREAMS.
  7. Respecto de si se considera rectificación de datos a la corrección de un error en el nombre que figura en billetes adquiridos por medio de ***URL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 De acuerdo con las políticas internas de EDREAMS, la corrección de un error en el nombre que figura en billetes adquiridos en sus páginas webs, en los términos acontecidos en el caso de la parte reclamante, se considera un ámbito dentro del contenido del derecho de rectificación. Cualquier cambio que no suponga el cambio de un pasajero por otro, deberá entenderse como un ejercicio de derecho de rectificación y, por ende, deberá ser tratado gratuitamente. Ejemplos de ello, y que se recogen en la política interna, son: el error tipográfico (como, por ejemplo, XXXXX, por XXXXX), la inversión entre nombre y apellido (XXXXX, por XXXXX), o el cambio de apellidos de soltera/o a casada/o, o viceversa (especialmente comunes en ciertos países, como Francia o Reino Unido).
  8. En relación a si consta en la entidad el ejercicio de derecho de rectificación de datos de la parte reclamante y motivo por el que se le ha facturado un cargo de 50 € Tras las investigaciones internas, se ha comprobado que efectivamente el 14 de marzo de 2020 se le cobró por error 50 euros a la parte reclamante. EDREAMS ha procedido a solicitar a la parte reclamante sus datos bancarios para subsanar la equivocación manual provocada por el agente al gestionar la solicitud y, de esta manera, proceder a realizarle la transferencia por importe de 15 euros. Desafortunadamente, XXXXX, al igual que la mayoría de compañías aéreas, impone cargos relativos a cualquier cambio de nombre. En esta ocasión, los costes de dicho cambio son de 35 euros. Por otro lado, el 21 de enero de 2021 (día posterior a la recepción de la notificación del requerimiento de esta Agencia), han aprovechado este error para comunicar tanto al agente que gestionó la solicitud de la parte reclamante, como al resto de agentes, la política al respecto de corrección de errores en los nombres. QUINTO: Con fecha 10 de diciembre de 2021, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades de control están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 10 de diciembre de 2021, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 SEXTO: Con fecha 21 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS a fin de dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en la LPACAP, fue recogido en fecha 21 de abril de 2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 5 de mayo de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: 1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA EDREAMS centraliza la gestión del ejercicio de derechos (incluido el derecho de rectificación) a través de su Formulario de Privacidad. El Formulario de Privacidad permite a su vez automatizar parte del proceso, en el que se abre un caso en la herramienta de gestión interna. Dicha solicitud está exclusivamente condicionada a que los agentes especializados en la gestión de estos derechos puedan confirmar la información y se tengan suficientes garantías de que la persona dice ser quien es y/o de que la representación de un tercero está suficientemente acreditada (normalmente la confirmación pasa por que el cliente, que recibe un email de verificación, confirme en su email personal registrado en nuestros sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, se conecta con los departamentos oportunos, según el derecho ejercido. Finalmente, una vez las acciones necesarias han sido realizadas, se procede a dar respuesta al interesado de acuerdo a una guía interna. En este caso, aplica la guía interna del derecho de rectificación. Todo ello de acuerdo con su Aviso de Privacidad y su Política interna de privacidad, así como de los procedimientos internos; en concreto la Guía interna sobre el ejercicio del derecho de rectificación. Asimismo, se realizan acciones de formación y sensibilización por parte del equipo de Atención al cliente. Los clientes que contacten al servicio de Atención al cliente, y que quieran ejercer un derecho de protección de datos, se les informa del Formulario de Privacidad, y si lo necesitan, se les envía un correo electrónico con el enlace al mismo para que soliciten sus derechos y así el equipo especializado pueda gestionar su petición. 