REPOSICION-A-00118-2016

1/7 Procedimiento nº.: A/00118/2016 ASUNTO: Recurso de Reposición Nº RR/00606/2016 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00118/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 26 de julio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento A/00118/2016, en virtud de la cual se acordaba “Proceder al ARCHIVO del presente procedimiento” al considerar que la entidad denunciada había adoptado las medidas correctoras necesarias en su sistema informático para evitar que “errores” como los que habían sido objeto de denuncia volvieran a suceder en el marco de la normativa vigente en materia de protección de datos. Dicha resolución, que fue notificada al recurrente en tiempo y forma según consta acreditado en el expediente administrativo, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento A/00118/2016, quedó constancia de los siguientes: Primero. En fecha 14/09/2015 se recibe en esta Agencia escrito del denunciante por medio del cual pone en conocimiento los siguientes hechos: “El día 26/02/2015 realicé un pago en la Agencia de Viajes El Corte Inglés por una reserva para el día 12/09/15 de dos personas, más coche en la compañía naviera Fred Olsen Express, para un viaje de una día a Tenerife más dos entradas a Loro Parque, para darle una sorpresa a mi pareja por su cumpleaños. Días más tarde me llama mi pareja diciendo que su padre ha recibido un mail con todos mis datos y los datos del viaje (…). Por tanto quiero denunciar la vulneración de la LOPD por parte de la compañía naviera Fred Olsen Express, y en su caso, la responsabilidad subsidiaria que tenga la Agencia de Viajes El Corte Inglés, que se ha realizado contra mi persona, a la vez que ha constituido una infracción administrativa…ya que me ha originado un trastorno personal porque era una sorpresa que tenía con mi pareja y no tenía por qué haberse enterado de tal situación” (folio nº 1). Segundo. La entidad denunciada-Fred Olsen- confirma la remisión de un mail a la cuenta ......@XXXX.com desde la cuenta mail asociada: no-replay@fredolsen.es por lo que confirma los hechos objeto de denuncia. Tercero. Consta acreditado que la remisión a la cuenta mail ......@XXXX.com se produce como consecuencia de tener dicho dato de carácter personal en su sistema C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 informático, al haber sido aportado por la “pareja sentimental” del denunciante como consecuencia de estar registrada como pasajera frecuente titular de la Tarjeta Plus. “…el resumen de la compra se remitió al correo electrónico de Doña ***NOMBRE.1, ya que era ella la que estaba registrada como pasajera frecuente en el programa de fidelización “Tarjeta Plus”, aun cuando la misma-formando parte de la reserva- no había sido la que la había efectuado”. Cuarto. Se han adoptado por la entidad denunciada-Fred Olsen S.A—medidas tendentes a evitar errores como los que son objeto de denuncia, de manera que “el programa no permitirá seguir con la compra hasta que la persona no registrada facilite en ese momento una dirección de correo electrónico a la que enviarle el resumen de compra”. TERCERO: Don A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 25 de agosto de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: “Que la presente Litis versa sobre errores cometidos de forma reiterada por al entidad Fred Olsen S.A contra mi persona y que han sido omitidos por dicha entidad impidiendo una correcta valoración de la denuncia por el organismo al que va dirigido el presente. Que en toda la exposición de los hechos por parte de la naviera, únicamente se centran en el envío de la confirmación y compra del viaje enviado a un correo electrónico que no coincide con el que facilita la persona que hace la compra y el pago del billete (…). Considerando esta parte la respuesta como una excusa carente de sentido. “Por el contrario omiten en todo momento que, con fecha 04/09/2015 se presenta hoja de reclamación con nº de referencia ***REF.1 ante la misma oficina naviera en el Puerto de la Luz y de Las Palmas, aportada por esta parte en las denuncias presentadas ante la AEPD en dos ocasiones y cuya respuesta fue de nuevo remitida al correo electrónico asociado a la tarjeta de fidelización que corresponde a la Sr. B.B.B. y