REPOSICION-PS-00014-2023

(1)del Reglamento General de Protección de Datos (en adelante, RGPD). Y solicita que la información se reciba en formato electrónico, al igual que se ha solicitado electrónicamente. El texto del mensaje era el siguiente: “Estimado señor o señora, por favor, abra el documento adjunto. Atentamente A.A.A.” El contenido de la carta adjunta al correo electrónico es el siguiente (traducción no oficial, texto original en alemán): “Estimado señor o señora: En el asunto antes mencionado, represento los intereses de B.B.B.. Me refiero al poder adjunto. En nombre y en nombre de mi cliente, solicito información de conformidad con el artículo 15 del RGPD sobre si ha almacenado datos personales relacionados con mi cliente. Con respecto a estos datos almacenados por usted, mi cliente tiene derecho a recibir información sobre ellos. Por lo tanto, tengo que pedirle que me facilite la siguiente información de conformidad con el artículo 15, apartado 1, del RGPD:

1. a)¿Qué datos sobre mi cliente son almacenados específicamente por usted, o están siendo procesados (por ejemplo, apellidos, nombre, dirección, fecha de nacimiento, profesión, hallazgos médicos, número de cliente o similar)?
2. b)Además, proporcione información sobre los fines para los que se procesan los datos, así como sobre
3. c)las categorías de datos personales tratados con respecto a mi cliente;
4. d)los destinatarios o categorías de destinatarios que ya han recibido los datos de mi cliente o los recibirán en el futuro;
5. e)la duración prevista para el almacenamiento de los datos de mi cliente o, si esto no es posible, los criterios para determinar esta duración;
6. f)sobre la existencia de los derechos de mi cliente a la rectificación, supresión o limitación del tratamiento de sus datos, así como sobre su derecho a oponerse a dicho tratamiento de conformidad con el artículo 21 del RGPD y el derecho de mi cliente a presentar una reclamación ante la autoridad de control competente.
7. g)Si los datos no fueron recopilados de mi cliente, le solicito que me proporcione toda la información disponible sobre el origen de los datos, así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28
8. h)indicar si existe una toma de decisiones automatizada, incluida la elaboración de perfiles, de conformidad con el artículo 22 del RGPD. En este caso, por favor, proporcione información significativa sobre la lógica involucrada y los efectos previstos de dicho procesamiento para la persona de mi cliente.
9. i)Además, desea informarme si los datos personales de mi cliente han sido transferidos a un tercer país o a una organización internacional.
10. j)Además, desea comunicar qué garantías adecuadas se proporcionan de conformidad con el artículo 46 del RGPD en relación con la transferencia. Por favor, proporcione una copia de los datos relacionados con el cliente de mi cliente almacenados por usted para la atención de mi bufete de abogados. Después de que esta solicitud se haga electrónicamente y se haya hecho un arreglo diferente en este lado, la información se pondrá a mi disposición en un formato electrónico común. Mi cliente se reserva expresamente el derecho de hacer valer el derecho de eliminación. Por último, quisiera señalar que, de conformidad con el artículo 12, apartado 3, del RGPD, la información debe facilitarse sin demora, pero en el plazo de un mes a más tardar. Si no recibo ninguna información de usted dentro de este plazo, me pondré en contacto con la autoridad de supervisión correspondiente sin más comunicación. Me gustaría señalar las consecuencias jurídicas de conformidad con el artículo 83 del RGPD como medida de precaución. Saludos cordiales TERCERO: Consta en el expediente un correo electrónico recibido el 17 de noviembre de 2020 por A.A.A. en el correo ***EMAIL.2, enviado desde customerservicede@contact.opodo.com, con asunto “***ASUNTO.1”, con el siguiente contenido (traducción no oficial, texto original en alemán): “Estimado cliente, Por favor, póngase en contacto con nuestro servicio de atención al cliente en los siguientes números de teléfono para que podamos atenderle adecuadamente en relación con su asunto: desde Alemania: +49

(0)4034979216 desde Suiza: +41

(0)31 547 90 76 (precio normal de una llamada) desde Austria: +43 7 20380070. Esperamos tener noticias suyas pronto. Atentamente, Servicio de Atención al Cliente de Opodo.” CUARTO: El día 19 de noviembre de 2020, la parte reclamante envió un mensaje adjuntando una carta desde el correo electrónico de A.A.A. (***EMAIL.2) al correo electrónico customerservice-de@contact.opodo.com, en la que su representante agradece la respuesta del día 17 de noviembre de 2020 pero solicita que den respuesta por escrito a la carta enviada por e-mail el 16 de noviembre de 2020, e indica que contactar por teléfono para recibir esta información no es la manera apropiada de hacerlo. El texto del correo de 19 de noviembre de 2020 es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 “Estimado señor o señora, por favor, abra el documento adjunto. Atentamente A.A.A.” El contenido de la carta adjunta al correo electrónico es el siguiente (traducción no oficial, texto original en alemán): “Estimado señor o señora Muchas gracias por su módulo de texto de fecha 17.11.2020. En este dictamen, la carta que se le envió por correo electrónico el 16.11.2020 y en la que se solicitaba información y solicitando información debe ser contestada sin ambigüedades y en el contexto de una información por escrito. Ponerse en contacto con usted verbalmente no es conveniente. Esperamos recibir su información en forma de texto dentro del plazo establecido. Atentamente B.B.B.“ QUINTO: Según refiere EDREAMS, con fecha 14 de mayo de 2021 se volvió a hacer efectivo el pago anual de la suscripción a Prime de la parte reclamante, y solicitó el reembolso del cargo en fecha 10 de junio de 2021, y ese mismo día (el 10 de junio de 2021) fue cancelada su suscripción Prime y reembolsado el importe anual abonado con motivo de esta. SEXTO: Consta en el expediente diligencia realiza por el inspector, firmada con fecha 8 de junio de 2022, en la que, consultada la web “opodo.es/política-de-privacidad/, se acredita el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 SÉPTIMO: Con fecha 8 de junio de 2022, en contestación al requerimiento de información formulado por esta Agencia, EDREAMS manifiesta que “no nos ha sido posible dar con (…) que presenta la referida reclamación ante esta Agencia, pese a seguir el protocolo adecuado. La búsqueda ha consistido en la siguiente metodología: a. Búsqueda en nuestros sistemas por nombre y apellido (B.B.B.): en la que no se obtiene ningún resultado. b. Búsqueda en nuestros sistemas por apellido (…): en la que se obtienen 8 páginas de resultado, pero ninguna de las reservas contiene el nombre de B.B.B.. c. Búsqueda en nuestros sistemas por el nombre y apellido (C.C.C.): en la que no se ha encontrado ningún resultado. d. Búsqueda en el buzón de correo electrónico de customerservicede@contact.opodo.com (al cual parece que se envió el ejercicio de derechos en la fecha de 10 de noviembre de 2020): en la que no se ha obtenido ningún resultado. Por la configuración de nuestros sistemas solo nos permite patrones de búsqueda por fecha o por dirección de correo electrónico, al no disponer de la última no hemos podido hacer esa comprobación. OCTAVO: Con fecha 21 de octubre de 2022, en contestación al requerimiento de información formulado por esta Agencia, desde EDREAMS se aporta: 1. Política de privacidad vigente a fecha de 10 de noviembre de 2020. Dentro de la política de privacidad, cuya última actualización fue en junio de 2019, que EDREAMS manifiesta que estaba vigente en el momento de presentar el ejercicio de derecho (en castellano y en alemán, publicada en web.archive.org del 25 de septiembre de 2020), en la que puede leerse, entre otra, la siguiente información: - En la versión en castellano se indica lo siguiente: “Puedes acceder a algunos de tus datos y actualizarlos a través de la configuración de tu cuenta o de los servicios de Atención al Cliente. … Para poder ejercer tus derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes indicar claramente tu identidad, especificando tu nombre completo y la dirección de e-mail que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas ejercer. Te responderemos lo antes posible, en un plazo máximo de un mes tras la recepción de tu solicitud validada, a menos que necesitemos más tiempo para gestionar tu solicitud, en cuyo caso te informaremos de ello. Ten en cuenta que posiblemente te pidamos que compruebes tu identidad y tu solicitud antes de llevar a cabo cualquier acción en relación con dicha solicitud. También puedes dirigirte a la Agencia Española de Protección de Datos (https://www.aepd.es/) o demás organismos de supervisión aplicables, si lo deseas. El ejercicio de estos derechos es gratuito a menos que hagas un uso injustificado o excesivo del mismo. En tal caso, tendremos derecho a cobrarte una cantidad razonable en función de los costes administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 Traducción no oficial de la versión en alemán: “Puede acceder a algunos de sus datos sobre la configuración de su cuenta o servicio posventa y actualizarlos. … Para ejercer sus derechos, pulse aquí o envíe su solicitud por carta a la siguiente dirección: Protección de datos — Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En su solicitud, debe indicar claramente su identidad personal, con su nombre y apellidos y la dirección de correo electrónico con la que reservó o creó una cuenta.” 