1/6 Procedimiento nº.: E/08701/2018 ASUNTO: Recurso de Reposición Nº RR/00434/2019 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/08701/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 9 de abril de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/08701/2018, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada a la recurrente en tiempo y forma, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 1 de junio de 2019, recurso de reposición, fundamentándolo básicamente en los siguientes extremos: “La AEPD reconoce en el Hecho Primero” de su Resolución que la Denuncia formulada contra Iberia se realiza en torno a “a los datos de carácter médico que la Compañía ha recibido el 08/08/2017” (folio nº 1 de la Resolución). Debe diferenciarse por tanto, el tratamiento que IBERIA dio a la Información médica recibida el 08/08/17 de otra información similar que la Compañía recibió tiempo después en el curso de una reclamación judicial” “La AEPD informa en su Resolución E/08701/2018 que la Agencia dio traslado de la denuncia a Iberia en fecha 06/06/18 para que esta alegara en Derecho lo que estimara oportuno” (folio nº 2). “Es evidente que IBERIA ha incumplido sobradamente dicho PLAZO, otorgado por la AEPD a IBERIA en virtud de la Legislación vigente. Como bien aprecia la AEPD en el HECHO Tercero de su Resolución, Iberia no envió alegaciones hasta el 13/03/19, es decir, casi 9 meses después de haberle remitido la Denuncia por parte de la AEPD. Ha quedado probado que Iberia respondió a la solicitud de Derecho de Acceso con 9 meses de retraso respecto al plazo máximo de un MES que le había otorgado la propia AEPD, entendemos que aplicación del Considerando 59 (…). El escrito de alegaciones de IBERIA de 13 de marzo de 2019, no solo adolece de un retraso de 9 meses, sino que también recoge argumentos incorrectos respeto de una “pretendida” complejidad del caso, a los meros efectos de justificar la demora en la contestación por parte de la Compañía. En definitiva, no encuentra la demandante razón objetiva alguna que justifique un retraso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 de 9 meses a la contestación de la Compañía para atender de forma total su Derecho de Acceso, dado que hubiera bastado una simple lectura de los escritos remitidos a Iberia para entender la fecha (08/08/17) y el origen de los datos médicos y haberlos podido localizar rápidamente. Tampoco resulta creíble que los datos médicos recibidos por Iberia el 8 de agosto de 2017 se eliminaran inmediatamente como argumenta el -responsable del tratamiento--. El retraso de 14 meses en la localización de los datos médicos y la desorganización mostrada en el proceso por Iberia son hechos que por si mismos justificarían la acción inspectora de la AEPD para comprobar el circuito que siguen esos datos (…) y que medidas técnicas y organizativas tiene implantada la Compañía para garantizar la seguridad y correcto acceso a los mismos solo por personal autorizado. Iberia indica en su escrito de 13 de marzo de 2019 que mantiene almacenados Informes médicos de la denunciante como “documento anexo a una reclamación judicial de reembolso de billetes”. Por todo lo cual la abajo firmante presenta Recurso de Reposición ante la Directora de la AEPD, al considerar que IBERIA ha infringido de forma flagrante la legislación vigente respecto a los plazos en que la Compañía debía haber hecho efectivo el Derecho de Acceso a los datos personales, obstaculizando y, en la práctica negando durante 14 meses el ejercicio del mismo. La Compañía NO ha aclarado que medidas técnicas y organizativas aplica al fichero denominado “Reclamación de Nivel Alto” en el que, según admitió el 18 de enero de 2018, figuran datos médicos de la Denunciante. Por ello y de acuerdo con lo dispuesto en el art. 77.1 del GDPR-SOLICITO nuevamente a la AEPD, conforme a los poderes que le otorga el art. 58 de dicho Reglamento Europeo y el Título VII que (…): Ejerza su acción inspectora—dado que la Agencia tiene la función de velar por el cumplimiento de la Legislación y controlar su aplicación (…) Determine si dicha actuación de Ibera es merecedora de sanción o multa administrativa, conforme a los poderes que le otorga el art. 58.2 RGPD (…). Verifique la legalidad de la “aplicación informática” de gestión de los procedimientos judiciales a la que hace referencia Iberia en su escrito de 13/03/19, dado que No existe ningún fichero con dicha finalidad en la relación de ficheros que la Compañía remitió a la