no a los datos facilitados por el denunciante en dicha reclamación (…) Señalar que se vuelve a repetir el error en el envío, comprobándose claramente que no había sido subsanado en su base de datos p soporte informático, ya que en este caso la respuesta no es enviada a modo correo electrónico de respuesta automática, sino que es la Sra. C.C.C. del Dpto. de Atención al Cliente quien la envía a una dirección de contacto que en ningún momento fue proporcionada por el denunciante en la reclamación presentada en la Oficina de la naviera. En su virtud SUPLICO a este organismo que teniendo por presentado este escrito, se sirva admitirlo, tenga por efectuado en tiempo y forma Recurso de Reposición contra la resolución de fecha 26-07-2016 y acuerde una sanción contra la empresa causante del problema-FRED OLSEN S.A--, así como la devolución íntegra del importe del viaje que ellos alegan que fue devuelto y no fue así. Asimismo, como consecuencia de todo esto, se entiende que esta parte deberá recibir una compensación por parte de dicha naviera de la forma que estimen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 conveniente por todos los perjuicios causados”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el presente caso, se procede a examinar el escrito presentado en esta AEPD en fecha 01/09/2016 calificado como recurso de reposición. El mismo trae causa de la DENUNCIA formulada en fecha 14/09/2015 ante esta AEPD en el que trasladaba los siguientes hechos: “El día 26/02/2015 realicé un pago en la Agencia de Viajes El Corte Inglés por una reserva para el día 12/09/15 de dos personas, más coche en la compañía naviera Fred Olsen Express, para un viaje de una día a Tenerife más dos entradas a Loro Parque, para darle una sorpresa a mi pareja por su cumpleaños. Días más tarde me llama mi pareja diciendo que su padre ha recibido un mail con todos mis datos y los datos del viaje (…). Por tanto quiero denunciar la vulneración de la LOPD por parte de la compañía naviera Fred Olsen Express, y en su caso, la responsabilidad subsidiaria que tenga la Agencia de Viajes El Corte Inglés, que se ha realizado contra mi persona, a la vez que ha constituido una infracción administrativa…ya que me ha originado un trastorno personal porque era una sorpresa que tenía con mi pareja y no tenía por qué haberse enterado de tal situación”. En apoyo de su escrito aporta copia del mensaje reenviado en dónde se acota el remitente – From: no reply@fredolsen.es--. Por la entidad-Fred Olsen S.A—se reconoció expresamente “que pudo haber disfunciones en el sistema de reservas y en el envío automático del resumen de la compra, especialmente por no garantizar que dicho envío se efectuase en un 100% de los casos a quien efectuaba la reserva (…)”. De manera que a tenor del examen de las alegaciones y pruebas que se aportaron, es un hecho incuestionable que se procede a la remisión de un mail por parte de la entidad denunciada-Fred Olsen S.A- a la cuenta asociada en su sistema informático: ......@XXXX.com. Estos hechos suponen una actuación contraria al contenido del art. 9 LOPD “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” (* la negrita pertenece a la AEPD). Contrariamente a lo manifestado por el denunciante en su escrito “los datos son remitidos a una persona que ni tan siquiera conoce”, el contenido del mail con la confirmación del billete (

1. s)y el resumen de la compra son remitidos al padre de su pareja sentimental, el cual podía haber adoptado igualmente una conducta contraria a la descrita, como la no apertura de un mail cuyo contenido no estaba relacionado con el mismo: remitiéndolo con la constatación del “error” a la entidad denunciada. El recurrente sustenta el presente escrito “recurso de reposición” en el hecho que en fecha 04/09/15 presentó reclamación (Hoja de reclamaciones) frente a la entidad denunciada-Fred Olsen-, sin embargo, aunque en la misma consta “Adjunto copia del correo electrónico y DNI”, el mismo no ha sido aportado a esta AEPD en orden a su análisis, por consiguiente no se puede determinar la dirección de correo (mail) aportado en su momento. No obstante lo anterior, cabe indicar que la reclamación a la entidad denunciadaFred Olsen—trae fecha 04/09/2015, mientras que el Acuerdo de Inicio del