2. Las condiciones de uso del servicio de suscripción Prime, en las que puede leerse lo siguiente: “3 Duración, pago y anulación 3.1 La membresía de Opodo Prime dura 12 meses desde la fecha de aceptación por parte de Opodo. Se aplica a las reservas realizadas por usted durante este periodo. 3.2 Nos reservamos el derecho de ofrecer períodos de prueba gratuitos o con descuento a determinados clientes. Al aceptar esta oferta, los clientes se convierten en miembros Prime y pueden utilizar los servicios Prime en consecuencia durante el periodo correspondiente. Al final de este periodo, el cliente se convierte en un miembro de pago de Prime, a menos que la membresía de Prime se termine prematuramente. Los clientes serán informados por separado de las condiciones (como la duración y el pago posterior) del periodo de prueba ofrecido. 3.3 La Membresía Opodo Prime se renovará por otros 12 meses a la vez, a menos que sea cancelada por usted o por nosotros al menos 14 días antes del final del período de suscripción correspondiente. Le notificaremos la renovación pendiente a través de la dirección de correo electrónico que tenemos archivada un mes antes de que expire el período de suscripción respectivo. Si hay algún cambio en los requisitos de elegibilidad, solicitaremos su consentimiento antes de renovar. 3.4 El pago se realizará siempre por adelantado o al inicio del nuevo periodo de suscripción y se liquidará con el medio de pago que usted haya depositado en nosotros, salvo que se acuerde expresamente lo contrario con usted. Además, aceptas que los datos anteriores se utilicen para la renovación de tu suscripción a Opodo Prime. Si los datos bancarios que figuran en el registro de Opdo Prime han caducado, le pediremos que los actualice o, en ese caso, utilizaremos los datos de pago que nos proporcionó al hacer una reserva en nuestro sitio web en relación con la renovación de su afiliación, siempre que haya consentido su almacenamiento. 3. Según las condiciones Prime a fecha 14 de mayo de 2019 (en su idioma original, el alemán y traducido a castellano), en las que se obtiene, entre otra, la siguiente información respecto a la cancelación del servicio: También puedes cancelar tu membresía de Opodo Prime en cualquier momento, excepto antes de la expiración del período de membresía correspondiente. Sin embargo, la cuota de afiliación no se reembolsará en caso de rescisión (a menos que ejerza su derecho de cancelación de acuerdo con el artículo 4 de las Condiciones de Uso). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 4. Derecho de desistimiento Tiene derecho a rescindir este contrato en un plazo de catorce días sin indicar el motivo. El plazo de desistimiento es de catorce días a partir del día de la celebración del contrato.” 4. Se aportan los datos de membresía “Prime” de la parte reclamante, entre los que se encuentran el nombre y apellido de la parte reclamante, un correo electrónico, los datos sobre el pago (que incluyen nombre, apellido, número de teléfono y dirección correo electrónico del pagador) y datos de facturación (que incluyen el nombre “B.B.B.”, dirección, ciudad, dirección de correo electrónico, número de identificación fiscal, código postal y país). 5. Se aporta copia en idioma inglés de la Guía interna sobre el ejercicio de derecho de acceso. En esta guía se indica cómo se tienen que atender los ejercicios de derecho desde la confirmación de la identidad del solicitante hasta qué contestación hay que dar, incluyendo una plantilla de contestación a los ejercicios de derechos. 6. Copia de la plantilla de contestación a ejercicios de derecho en idioma inglés: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28 NOVENO: Con fecha 17 de octubre de 2022, EDREAMS, desde el correo electrónico customercarelegal@edreamsodigeo.com ha remitido al correo de la parte reclamante ***EMAIL.1 el siguiente mensaje (traducción no oficial del original en alemán): “B.B.B.: En primer lugar, gracias por ponerse en contacto con el Departamento de Protección de Datos de eDreams ODIGEO. Su confianza es muy importante para nosotros y, de igual modo, nos comprometemos a proteger la privacidad y la seguridad de los datos personales de nuestros clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 En fecha 06 de octubre de 2022, nos ha llegado una solicitud del ejercicio de sus derechos de protección de datos de acceso, reconocidos en los artículos 13 y siguientes del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), así como en los artículos 11 y siguientes de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) por parte de la Agencia Española de Protección de Datos (AEPD). Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy. Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes. Dicho lo anterior, le adjuntamos una copia del correo de confirmación de la reserva nº ***RESERVA.1, en el cual se confirmaba también el inicio de la membresía a la suscripción anual Opodo Prime, a nombre de B.B.B.. Dicho correo electrónico fue enviado a posteriori de la compra, en fecha 14/05/2019 (14:52h), a la dirección de correo electrónico proporcionada: ***EMAIL.1. Así pues, y en referencia a su petición de ejercicio de su derecho de acceso, eDreams ODIGEO pasa a dar respuesta a las cuestiones planteadas por su abogado que recepcionamos en el escrito adjunto de la AEPD:

1. a)¿Cuáles son los datos del consumidor específicamente guardados o procesados (Por ejemplo: Nombre, Apellido, Dirección, Fecha de nacimiento, Ocupación, Número de cliente, etc.)? Los datos personales se mencionan en el fichero de datos en cual incluye datos de identificación (por ejemplo, nombre completo, nombre de usuario, identificador interno...), contacto (por ejemplo, dirección de correo electrónico, dirección física, número de teléfono), dispositivo informático y conexión (por ejemplo, dirección IP), comunicación (por ejemplo, registros telefónicos, buzón de voz, correo electrónico), datos de transacción (por ejemplo, detalles de pago de nuestros servicios adquiridos, detalles de la tarjeta de crédito) y datos de reserva (por ejemplo, su viaje). En su caso, no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.2. Acerca del localizador de reserva nº ***RESERVA.1, asociado a la dirección de correo electrónico ***EMAIL.2 (proporcionada en el momento de la compra), disponemos de la siguiente información: Tipo de Datos Referencia de la Reserva ***RESERVA.1 Fecha de la reserva ***FECHA.1 IP ***IP.1 Nombre completo del comprador C.C.C. Correo electrónico ***EMAIL.2 Dirección postal ***DIRECCION.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 Número de teléfono ***TELEFONO.1 Nombre completo de los pasajeros C.C.C. B.B.B. Detalles del pago C.C.C. Detalles de los vuelos Referencia de la reserva ***REFERENCIA.1 Destinatarios 1) Compañías aéreas operadoras de los vuelos: KLM Royal Dutch Airlines 2) Sistemas de gestión y conexión de las reservas y de los reembolsos: AMADEUS / IATA BSP-Link 3) Entidades de pago involucradas durante el proceso de pago de su reserva: CCA 4) Proveedores de servicios (alojamiento, servicios de comunicación, servicios de fraude y seguridad, etc.). *** Nota: Los datos de la tarjeta de crédito sólo son compartidos entre BBVA y nosotros.