interesada en enero de 2018 (Anexo 2). Finalmente, SOLICITO que si la AEPD no estimare el presente Recurso y decidiera que no procede de oficio la apertura de ningún expediente sancionador, me informe de los motivos de dicha decisión (…) conforme a lo establecido en el art. 11.2 del reglamento de Procedimiento para el ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Antes de entrar en el fondo del asunto y respecto a la concreta solicitud de la recurrente expuesta en el “Solicito” de su escrito, cabe recordar que el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, ha sido derogado, por lo que deviene imposible acceder a lo solicitado por la misma, al no tratarse de una norma en vigor. La Disposición Derogatoria única de la ley 39/2015 (1 octubre)—Derogación Normativa--. “2. Quedan derogadas expresamente las siguientes disposiciones:
- e)Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora.” En segundo lugar, los hechos se circunscriben a la siguiente fecha (08/08/17) –folio nº 1— por lo que la normativa en vigor en el momento de analizar los mismos, estaría constituida por la LOPD (*LO 15/99, 13 de diciembre), de manera que no se tendrán en cuenta las menciones realizadas al actual RGPD (Reglamento 2016/679 del Parlamento y del Consejo de 27 de abril de 2016), dado que el mismo no entró en vigor hasta el 25 de mayo de 2018. III El presente escrito calificado como “recurso de Reposición” trae causa de la reclamación presentada por la recurrente en fecha 14/04/18 por medio del cual en esencia solicitaba lo siguiente: “Determine si la contestación parcial de IBERIA y, por tanto, la negativa a facilitarme el ACCESO a los datos médicos recibidos y almacenados el 8 de agosto de 2017 constituye una infracción de las tipificadas en el Art. 44 de la LOPD” El derecho de acceso a los datos de carácter personal, permite al afectado solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se tengan previsto hacer de los mismos (art. 15 LOPD vigente en el momento de producirse los hechos). En fecha 13/03/19 se recibe contestación de la entidad denunciada manifestando en relación a los “hechos” lo siguiente: “Queremos transmitir que la solicitud de acceso a los datos llevada a cabo por la denunciante ha sido especialmente difícil de tramitar, toda vez que más allá de la información que de ella se disponía por su pertenencia al programa Iberia Plus, la información personal suya que nos venía solicitando y de la que Iberia disponía no guarda relación con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 interacciones llevadas a cabo por ella misma (…), sino por un tercero, Sr. Don B.B.B., padre de dicha señora y que ha planteado contra Iberia reclamación requiriendo a mi representada, en su único nombre y representación, el reembolso de unos billetes de avión” “Tras haber llevado a cabo Iberia una indagación ampliada (…) no sólo con la Sra. A.A.A., sino también con el Sr. B.B.B., se ha detectado que si figuran en los sistemas de Iberia un Informe médico de la hija de éste, facilitado por el Sr. B.B.B., en su propio nombre y derecho, exclusivamente en el marco de la reclamación judicial planteada por dicho Señor contra Iberia (…)”. A la hora de analizar la Denuncia presentada, cabe señalar que es el progenitor de la denunciante—Sr. B.B.B.—el que interpone en nombre y representación de la misma, una reclamación de devolución de importe de billetes, como consecuencia de enfermedad de la misma, adjuntando con esta copia de Informe médico emitido por el Centro sanitario que la atendió. Por tanto, la cuestión inicial no se incardina en el marco de la protección de datos, sino que se trata de una reclamación entre un prestador de servicios (Iberia S.A) y un “cliente”, dónde se acompaña prueba documental (vgr. Informe médico) como documentación anexa a la misma, para que fuera en su caso examinada por el servicio de reclamaciones competente de la entidad denunciada. Cualquier cliente pude ejercer como consumidor una reclamación (en este caso, ante una compañía área), bien a través de las hojas de reclamaciones que las compañías aéreas deben tener a disposición en los mostradores de información o puntos de venta de billetes en los aeropuertos o bien usando el formulario para reclamar ante una compañía aérea, que suele haber en su página web. Con posterioridad, a la reclamación formulada por el padre de la denunciante, ésta ejercita derecho de acceso ante la denunciada, con fecha 02/01/18. Procediendo la denunciada—Iberia S.A-- ha responder