procedimiento de apercibimiento de esta AEPD es de fecha 03/03/16, esto es, la traslación de la denuncia por parte de este organismo es de fecha posterior a la reclamación, siendo esta última el momento a partir del cual la entidad denunciada era conocedora del “error” en su sistema informático. No resulta descabellado afirmar que si la entidad denunciada era desconocedora del “error” en el sistema informático, la respuesta al denunciante se produciría siempre de forma automática a la dirección registrada en el sistema operativo. La entidad denunciada—Fred Olsen—en escrito de alegaciones de fecha 21/03/2016 manifestó “hemos procedido a modificar nuestro sistema de compra de billetes, especialmente cuando éste se realiza a través de Agencia de viajes” de manera que “el titular de la compra será siempre la persona que efectivamente la realiza”. En relación con las manifestaciones efectuadas por Don A.A.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento, debe señalarse que todas ellas ya fueron analizadas y desestimadas en la Resolución recurrida. III El artículo 45 apartado 6º de la LOPD (LO 15/1999, 13 de diciembre) establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
2. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
4. a)y
5. b)del citado apartado 6. Junto a ello se valoran los siguientes aspectos en la culpabilidad del imputado teniendo en cuenta que el “error” se produce en el sistema informático al introducirse los datos personales de un pasajero (
6. a)registrada anteriormente, que el mismo ha sido puntual, que los datos son enviados a un familiar (padre de la afectada), que se ha procedido a disculparse con el cliente “procediendo a la devolución íntegra del pasaje”, así como que una vez detectado el error se han adoptado una serie de medidas tendentes a evitar situaciones como la denunciada. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29- 11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como Archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. IV Finalmente, el recurrente solicita expresamente en su escrito de recurso lo siguiente “que se acuerde la devolución íntegra del importe del viaje que ellos alegan que fue devuelto y no fue así”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Esta Agencia en su resolución de fecha 26/07/16 ya se pronunció al respecto al exponer que no va a entrar a valorar las cuestiones solicitadas en su escrito que se relacionen con su derecho como consumidor (RDL 1/2007, 16 de noviembre Ley General para la Defensa de consumidores y usuarios), debiendo en su caso plantearlas ante los órganos competentes en la materia (vgr. Oficinas de Información de su municipio, etc). De la misma manera, en lo relativo a la solicitud de “indemnización por todos los perjuicios ocasionados” cabe indicar que el mencionado derecho se encuentra regulado en el artículo 19 LOPD (LO 15/1999). A través de este derecho, regulado en el art. 19 LOPD, la Ley faculta al titular de los datos para reclamar al responsable del fichero o encargado del tratamiento el resarcimiento de los daños y perjuicios que le hayan podido ocasionar como consecuencia de un tratamiento inadecuado de sus datos de carácter personal. Tal y como establece el art. 19 LOPD—LO 15/99—en la reclamación del derecho a la indemnización no interviene la Agencia Española de Protección de Datos por lo que el ciudadano afectado deberá, en su caso, acudir a la jurisdicción que corresponda en función de la indemnización se reclama ante el responsable de un fichero de titularidad pública o ante el responsable de un fichero de titularidad privada. En el caso de que el daño causado al ciudadano se haya producido como consecuencia del tratamiento de sus datos personales a través de un fichero de titularidad privada, el art. 19.3 LOPD establece que la acción reclamando la indemnización se ejercitará ante los órganos de la jurisdicción ordinaria, interponiendo el procedimiento que corresponda en función de la cuantía reclamada. IV Por lo tanto, en el presente recurso de reposición, Don A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de julio de 2016, en el procedimiento A/00118/2016. SEGUNDO: NOTIFICAR la presente resolución a la parte recurrente Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es