2. b)Los fines del tratamiento de los datos. Tratamos sus datos con las siguientes finalidades: reserva (o servicios aceptados o contratados), comunicaciones (por ejemplo, enviarle comunicaciones necesarias o comerciales; recuerde que puede optar por no recibir ninguna comunicación comercial mediante la opción de darse de baja en el pie de página de cualquier comunicación comercial), cuando promovemos un servicio seguro y de confianza (Por ejemplo, cuando analizamos ataques fraudulentos a nuestros sitios web o sistemas) y mejoramos nuestros servicios (en cuyo caso procuraremos utilizar datos seudónimos o anónimos para tales fines) o para fines legales (por ejemplo, para responder a reclamaciones o solicitudes suyas, como la presente). Para más información sobre nuestros objetivos, consulte la sección 4 (“¿Por qué recogemos sus datos personales y en qué base legal nos basamos?”) de nuestro Aviso de privacidad.
3. c)Las categorías de datos de carácter personal. Las categorías están mencionadas en el archivo de datos y en la respuesta a la pregunta a).
4. d)Los destinatarios o las categorías de destinatarios de los datos. Además de las principales categorías de socios de viaje y proveedores de servicios mencionados en el fichero de datos, centralizamos internamente nuestros servicios tecnológicos y de gestión a través de la Red Internacional eDreams, SLU de nuestro grupo de empresas, ubicada en España (Unión Europea). Otras categorías de destinatarios se mencionan en la sección 6 (“¿Quiénes serán los destinatarios de sus datos personales?”) de nuestro Aviso de privacidad en nuestros sitios web y aplicación: ● Proveedores de servicios: para prestarle nuestros servicios, necesitamos compartir sus datos con terceros. Especificamos y regulamos contractualmente la transferencia o el tratamiento de datos cuando lo exige la ley, con las medidas de seguridad adecuadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 ● Nuestras empresas del grupo: Compartimos sus datos dentro de las empresas de nuestro grupo para fines internos relacionados con la centralización de la administración. ● Autoridades competentes: Podremos revelar sus datos a las autoridades policiales cuando así lo exija la ley o cuando sea estrictamente necesario para la prevención, detección o persecución de delitos o fraudes, o cuando la ley nos obligue a ello, que como #responsable de los datos. ● Otros: Estos destinatarios pueden estar ubicados fuera del EEE, lo que implica transferencias internacionales de datos. Abordamos la cuestión de las transferencias internacionales de datos en la respuesta a la pregunta j).
5. e)La duración prevista del almacenamiento de los datos o, si esto no es posible, los criterios para la determinación de esta duración. El período de almacenamiento estándar es de un máximo de 5 años después de la celebración de su contrato (reserva) con nosotros, teniendo en cuenta las principales disposiciones legales relativas a una posible impugnación de la propia reserva, el viaje, nuestros servicios y las obligaciones administrativas y contables y fiscales.
6. f)La existencia de los derechos del consumidor sobre la corrección, supresión o la restricción del tratamiento de sus datos, así como su derecho a oponerse a dicho tratamiento, de acuerdo con el artículo 21 del RGPD, y el derecho a quejarse a la autoridad competente. No consta que el sujeto haya ejercido nunca el derecho de rectificación, supresión o restricción. Por supuesto, puede ejercer sus derechos en cualquier momento en nuestro formulario de protección de datos, como se menciona en nuestro Aviso de privacidad. No existe un derecho de objeción previo jamás ejercido por el sujeto. Por supuesto, puede ejercer sus derechos en cualquier momento en nuestro formulario de protección de datos, como se menciona en nuestro Aviso de privacidad. En referencia a su derecho a reclamar ante la autoridad de control competente, le informamos de que todo interesado tiene derecho a presentar una reclamación ante la autoridad de control competente que corresponda, en particular en el Estado miembro de su residencia, y el derecho a un recurso judicial efectivo de conformidad con el artículo 47 de la Carta, si el interesado considera que se están infringiendo sus derechos en virtud del presente Reglamento o si la autoridad de control no atiende una reclamación: rechaza o desestima una reclamación en su totalidad o en parte, o no actúa cuando es necesario para proteger los derechos del interesado. La investigación que sigue a una denuncia debe llevarse a cabo en la medida en que sea apropiada en el caso concreto, sin perjuicio de la revisión judicial. La autoridad de control debe informar al interesado de la evolución y el resultado de la reclamación en un plazo razonable y, si el caso requiere una investigación más profunda o la coordinación con otra autoridad de control, se debe dar información provisional al interesado. Para facilitar la presentación de reclamaciones, cada autoridad de control debe adoptar medidas como proporcionar un formulario de reclamación que también pueda rellenarse electrónicamente, sin excluir otros medios de comunicación.
7. g)Origen de los datos. Hay diferentes orígenes de los que los datos pueden provenir principalmente de "datos que usted nos da" y "datos que recogemos de usted". Las siguientes categorías de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 datos se refieren a un individuo (las categorías no son exclusivas, los datos pueden cruzar varias categorías): ● Datos de identificación y contacto: Datos que usted nos proporciona, utilizados para identificarle como persona física y/o datos que utilizamos para contactar con usted. ● Datos de la cuenta y de la configuración: "Datos que nos proporciona". Datos que usted genera al utilizar su cuenta. ● Datos de pago: "Datos que comparte con nosotros". Datos que nos proporciona para realizar el pago. ● Datos relacionados con los viajes: "Datos que comparte con nosotros". Los datos que nos ha facilitado durante el proceso de reserva, todo lo que seleccione en el formulario de pedido y todo lo que modifique o adquiera posteriormente como complemento del pedido original. ● Datos de comunicación: "Datos que usted nos proporciona" y "Datos que recogemos de usted". Datos de todas las comunicaciones de texto y voz intercambiadas entre usted y nosotros en relación con sus solicitudes. ● Datos de navegación y del dispositivo: "Datos que recogemos de usted". Datos que podemos recoger automáticamente de su dispositivo cuando visita nuestras Plataformas.