en tiempo y forma a la denunciante, en escrito de fecha 18/01/18, por tanto, dentro del plazo de un mes marcado por la Legislación en vigor en el momento de producirse los hechos. Contrariamente a lo esgrimido por la denunciante, la entidad Iberia S.A podía solicitarle la concreción sobre qué datos en concreto ejercitaba el acceso, así lo disponía el artículo 27 apartado 2º “in fine” del RD 1720/2007,21 de noviembre (RLOPD). “No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos”. Respecto al Informe médico aportado, cabe señalar que el mismo quedo anexado a la reclamación interpuesta por el padre de la denunciante, el cual es un medio de prueba válido en derecho, que además ha sido objeto de análisis en sede judicial (Jugado de lo Mercantil nº 10-Madrid-Juico Verbal XXX/XXXX). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 El mismo puede ser utilizado por la parte denunciada para hacer valer sus pretensiones (derecho a la defensa) en sede judicial, estando en este caso los datos protegidos por el órgano jurisdiccional competente y a disposición de las partes en litigio. La recurrente centra ahora la reclamación en la tardanza en la contestación de la entidadIberia—tras los requerimientos efectuados por este organismo en fecha 19/11/18 y 20/02/19. Conviene matizar que, una cosa es el derecho de acceso -derecho subjetivo de la afectada —y otra, el derecho de defensa (de la denunciada) en el marco de las actuaciones de investigación desarrolladas por este organismo. El artículo 122 apartado 4º del Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la LOPD dispone: “Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones” De manera que lo importante es que finalmente la entidad denunciada—Iberia—contestará a este organismo sobre la reclamación formulada, pudiendo tutelar el derecho de la misma, de manera que los argumentos esgrimidos han de ser desestimados pues no hacen variar el fondo del asunto analizado por esta Agencia. A mayor abundamiento la conducta descrita, no puede considerarse incardinada en el tipo infractor del entonces vigente art. 44.3 letra
- j)LOPD, al haber contestado a este organismo, máxime cuando en el origen de los “hechos” se encuentran los “errores” producidos al presentar la reclamación por parte del progenitor de la recurrente. IV La parte recurrente en su escrito de Recurso de fecha 01/06/19 manifiesta que la entidad denunciada—Iberia—no ha aclarado qué medidas técnicas y organizativas aplica al fichero denominado “Reclamaciones de Nivel Alto”, en el que figuran los datos médicos de la denunciante. Cabe recordar que la Política de Privacidad y Protección de datos de la entidad denunciada está publicada en su página web, no entrando dentro del contenido del derecho de acceso, obligar a la misma a responder tal cuestión, que se trataría más de una cuestión como “cliente” de la entidad que de una cuestión incardinada en la normativa entonces en vigor. Este organismo puede intervenir en caso de una vulneración de la normativa en vigor o de un caso concreto de quiebra de las medidas de seguridad, que por otra parte no se produce en el caso expuesto, dado que la documentación de la afectada fue adjuntada por el progenitor de la misma en el marco de una reclamación contractual, siendo objeto de examen con posterioridad en sede judicial. De manera que procede en este punto concreto inadmitir su petición, al carecer la misma de fundamento jurídico alguno, al menos en el marco de la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 III De acuerdo con lo expuesto, las argumentaciones esgrimidas son reiteración de las ya expuestas y analizadas por este organismo, sin que hagan variar el fondo del asunto, motivos por los que procede desestimar el presente Recurso de reposición. No se ha constatado que se haya producido quiebra alguna en la seguridad de los datos de la afectada, pues el Informe médico adjuntado (vía fax) se archivo junto con la reclamación inicial, asociado a los datos del reclamante (padre de la afectada), siendo las cuestiones planteadas más una disconformidad en cuestiones de carácter organizativo de la entidad denunciada a la hora de tramitar las reclamaciones, que una cuestión de incumplimiento de medidas de seguridad por la misma, que insistimos no se ha producido. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia dictada con fecha 9 de abril de 2019, en el expediente de actuaciones previas de inspección E/08701/2018. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es