2.- EJERCICIO DEL DERECHO DE RECTIFICACIÓN EN EDREAMS DE ACUERDO CON LA NORMATIVA En cualquier caso, el derecho de rectificación de datos, así como cualquier otro derecho recogido en la normativa de protección de datos personales, es gratuito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Para corregir el nombre del pasajero, el cliente puede principalmente rellenar el Formulario de Privacidad o llamar al servicio de Atención al cliente. En ningún caso hay ninguna tarifa asociada para proceder a dicha corrección de errores en el nombre del pasajero por parte de EDREAMS. 3.- ERROR MANUAL DEL AGENTE Y CONTEXTO PARTICULAR DE EDREAMS Tras las investigaciones internas se comprobó que, efectivamente, el 14 de marzo de 2020 el agente de EDREAMS cobró por error a la parte reclamante. Confundió la compañía aérea y, según las notas que tenemos del agente relativas a la llamada, el agente no dejó claro a la parte reclamante que el coste no era un coste de EDREAMS sino de la aerolínea. En cuanto se detectó el error manual del agente, se revisó la política de nuevo y se pusieron todas las medidas oportunas para evitar que se reprodujera de nuevo (entre otras, se envió una comunicación interna a todos los agentes recordando la política interna). Asimismo, se procedió a contactar a Sr. A.A.A. para que facilitara los datos bancarios para realizar el correspondiente reembolso y se le abonara, no sólo el cargo de 50 euros, sino el viaje entero en concepto de compensación. Por todo ello, considera EDREAMS haber actuado diligentemente al respecto. El 21 de enero de 2021 (día posterior a la recepción de la notificación del requerimiento de esta Agencia), el equipo de Atención al cliente aprovechó este error para comunicar tanto al agente que gestionó la solicitud de la parte reclamante, como al resto de agentes, la política al respecto de corrección de errores en los nombres. Asimismo, desde entonces, los agentes han tenido la formación anual de protección de datos (realizada entre los meses de septiembre y diciembre de 2021) en el que uno de los casos prácticos es la corrección de errores en el nombre de pasajeros; y la revisión anual de las políticas internas, así como varias comunicaciones recurrentes recordando la mencionada corrección. EDREAMS, en el contexto de su rol de agencia de viajes que ofrece servicios internacionales, sufre una variedad de políticas de aerolíneas con términos y condiciones muy variados, que llevaron al agente, junto a su descuido, a dicho error manual. La parte reclamante realizó una reserva de un vuelo de XXXXX en una de las páginas webs de EDREAMS con una errata en su nombre. EDREAMS, como agencia de viajes, reservó en nombre de la parte reclamante el vuelo, en los sistemas de XXXXX, con los datos facilitados por el mismo. Dicho tratamiento se realiza dentro de la base legitimadora de ejecución del contrato de acuerdo con el artículo 6.1.b del RGPD. En este caso, los roles, relaciones contractuales y responsabilidades se resumen a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
  9. EDREAMS actúa como agente, como intermediario, en representación del cliente, y dentro de su ámbito de gestión y sistemas, es el responsable del tratamiento de datos personales, ya que determina los medios y finalidades de acuerdo con el contrato de agente.