8. h)Información sobre la lógica implicada, el alcance y el impacto previsto cuando se toma una decisión automatizada (incluída la elaboración de perfiles). No tomamos decisiones automatizadas basadas en la elaboración de perfiles más allá del interés legítimo de la prevención del fraude y la personalización de su experiencia de usuario, marketing y publicidad. En cualquier caso, dicha decisión automatizada no tendrá efectos legales ni le afectará materialmente de forma similar. En caso de que tomemos una decisión automatizada, tomaremos todas las medidas adecuadas y le informaremos.
9. i)Si los datos del consumidor fueron enviados a un tercer país u otra organización internacional.
10. j)Las garantías adecuadas de conformidad con el artículo 46 en relación con la Transmisión de datos. Como se explica en nuestro Aviso de privacidad, nuestros servidores están ubicados en la Unión Europea. Sin embargo, para facilitar nuestras operaciones globales (es decir, a través de proveedores de servicios), la transferencia de sus datos a los destinatarios descritos anteriormente puede implicar la transferencia de sus datos a terceros países cuyas leyes de protección de datos pueden no ser tan completas como las de los países de la Unión Europea. En este sentido, tanto el sector de los viajes como el de los servicios en línea requieren la transferencia internacional de datos. Por ejemplo, los proveedores intermediarios, como los sistemas de distribución global (que gestionan las reservas en línea para las aerolíneas), están ubicados en todo el mundo y algunos tienen sus sistemas en nubes informáticas. Cuando las excepciones al artículo 49 del RGPD (en particular las establecidas en las subsecciones (
11. b)y (c)) no se aplican, seguimos el artículo 46 del RGPD. Como tal vez sepa, el Tribunal de Justicia de la Unión Europea en el caso Schrems II tuvo un impacto en cómo las empresas manejan las transferencias internacionales de datos. El Escudo de la Privacidad de EE.UU. ha sido anulado y las cláusulas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 contractuales estándar se consideran válidas, siempre que incluyan también las salvaguardias adicionales adecuadas en algunos casos. Nos referimos a estas medidas en nuestros contratos de encargo de tratamiento (en lo sucesivo denominados “DPA”)junto con las cláusulas contractuales tipo (en lo sucesivo denominadas “SCC”) para reducir los riesgos de dichas transferencias internacionales de datos. Entre otras cosas, exigimos a nuestros encargados de tratamiento de datos (en adelante denominados "importadores"), que cumplan con las siguientes medidas técnicas y organizativas (en lo sucesivo denominadas "TOM") aplicables a una transferencia internacional de datos, así como cualquier otra TOM apropiada (de acuerdo con las recomendaciones del Consejo Europeo de Protección de Datos), y por la presente confirmar: ● La utilización de TOM para proteger los datos personales y para protegerlos contra las escuchas en tránsito y en reposo (incluidos los intentos de vigilancia por parte de las autoridades públicas o de terceros no autorizados) mediante el uso de un cifrado adecuado en reposo y en tránsito. ● Unas sólidas medidas de protección de todos los datos personales, incluidos los europeos, como una política eficaz y actualizada y un equipo jurídico que siempre revisa cuidadosamente cada solicitud de datos de las autoridades para asegurarse de que cumple la legislación aplicable, incluida la europea. Esto incluye la revisión de la necesidad y la proporcionalidad de cada solicitud, la impugnación de cada solicitud y la información al responsable del tratamiento antes de compartir dichos datos. ● Registro actualizado de cada solicitud de datos de las autoridades con la información pertinente. ● Evaluación previa y continua del riesgo potencial de recibir solicitudes de datos por parte de las autoridades públicas y que considera que el riesgo es bajo. ● Supervisión de cualquier tratamiento internacional de datos y capacidad para auditar. ● Aplicar una solución estricta de privacidad por diseño en la prestación de servicios. ● Garantizar la plena vigencia de los derechos de los interesados. ● Evaluación previa y continua de que el nivel de protección de datos en su jurisdicción (incluidas las jurisdicciones de los subencargados) es sustancialmente equivalente a la protección garantizada en la UE por el RGPD a la luz de la Carta de los Derechos Fundamentales de la UE y/o los riesgos de protección de datos son bajos, teniendo en cuenta las circunstancias (con justificación del importador, si procede). El importador debe basarse en las características de su herramienta, en las circunstancias del tratamiento de los datos, en varios informes de diferentes organizaciones creíbles que analizan los riesgos, en las garantías de otros organismos, etc. (que son "pertinentes, objetivas, fiables, verificables y disponibles públicamente o accesibles de otro modo"). a la "experiencia práctica documentada del importador con instancias de solicitud anteriores relevantes". ● Designación de un representante en la UE de acuerdo con el artículo 27 y 4.17 del RGPD (si su organización no está ubicada en la UE). Si el importador considera que la transferencia internacional de datos puede no ser plenamente conforme con el presente DPA, las SCC o la legislación aplicable, el importador aplicará inmediatamente todas las medidas necesarias para que dicha transferencia internacional de datos sea conforme. Si esto no es posible, el importador lo notificará al responsable del tratamiento para que se tomen las medidas necesarias, como la rescisión del contrato. El importador confirma mediante la firma de este DPA que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 ● No ha creado intencionadamente puertas traseras o programaciones similares que puedan ser utilizadas para acceder al sistema y/o a los datos personales; ● No ha establecido o modificado intencionadamente sus procesos empresariales para facilitar el acceso a datos o sistemas personales; ● Las leyes nacionales o las políticas gubernamentales no exigen que el importador cree o mantenga puertas traseras o facilite el acceso a los datos o sistemas personales, ni que el importador posea o divulgue los datos. ● El importador garantiza la aplicación de estrictas políticas de seguridad y protección de datos, basadas en certificaciones o códigos de conducta de la UE o en normas internacionales (por ejemplo, normas ISO) y mejores prácticas (por ejemplo, ENISA), teniendo en cuenta el estado de la técnica, de acuerdo con el riesgo de las categorías de datos personales tratados. Finalmente, le recordamos que si desea acceder a una de sus reservas en concreto, normalmente puede hacerlo directamente desde la página web de Opodo, haciendo clic en "Gestionar mi reserva" e introduciendo la información requerida (dirección de correo electrónico y número de reserva). Le animamos a que lea nuestro Aviso de privacidad en línea para tomar otras medidas si es necesario. Si tiene alguna otra pregunta o duda, también puede ponerse en contacto con nuestro equipo de privacidad utilizando el formulario que figura en nuestra Aviso de privacidad. Quedamos a su disposición para cualquier información adicional. Cordialmente, El equipo de DPO Grupo eDreams ODIGEO” DÉCIMO: El día 2 de noviembre de 2022, la autoridad de protección de datos de Hamburgo remite un escrito a la AEPD a través del sistema IMI, en el que se aporta, correo electrónico enviado por la parte reclamante con fecha 20 de octubre de 2022 a EDREAMS, en contestación a su correo electrónico de fecha 17 de octubre de 2022 (Traducción no oficial de original en alemán): “Lamento tener que volver a este asunto. Se adjunta el mensaje enviado por Opodo, España, al número de teléfono móvil (…). Sobre la base de la información proporcionada, que en términos de contenido y forma no constituye ningún tipo de respuesta competente e inteligente, la solicitud de información en esta página no puede considerarse cumplida. La información se facilita para la dirección de correo electrónico ***EMAIL.2. Por un lado, esta dirección de correo electrónico no existe y no existía en el pasado. En segundo lugar, la dirección de correo electrónico que realmente existe es la dirección de correo electrónico de la oficina de mi secretaria. La solicitud de información de conformidad con el RGPD se realizó a través de esta dirección. Sin embargo, no es la dirección para la que se solicitó información. La dirección de correo electrónico pertinente de mi cliente es ***EMAIL.1. Además, confirma la suscripción a una suscripción anual Prime a nombre de B.B.B.. Esta suscripción, sin embargo, no aparece en la información adicional contenida en la misma. En particular, ningún número de cliente se proporciona repetidamente, aunque debe existir. Con respecto a la cancelación de dicha suscripción, Opodo supuestamente requiere un número de cliente como requisito previo para la cancelación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 En nombre y representación de mi cliente, se me pide amablemente que haga un seguimiento de la solicitud de información. Es notable que las empresas insensibles pueden continuar sin cambiar pese a la validez del GDPR. Muchas gracias de antemano por su esfuerzo.” TERCERO: La parte recurrente ha presentado en fecha 12 de enero de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en… FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas Con relación a las alegaciones efectuadas por la parte recurrente en el recurso de reposición, se procede a dar respuesta a las mismas según el orden expuesto por EDREAMS: “PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS” Respecto a las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida. Por todo lo expuesto, se desestima la presente alegación. “PRIMERA.- SOBRE LA CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR” En esta alegación EDREAMS señala que el procedimiento sancionador había caducado, por lo que la notificación de la resolución del procedimiento realizada el 15 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 de diciembre, esta Agencia debió declarar su caducidad, al haber transcurrido el plazo de nueve meses establecido por el artículo 64.2 de la LOPDGDD, sin que se hubiera comunicado a EDREAMS que el plazo de caducidad del procedimiento iba a ser, o fuese, suspendido. En respuesta a esta alegación, cabe señalar que en el Fundamento de Derecho VI, “Procedimiento de ventanilla única en el RGPD”, del proyecto de decisión previo al acuerdo de inicio del procedimiento sancionador, se establecía lo siguiente: “Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que los plazos de tramitación establecidos en este artículo quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos.” Esta comunicación de suspensión del plazo de tramitación del procedimiento volvió a recogerse en el Hecho Séptimo del acuerdo de inicio: “SÉPTIMO: Con fecha 28 de febrero de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 6/03/2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD.” No puede afirmarse, tal y como hace EDREAMS, que “No ha habido ninguna referencia en ninguno de los escritos dirigidos a esta parte donde se indicara por la AEPD que el plazo de caducidad del procedimiento iba a ser, o fuese, suspendido” Además, las alegaciones respecto al cómputo del plazo de suspensión que realiza EDREAMS no son correctas, desde el momento en que las autoridades que se habían declarado interesadas de conformidad con lo establecido en el artículo 60 del RGPD, son, además de la autoridad de protección de datos de Hamburgo (Alemania), las autoridades de Baden-Wurtemberg y Berlín (Alemania) y la de Francia. Hablamos, por tanto, de cuatro autoridades, de las cuales a fecha 4 de abril de 2023 tan sólo tres de ellas habían accedido al contenido del proyecto de decisión, los días 6, 7 y 8 de marzo de 2023, lo cual queda constatado en el informe con el siguiente enunciado: “Action: Access personal data” (página 189 del expediente). Después de estas consultas, había que esperar a la conclusión del plazo de cuatro semanas, por si alguna de dichas autoridades formulaba alguna objeción pertinente y motivada sobre el proyecto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 de decisión. Finalmente, no se produjo ningún tipo de acción por parte de las autoridades interesadas, por lo que se dio por válido el proyecto de decisión. En consecuencia, el plazo de nueve meses para dictar y notificar la resolución en el procedimiento no finalizaba el 5 de diciembre de 2023 como señala EDREMAS, sino que, debido a la suspensión del procedimiento conforme a la estipulado en el artículo 64.4 de la LOPDGDD, la fecha de caducidad se produjo cuatro semanas más tarde. Por otra parte, la fecha a efectos de entender cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, con la puesta a disposición de la notificación en la sede electrónica (artículos 40.4 y 43.4 de la LPACAP), fue el 12 de diciembre de 2023, no con la notificación de la resolución el 15 de diciembre de 2023, como afirma EDREAMS. Firmado el proyecto de decisión el 28 de febrero de 2023, y habiéndose comunicado debidamente a EDREAMS la suspensión del plazo para tramitar el procedimiento por cuatro semanas, con la puesta a disposición en sede electrónica de la resolución el 12 de diciembre de 2023, se concluye que el procedimiento no había caducado. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- SOBRE LA DESACREDITACIÓN DEL CONTEXTO DE LA PANDEMIA” En esta alegación EDREAMS señala que esta Agencia no ha valorado correctamente las circunstancias existentes en el momento en el que fue ejercido el derecho de acceso por la parte reclamante, ya que EDREAMS estaba sufriendo unos hechos notorios calificables de circunstancias excepcionales. Estos argumentos ya tuvieron respuesta en la resolución recurrida. En noviembre de 2020, cuando la parte reclamante envió a EDREAMS la solicitud, los efectos negativos de la pandemia en la actividad económica eran considerablemente inferiores a los producidos entre marzo y abril de 2020. EDREAMS menciona una web donde se recoge la noticia de un ERTE que afectaba al 90% de su plantilla, pero esta noticia está fechada en marzo de 2020. Mientras que el pico máximo de trabajadores en ERTE se produjo en abril de 2020, con más de 3,5 millones de trabajadores, en noviembre de 2020 se redujo a menos de 750.000 (Fuente: https://www.lamoncloa.gob.es/serviciosdeprensa/notasprensa/inclusion/Paginas/2020/ 021220-ertes.aspx), por lo que no podemos considerar que los datos de marzo sean extrapolables a noviembre de 2020. Además, el primer correo de la parte reclamante, enviado el 16 de noviembre de 2020 (Hecho Probado Segundo), tuvo respuesta por EDREAMS al día siguiente, el 17 de noviembre de 2020 (Hecho Probado Tercero). La reducción de trabajadores a causa del ERTE quizás hubiera podido justificar un retraso en la respuesta, pero esto no fue así, ya que no hubo demora en la contestación al primer correo enviado por la parte reclamante, por lo que la falta de personal disponible para realizar las tareas correspondientes no puede ser el motivo por el que la solicitud no fuera debidamente atendida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 En consecuencia, no puede atribuirse al colapso de los servicios de EDREAMS la falta de atención de la solicitud presentada por la parte reclamante. Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- SOBRE LA INADECUADA IDENTIFICACIÓN DEL DERECHO DE ACCESO POR LA CLIENTE” Según EDREAMS, al igual que se exige flexibilidad al responsable del tratamiento en la atención de solicitudes de ejercicio de derechos sin importar el canal escogido, es desproporcionado imponer una sanción teniendo en cuenta los siguientes condicionantes: el contexto de pandemia mundial, que la cliente no “estableció” que el contacto realizado en el email genérico de Atención al cliente versaba sobre protección de datos, que ante la respuesta de EDREAMS al primer correo la parte reclamante insiste en los mismos términos y en la misma vía, sin usar los medios y canales puesto a disposición por EDREMAS para el ejercicio de derechos, y ,por último, la reclamación cuenta con información insuficiente para identificar a la parte reclamante. En respuesta a esta alegación, cabe señalar que el Hecho Probado Segundo consta el contenido de la carta adjunta al correo electrónico enviado por la parte reclamante el 16 de noviembre de 2020. En este documento se hace referencia claramente al artículo 15 del RGPD (traducción no oficial, original en alemán): “[…] En nombre y en nombre de mi cliente, solicito información de conformidad con el artículo 15 del RGPD sobre si ha almacenado datos personales relacionados con mi cliente. Con respecto a estos datos almacenados por usted, mi cliente tiene derecho a recibir información sobre ellos. Por lo tanto, tengo que pedirle que me facilite la siguiente información de conformidad con el artículo 15, apartado 1, del RGPD: […]” Por lo tanto, no es cierto que la solicitud del ejercicio del derecho de acceso no estuviera identificada debidamente. Respecto a la existencia de medios y canales puesto a disposición por EDREMAS para el ejercicio de derechos, esto no debe impedir que una solicitud de ejercicio de derechos en materia de protección de datos de carácter personal deba ser atendida cuando se presente por otros medios, como ocurre en el presente caso, en el que la parte reclamante dirigió su solicitud al correo electrónico (customerservicede@contact.opodo.com). Tal y como la propia EDREAMS recoge en sus alegaciones, el artículo 12.2 de la LOPDGDD dispone que: “El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” Que las solicitudes de ejercicio del derecho de acceso a los datos personales no se circunscriban a las peticiones realizadas a través de un canal determinado, es un criterio compartido con el Comité Europeo de Protección de Datos (en adelante, CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD), con fecha 28 de marzo de 2023 ha adoptado unas orientaciones para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 proporcionar una base clara y transparente sobre el ejercicio del derecho de acceso (Directrices 01/2022 sobre los derechos de los interesados- el derecho de acceso) “Guidelines 01/2022 on data subject rights - Right of access”. En el apartado 3.1.2 (párrafos 52 a 57) de las citadas Directrices https://edpb.europa.eu/system/files/202304/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf), se expresa lo siguiente acerca de los requisitos de la solicitud del ejercicio del derecho de acceso (traducción no oficial): “52. Como se señaló anteriormente, el RGPD no impone ningún requisito a los interesados en relación con el formulario de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos el RGPD que los interesados deben observar al elegir un canal de comunicación a través del cual entran en contacto con el responsable. 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante, si el interesado realiza una solicitud a través de un canal de comunicación proporcionado por el responsable que es diferente del indicado como preferible, la solicitud se considerará, en general, eficaz y el responsable del tratamiento deberá tramitar dicha solicitud. En consecuencia, los responsables del tratamiento deben llevar a cabo todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos del interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un empleado que está de permiso, un mensaje automático informando al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). 54. Cabe señalar que el responsable del tratamiento no está obligado a actuar en respuesta a una solicitud enviada al azar o dirección de correo electrónico incorrecta (o postal), no proporcionada directamente por el responsable, o a cualquier canal de comunicación que es evidente que no está destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado, que pueda ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico de sus empleados que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados (p. ej.conductores, personal de limpieza, etc.). Dichas solicitudes no se considerarán eficaces, si el responsable del tratamiento ha proporcionado claramente al interesado el canal de comunicación adecuado. Sin embargo, si el interesado envía una solicitud al empleado del responsable que se ocupa de los asuntos del interesado a diario (contacto único de un cliente, como, por ejemplo, administrador de cuentas personales), dicho contacto no debe ser considerado como aleatorio y el responsable debe hacer todos los esfuerzos razonables, para tramitar dicha solicitud de manera que pueda ser redirigida al punto de contacto y responder dentro de los plazos establecidos para por el GDPR. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan, en la medida de lo posible, mecanismos para mejorar la comunicación interna entre los empleados en las solicitudes recibidas por aquellos que puedan no ser competente para atender tales solicitudes, con el fin de facilitar el ejercicio de los derechos de los interesados. 57. La fecha de recepción de la solicitud por parte del responsable del tratamiento activa, por regla general, el plazo de un mes para que el responsable del tratamiento facilite información sobre las medidas adoptadas en respuesta a una solicitud, de conformidad con el artículo 12, apartado 3 del RGPD. El CEPD considera como buenas prácticas de los responsables del tratamiento confirmar la recepción de las solicitudes por escrito, por ejemplo, enviando correos electrónicos (o información por correo, si fuese aplicable) a las personas solicitantes, que confirmen que sus solicitudes han sido recibidas y que el período de un mes va desde el día X hasta el día Y” (el subrayado es nuestro). Estos criterios determinan una interpretación amplia en cuanto a la aceptación de las solicitudes del ejercicio del derecho de acceso dirigidas por un interesado al responsable del tratamiento. Con carácter general, la solicitud del ejercicio del derecho de acceso a los datos personales debe ser considerada eficaz, por lo que los responsables del tratamiento deben hacer todos los esfuerzos razonables para asegurar que se facilita el ejercicio de los derechos de los interesados. La parte reclamante envió la solicitud a un correo electrónico (16 y 19 de noviembre de 2022) que pertenece a EDREAMS, concretamente a su servicio de atención al cliente (customerservice-de@contact.opodo.com). Este servicio no puede entenderse excluido de la obligación de la atención de las solicitudes de ejercicio de derechos que formulen los clientes de EDREAMS, ya sea directamente o mediante el traslado a la unidad correspondiente. Según el apartado 55 de la Guía 01/2022, el responsable del tratamiento no está obligado a responder a una solicitud, enviada a la dirección de correo electrónico de sus empleados, que no pueden participar en el tratamiento de solicitudes relativas a los derechos de los interesados, como conductores o servicio de limpieza. Sin embargo, un departamento cuya actividad es la atención al público, como es el servicio de atención al cliente de EDREAMS, que realiza funciones que conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de acceso a sus datos personales. De este modo, la propia EDREAMS, según explica en su alegación SEGUNDA, tiene procesos internos para que el equipo de atención al cliente gestione las solicitudes de ejercicio de derechos en materia de protección de datos, que no se aplicaron a la solicitud realizada por la parte reclamante: “…Por todo ello, el agente actuó manifiestamente en contra de las instrucciones ofrecidas por EDREAMS no solo a través de procedimientos implementados, sino también a través de formaciones y acciones de concienciación periódicas realizadas.” Por último, si EDREAMS consideró que el nombre y apellido de la parte reclamante no eran datos suficientes para identificarla en su base de datos a efectos de atender la solicitud remitida por correo electrónico, debió comunicar esta circunstancia, y no simplemente remitir a otra vía de comunicación, como hizo en primer término, y, posteriormente, dejando sin respuesta la reiteración de la solicitud. Por todo lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/28 “CUARTA.- SOBRE LA VALORACIÓN POR LA AEPD DE LA COMISIÓN DE UNA CONDUCTA INFRACTORA REITERADA POR EDREAMS” En este argumento EDREAMS afirma que, “en igualdad de condiciones en las que no hubiese un tratamiento transfronterizo”, estos mismos hechos habrían supuesto la apertura de un procedimiento de tutela de derechos, no de un procedimiento sancionador. Como ya se razonó en la resolución recurrida, la falta de atención del ejercicio del derecho de acceso supone una infracción del RGPD, el cual otorga a las autoridades de control una serie de poderes correctivos, entre los que se encuentra “…imponer una multa con arreglo al artículo 83…” (artículo 58.2.