  10. XXXXX actúa como transportista aéreo y determina los medios y finalidades en dicho ámbito, por lo que es responsable del tratamiento en el marco del contrato de transporte aéreo. EDREAMS informa a sus clientes de dichos roles, relaciones contractuales y responsabilidades, en su página web. Mientras que la subsanación en los sistemas de EDREAMS se gestiona de acuerdo con el artículo 16 del RGPD, la subsanación en los sistemas de la compañía aérea (en este caso de XXXXX) se gestiona cuando se puede y es gratuita según los Términos y Condiciones de la aerolínea. Cuando EDREAMS no puede subsanar directamente en los sistemas de la compañía aérea, EDREAMS notifica a la aerolínea de acuerdo con el artículo 19 del RGPD. En todo caso, EDREAMS no puede garantizar ni se le puede responsabilizar de la subsanación en los sistemas informáticos utilizados por las compañías aéreas, ya que se rigen por sus propios Términos y Condiciones, y actúan como responsable del tratamiento de datos personales. De las cientos de aerolíneas que los clientes pueden contratar mediante los servicios de agente de viajes de EDREAMS, existe una disparidad en cuanto a la corrección del nombre de pasajeros. En muchas ocasiones, se encuentran con la negativa de las compañías aéreas de corregir errores en el nombre o solicitan un coste de gestión. Desafortunadamente, la mayoría de las compañías aéreas solicitan una tasa o coste ante una solicitud de cambio de los datos del titular del pasajero. Cuando tiene que lidiar con compañías aéreas que bloquean la corrección del nombre, EDREAMS insiste en la aplicación de la normativa de protección de datos, en defensa de sus clientes. EDREAMS lamenta lo ocurrido en este caso excepcional, pero entiende que no se debe reproducir. Afirma que trabaja incansablemente en la mejora de sus procesos, con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de sus clientes en nosotros. Por ello, continuará en el seguimiento y mejora continua de las políticas, procesos, acciones y medidas aquí referidas. OCTAVO: Con fecha 19 de agosto de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se dirija un apercibimiento a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD. Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 22 de agosto de 2022, como consta en el acuse de recibo que obra en el expediente. NOVENO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de EDREAMS. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: El 11 de febrero de 2019 se envió un correo electrónico desde la dirección no-***EMAIL.1 a ***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto: “Ya puede partir. Reserva confirmada Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original) En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “A.A.A.”. SEGUNDO: El 11 de febrero de 2019 GOVOYAGES emite una factura a nombre de A.A.A., en la que figura un cargo de 50 euros por un “Servicio suplementario de vuelo”, número de Dossier ***REFERENCIA.
  11. TERCERO: El 7 de marzo de 2019 se envió un correo electrónico desde la dirección no-***EMAIL.1 a ***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto: “Ya puede partir. Reserva confirmada Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original) En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “XXXXXXXXX”. CUARTO: El 4 de abril de 2019 se envió un correo electrónico desde la dirección no***EMAIL.1a ***EMAIL.2, en fecha 4 de abril de 2019, con el asunto “Su reserva está confirmada (Referencia ***REFERENCIA.2” y el siguiente texto: “Ya puede partir. Reserva confirmada Referencia de reserva GoVoyages: ***REFERENCIA.2 (…)” (en francés en el original). En este correo se adjunta la reserva de un itinerario de viaje en el que figura como pasajero “A.A.A.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 QUINTO: El derecho de rectificación de datos ejercitado ante EDREAMS, así como cualquier otro derecho recogido en la normativa de protección de datos personales, es gratuito. En el presente caso, la corrección de un error en el nombre del pasajero de un billete, el cambio se realizará en los sistemas de EDREAMS, así como en el de la compañía aérea correspondiente, de acuerdo a los términos y condiciones de la misma. No hay ninguna tarifa asociada para proceder a dicha corrección de errores en el nombre del pasajero por parte de EDREAMS. SEXTO: XXXXX impone cargos relativos a cualquier cambio de nombre. En el presente caso, los costes de dicho cambio fueron de 35 euros. SÉPTIMO: El 14 de marzo de 2020 el agente de EDREAMS cobró el cambio en el nombre a la parte reclamante y no dejó claro a la parte reclamante que el coste no era un coste de EDREAMS sino de la aerolínea. OCTAVO: En cuanto se detectó esta circunstancia, se revisó la política de nuevo y el 21 de enero de 2021 se envió una comunicación interna a todos los agentes recordando la política interna de corrección de errores en los nombres. Asimismo, los agentes han tenido la formación anual de protección de datos (realizada entre los meses de septiembre y diciembre de 2021) en el que uno de los casos prácticos es la corrección de errores en el nombre de pasajeros; y la revisión anual de las políticas internas, así como varias comunicaciones recurrentes recordando la mencionada corrección. NOVENO: EDREAMS ha procedido a solicitar a la parte reclamante sus datos bancarios para realizar el correspondiente reembolso y abonarle, no sólo el cargo de 50 euros, sino el viaje entero en concepto de compensación. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida de, entre otros datos personales de personas físicas, nombre y apellido y correo electrónico, entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento es transfronterizo, dado que EDREAMS está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo
  12. En el caso examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de rectificación de los datos personales se regula en el artículo 16 del RGPD y las modalidades de ejercicio de los derechos de los interesados se detallan en el artículo 12 del RGPD. III Alegaciones aducidas al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, EDREAMS alega que tras las investigaciones internas se comprobó que, efectivamente, el 14 de marzo de 2020 el agente de EDREAMS cobró por error a la parte reclamante. Alega que este agente confundió la compañía aérea y no dejó claro a la parte reclamante que el coste no era un coste de EDREAMS sino de la aerolínea. Pero que en cuanto se detectó el error manual del agente, se revisó la política de nuevo y se envió una comunicación interna a todos los agentes recordando la política interna. Asimismo, se procedió a contactar a Sr. A.A.A. para que facilitara los datos bancarios para realizar el correspondiente reembolso y se le abonara, no sólo el cargo de 50 euros, sino el viaje entero en concepto de compensación. Por todo ello, considera EDREAMS haber actuado diligentemente al respecto. También se alega que, desde entonces, los agentes han tenido la formación anual de protección de datos (realizada entre los meses de septiembre y diciembre de 2021) en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 el que uno de los casos prácticos es la corrección de errores en el nombre de pasajeros; y la revisión anual de las políticas internas, así como varias comunicaciones recurrentes recordando la mencionada corrección. Al respecto, esta Agencia desea señalar que valora positivamente las medidas adoptadas por EDREAMS para evitar que el error que tuvo lugar en el presente caso no vuelva a reproducirse y que se le compense a la parte reclamante por el cobro indebido. No obstante, resulta innegable que, con independencia de la política de las aerolíneas respecto al cambio de nombre de los pasajeros, EDREAMS le cobró a la parte reclamante un cargo por haber rectificado lo que la empresa misma reconoce como errata. Es cierto que no puede imputarse a EDREAMS responsabilidad por el cobro que realizan en este sentido las aerolíneas en cuestión (en el presente caso, XXXXX), pero en el presente caso lo cierto es que parte de ese abono correspondía a las gestiones realizadas por EDREAMS, tal y como la empresa reconoce. Y que, además, no se había informado debidamente a la parte reclamante del desglose de tal cobro. Por todo lo expuesto, se desestima la presente alegación. IV Derecho de rectificación El artículo 16 “Derecho de rectificación” del RGPD establece: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional”. En el presente caso, consta que la parte reclamante había realizado una compra de billetes a través de la página web de EDREAMS y, al recibirlos, comprobó que había una errata en su nombre, por lo que solicitó a EDREAMS que se corrigiera tal error, ejercitando debidamente su derecho de rectificación de sus datos personales. V Modalidades de ejercicio de los derechos del interesado El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD, en su apartado 5, establece: “
  13. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud”. En el presente caso, consta que se le cobraron 50€ a la parte reclamante por subsanar una errata en su nombre, sin que se hubiera acreditado que tal solicitud hubiera sido manifiestamente infundada o excesiva. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EDREAMS, por vulneración del artículo 12 del RGPD. VI Tipificación de la infracción del artículo 12 del RGPD De confirmarse, la citada infracción del artículo 12 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “
  14. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) j) La exigencia del pago de un canon para facilitar al afectado la información a la que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 los artículos 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos establecidos en su artículo 12.
  15. (…)” VII Sanción por la infracción del artículo 12 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.b) del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que no constan antecedentes en esta Agencia de EDREAMS por haber cobrado al interesado al ejercitar su derecho de rectificación y a que, ni bien tuvo conocimiento de la reclamación, EDREAMS procedió a devolver el importe cobrado por la rectificación del nombre a la parte reclamante así como el resto del billete a modo de compensación y adoptó medidas para evitar que un incidente de este tipo pudiera volver a producirse, se puede considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a EDREAMS. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a VACACIONES EDREAMS, S.L., con NIF B61965778, por una infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD, un apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.