12. i)del RGPD). Al tratarse de un caso transfronterizo según lo dispuesto en el artículo 4.23) del RGPD, esta Agencia, como autoridad de control principal, debe cumplir con el mandato impuesto en el artículo 60.1 del RGPD, por el cual: “La autoridad de control principal cooperara con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso”. Pues bien, consultadas las demás autoridades de control interesadas sobre este caso, el consenso alcanzado a través del proyecto de decisión, notificado a EDREAMS con fecha 01/03/2023, determina la necesidad de apertura del presente procedimiento sancionador en los términos fijados en el citado proyecto de decisión. De hecho, los procedimientos incoados a EDREAMS que se citan en el recurso de reposición (***PROCEDIMIENTO.1, ***PROCEDIMIENTO.2 y ***PROCEDIMIENTO.3) no son de procedimientos de tutela de derecho, sino procedimientos sancionadores en los que se dictó resolución sancionando la falta de atención de ejercicio de derechos reconocidos por el RGPD, imponiéndose en todos ellos un apercibimiento. En consecuencia, la infracción objeto de este procedimiento no puede considerarse un caso aislado, sino que se trata de una conducta infractora que EDREAMS ha cometido de forma reiterada, ante la cual no puede pretender que la consecuencia de la responsabilidad administrativa pueda sancionarse en todo momento con un apercibimiento. Por todo lo expuesto, se desestima la presente alegación. “QUINTA.- SOBRE EL CONTENIDO DE LA RESPUESTA FACILITADA A LA CLIENTE RESPECTO AL EJERCICIO DE SU DERECHO DE ACCESO” En esta alegación EDREAMS considera que ha dado debida respuesta a la solicitud de ejercicio del derecho de acceso formulada por la parte reclamante. Con fecha 7 de junio de 2022, esta Agencia remitió a EDREAMS dos documentos de la parte reclamante. En el primero de ellos, fechado el 10 de noviembre de 2020, el representante de la parte reclamante realiza una solicitud de ejercicio de derecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/28 acceso respecto a su representada, y, en el segundo, fechado el 19 de noviembre de 2020, se insiste en recibir contestación a la solicitud por escrito. Sin embargo, en escrito realizado por EDREAMS fechado el 8 de junio de 2022, en contestación al requerimiento de información formulado por esta Agencia, se dice: “Por la configuración de nuestros sistemas solo nos permite patrones de búsqueda por fecha o por dirección de correo electrónico, al no disponer de la última no hemos podido hacer esa comprobación… SOLICITAMOS 1. Que (…) proporcione el dato identificativo de la dirección de correo electrónico con la que hizo la reserva…” Con fecha 21 de octubre de 2022, en un escrito remitido por EDREAMS a esta Agencia, manifestó (página 61 del expediente): “Al recibir la información necesaria para dar tratamiento al presente requerimiento de información por parte de esta Agencia (con el dato identificativo necesario para nosotros (…)) el 6 de octubre de 2022 (número de registro ***REGISTRO.1) procedimos a comprobar inmediatamente que (…) compró con EDREAMS a través de la web Opodo Alemania el 14 de mayo de 2019 y a través de la cual se dió alta en el servicio de Prime (programa de suscripción de EDREAMS) abonando 74.99 EUR con la compra de su reserva y obteniendo un descuento inmediato de -59.70 EUR en su viaje (ver imagen 1 y Anexo 2 - Copia del Contrato o licencia de usuario que (…) tuvo que aceptar para darse de alta en su servicio).” En la imagen posterior a este texto, como puede comprobarse en la imagen reproducida en el punto 4 de los Hecho Probado Octavo, consta el correo electrónico de la parte reclamante “***EMAIL.2”, por lo que, teniendo el correo electrónico de la parte reclamante, EDREAMS, según sus propias afirmaciones, tenía el dato necesario para realizar la búsqueda de los datos de la parte reclamante en sus archivos. Pese a la apertura del procedimiento PS/00014/2022, el traslado de la solicitud del ejercicio del derecho de acceso realizado por esta Agencia y las demás circunstancias que han sido puestas en conocimiento de EDREAMS, no consideró oportuno dar una respuesta adecuada a la solicitud en cuestión. En el correo electrónico remitido por EDREAMS a la parte reclamante con fecha 17 de octubre de 2022, se informa a la parte reclamante de lo siguiente (traducción no oficial, original en alemán): “Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy, Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes” (el subrayado es nuestro). Sin embargo, no había motivos para que EDREAMS no atendiese a la solicitud del ejercicio del derecho de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/28 A continuación, en contestación a la solicitud del ejercicio del derecho de acceso, efectúa una búsqueda sobre la dirección de correo electrónico de la persona que envió la solicitud, no sobre los datos de la parte reclamante: “…no hemos encontrado ninguna información, en nuestros sistemas, relacionada con la dirección de correo electrónico ***EMAIL.2.” Sin embargo, en los datos facilitados a la parte reclamante, no sabemos si por error (este aspecto no ha sido aclarado por EDREAMS) sí consta como dirección sobre la que se ha hecho la consulta ***EMAIL.2 (página 120 del expediente, en el dato “EMail Adresse)”, junto a la cual se remiten los datos asociados al localizador de reserva nº ***RESERVA.1 tal y como se describe en el Hecho Probado Noveno. Por todo lo expuesto, se desestima la presente alegación. “SEXTA.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA” EDREAMS precisa en esta alegación que, en tanto que en el presente caso no ha tenido lugar una brecha de seguridad, supuesto de hecho al que se refiere la STS núm. 188/2022, no entiende aplicable al presente caso el criterio de la reprochabilidad directa por tratarse de un supuesto de negligencia, y no de una brecha de seguridad, que es el supuesto recogido en la citada sentencia. En contestación a esta alegación, cabe señalar que la Sentencia del Tribunal Supremo núm. 188/2022 es traída a colación con relación a la responsabilidad de EDREAMS por la actuación negligente de sus empleados, sin que, según la doctrina establecida por dicha sentencia, el responsable del tratamiento pueda excusarse en su actuación diligente separadamente de la actuación de sus empleados, sea una brecha de seguridad o la falta de atención de un derecho. De este modo, dicha Sentencia establece los requisitos para exigir la responsabilidad a las personas jurídicas por los actos cometidos por los empleados de éstas en base, no a la responsabilidad objetiva como refiere EDREAMS, sino a “la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz”. Para mayor claridad, en la Sentencia núm. 188/2022 del Tribunal Supremo, se cita como antecedente la STS de 15 de febrero de 2021 (rec. 1916/2020), en cuyo Fundamento de Derecho Segundo se establece: “Como vimos en el antecedente tercero, el citado auto de admisión de 28 de septiembre de 2020 declara que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en precisar la responsabilidad de una Administración pública (en este caso, el Ayuntamiento de San Sebastián) en relación con las infracciones de la Ley de Protección de Datos que pudieran cometer los cargos y empleados públicos de la misma, y si tal responsabilidad puede o no ser atribuida a la Administración, con independencia de la identificación del cargo o empleado que materialmente haya cometido la infracción” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/28 Por lo tanto, en la redacción de la sentencia transcrita se plantea como objetivo precisar la responsabilidad de cualquier tipo de infracción de la Ley de Protección de Datos cometida por cargos y empleados de una entidad, no distingue el tipo de infracción cometida, si se trata de una vulneración de las medidas de seguridad o la falta de atención del ejercicio de un derecho, como interpreta EDREAMS de la lectura de la Sentencia núm. 188/2022, en la cual se viene a confirmar la doctrina establecida por la STS de 15 de febrero de 2021 (rec. 1916/2020). EDREAMS considera que la infracción se ha cometido por un “error humano”, al “no haber escalado la consulta para su valoración por el equipo competente, tal y como ha quedado acreditado en las alegaciones presentadas al acuerdo de inicio del procedimiento sancionador”, y que el RGPD no establece una obligación de resultados sino de medios. Sin embargo, de la actuación de EDREAMS en la falta de atención de la solicitud de ejercicio del derecho de acceso cabe resaltar que: Primero. La solicitud no fue atendida pese a que la representación de la parte reclamante reiteró su petición (Hechos Probados Segundo y Cuarto), no existiendo ningún tipo de control sobre este tipo de comunicaciones por parte de EDREAMS. Segundo. EDREAMS no tiene constancia de haber recibido ninguna solicitud de ejercicio del derecho de acceso, como afirma en la respuesta enviada a la parte reclamante: (Hecho Probado Noveno): “Asimismo, nos gustaría hacer hincapié en el hecho de que hemos buscado en nuestros sistemas y, salvo error por nuestra parte, no hemos encontrado las dos cartas que se adjuntan en su escrito a la AEPD que indica nos envió su abogado. Tampoco hemos encontrado ninguna petición de acceso a sus datos por su parte a través del formulario de privacidad de nuestra página web no pudiendo de esta forma, eDreams ODIGEO, dar respuesta a su solicitud hasta el día de hoy. Tercero. En la contestación remitida a la parte reclamante, EDREAMS le remite a su formulario para la respuesta a la solicitud de ejercicio de derecho de acceso. En la carta remitida a la parte reclamante se dice: “Nos gustaría recordarle que, para ejercer sus derechos con relación a la protección de sus datos, pueden presentar la solicitud a través del formulario disponible en el Aviso de privacidad de nuestra página web, completamente accesible y pensado para facilitar el ejercicio de los derechos de nuestros clientes.” Cuarto. EDREAMS sostiene que no puede encontrar los datos personales de la parte reclamante a menos que sea con su correo electrónico, no puede identificar a sus clientes mediante otros datos personales, como nombres y apellidos (Hecho Probado Séptimo). En la contestación al requerimiento de información remitido por esta Agencia se dice (página 61 del expediente): “Inmediatamente, procedimos a la diligente búsqueda (…) en nuestros sistemas. Esta es la fase previa para dar tratamiento a cualquier reclamación en la que no se nos facilita el correo electrónico del cliente, que es nuestro identificador único de cliente, de acuerdo con nuestras condiciones de uso… Por todo ello, y debido a que fue excepcionalmente imposible determinar (…) con certeza tras la adecuada búsqueda”. En consecuencia, teniendo en cuenta todas estas circunstancias, la falta de atención de la solicitud formulada por la parte reclamante no se debe a un “error humano C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/28 aislado” como argumenta EDREAMS, sino que existe culpabilidad por falta de la diligencia exigible a EDREAMS en la adecuada tramitación de ejercicio del derecho de acceso a sus datos de carácter personal, para lo cual EDREAMS tiene previsto un procedimiento a través de un formulario, así como otras medidas tales como procedimientos internos y la realización periódica de acciones de concienciación, pero, las circunstancias enumeradas anteriormente ponen de manifiesto las siguientes cuestiones: 1.- La desatención de la solicitud no tuvo ninguna repercusión, lo que pone de manifiesto la falta de control de las solicitudes recibidas. 2.- No fueron capaces de encontrar con posterioridad la solicitud enviada por la parte reclamante. 3.- Se vuelve a remitir a la parte reclamante al formulario de privacidad. 4.- Una vez que tuvieron los datos de la parte reclamante, tampoco pudieron encontrar los datos, por un rango de búsqueda limitado al correo electrónico como identificador del cliente. Por todo lo expuesto, se desestima la presente alegación. “SÉPTIMA.- SOBRE LA DESPROPORCIÓN DE IMPONER UNA SANCIÓN ECONÓMICA POR LOS HECHOS ACAECIDOS EN EL PRESENTE CASO DURANTE LA PANDEMIA” En esta alegación hace un resumen de lo ya argumentado en las alegaciones precedentes: No se ha valorado correctamente las circunstancias existentes (pandemia mundial) en el momento en el que fue ejercido el derecho de acceso por la parte reclamante, EDREAMS ha adoptado medidas para la atención de ejercicios de derechos realizados al margen del Formulario de privacidad y, por último, que estas medidas han sido tenidas en cuenta en otros procedimientos sancionadores de forma positiva, en los que esta Agencia impuso apercibimiento en lugar de una sanción económica. Todas estas alegaciones han sido objeto de respuesta motivada en los apartados anteriores: Las circunstancias que concurrían en el momento de los hechos a que se refiere EDREAMS, en la contestación a la alegación segunda; las relativas a que EDREAMS disponía de un canal oficial para atender solicitudes de ejercicio de los derechos por parte de los interesados y que contaba con medidas para solicitudes presentadas por otros canales, en la contestación a la alegación tercera; y, por último, que en otros procedimientos sancionadores se impuso apercibimiento y no multa, en la contestación a la alegación cuarta. Por todo lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/28 “OCTAVA.- SOBRE LA CONFIDENCIALIDAD DE IMÁGENES FACILITADAS POR EDREAMS Y SU PUBLICACIÓN EN EL REPOSITORIO DE RESOLUCIONES DE LA AEPD” En esta alegación, EDREAMS solicita la no publicación de determinadas imágenes de los sistemas internos de la compañía. En contestación a esta alegación, debe decirse que la misma no evoca ningún motivo de nulidad o anulabilidad de la resolución recurrida, por lo que, no afectando a su validez, no es necesario realizar ningún análisis para la estimación o desestimación de lo que se propone. Respecto a la petición que se formula, se tendrá en cuenta a la hora de la publicación de la resolución, cuando ésta se lleve a cabo conforme a lo dispuesto en el artículo 50 de la LOPDGDD. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VACACIONES EDREAMS, S.L., con NIF B61965778, contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 12 de diciembre de 2023, en el expediente EXP202201472. SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/28 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
13. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
14. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es