1/19
Expediente Nº: EXP202204836
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 9 de marzo de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a EASYJET AIRLINE
COMPANY LIMITED (en adelante la parte reclamada). Notificado el acuerdo de inicio
y tras analizar las alegaciones presentadas, con fecha 3 de noviembre de 2023 se
emitió la propuesta de resolución que a continuación se transcribe:
<<
Expediente N.º: EXP202204836
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 21/03/2022, tuvo entrada en esta Agencia un escrito presentado
por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación
contra EASYJET AIRLINE COMPANY LIMITED con NIF N0066592G (en adelante,
EASYJET), por un posible incumplimiento de lo dispuesto en la normativa de
protección de datos de carácter personal.
Los motivos en que basa la reclamación son los siguientes:
“Buenos días.
El día 28 de diciembre solicité el acceso a mis datos en ejercicio de mi derecho de
acceso, a la empresa Easyjet, en el marco de una reclamación por incumplimiento del
Reglamento (CE) nº 261/2004, a todos los datos relativos a mi persona en su poder,
además de los relacionados a dicho expediente. Recibí solamente un mero acuse de
recibido el día 30 de diciembre del mismo año. Hasta el día de hoy no he recibido
respuesta alguna a mi petición.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/19
El día 18 de marzo realicé un recordatorio a la compañía y la misma me contestó
desentendiéndose de la solicitud de acceso, negando la existencia de la misma, aún
existiendo el acuse de recibo.”
Junto a la reclamación aporta, entre otros, la siguiente documentación:
- Correo electrónico de la parte reclamante, de fecha 28/12/2021, enviado a las
direcciones electrónicas ***EMAIL.1 y ***EMAIL.2, con el asunto “Reclamación
Reglamento (CE) nº261/2004-Solicitud Derecho de Acceso”. Su contenido hace
alusión a una reclamación presentada por la parte reclamante en relación con
el hecho de que se le denegó embarcar en un vuelo de la compañía, así como,
a la solicitud del ejercicio de su derecho de acceso.
- Correo electrónico de la dirección ***EMAIL.2, de fecha 30/12/2021, en el que
indica que el correo anterior será reenviado al equipo competente para su
consulta, pero que, debido al periodo vacacional, la respuesta puede
retrasarse.
- Correo electrónico de la dirección ***EMAIL.3, de fecha 18/03/2022, cuyo
contenido es el siguiente:
“Estimado Sr. A.A.A.,
Gracias por su respuesta.
Por favor, tenga en cuenta que somos un departamento diferente y que no hemos
recibido ninguna solicitud relacionada con Política de Protección de Datos en su
nombre. Solo somos responsables de la parte de Política de Protección de Datos y
nuestro equipo no gestiona reclamaciones.
Por favor, háganos saber si desea recibir la información que easyJet tiene sobre usted
en una solicitud de acceso a los datos del sujeto, y estaremos encantados de
ayudarle.
Para cualquier otra cuestión o reclamación que pueda tener, en el equipo de
Privacidad no podemos ayudarle.
Por favor, tenga en cuenta que si no recibimos respuesta en un plazo de 17 días, su
solicitud será automáticamente archivada. (…)”
- Correo electrónico de la parte reclamante, de fecha 18/03/2022, enviado a la
dirección electrónica ***EMAIL.3 y ***EMAIL.4, en el que responde “aquí tiene
el resguardo de la recepción de la solicitud por parte de su equipo (…)”.
SEGUNDO: A la vista de los hechos denunciados, el 21/04/2022 esta Agencia accedió
a la página web ***URL.1, quedando comprobado que la política de privacidad indica
como dirección de contacto ***EMAIL.2. No obstante, para “ejercer cualquiera de sus
derechos en relación con los datos que easyJet posee sobre usted” se habilita un
formulario específico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/19
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), el 03/06/2022 se dio traslado de dicha reclamación a EASYJET, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 06/06/2022 como consta en el
acuse de recibo que obra en el expediente.
TERCERO: Con fecha 21/06/2022, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 05/07/2022, se recibe en esta Agencia escrito de respuesta en el
que manifiesta lo siguiente:
“[…]
Segundo.- No obstante lo anterior y en relación al contenido de su requerimiento se ha
de significar que en la web de Easyjet existe un formulario concreto para que los
usuarios puedan ejercer los derechos del RGPD de acceso, información, rectificación
y supresión, tal y como se muestra a continuación.
Igualmente, la dirección de correo electrónico que se pone a disposición de los
usuarios para cualquier cuestión relacionado con los derechos del RGPD es la
siguiente: ***EMAIL.2. (…).
Tercero.- Sin embargo, tal y como se deduce de la información facilitada por el
reclamante en su anexo nº2 parece que los correos electrónicos en solicitud de
acceso fueron enviados a un correo distinto, concretamente a ***EMAIL.3, así como a
la dirección de atención al cliente: ***EMAIL.4.
Por otro lado, en las comunicaciones remitidas a mi representada se han confundido
reclamaciones relacionadas con la indemnización exigida como consecuencia de la
supuesta denegación de embarque sufrida por el reclamante junto con la demanda de
derecho de acceso a los datos personales, motivo éste por el que se ha podido alterar
el sistema de atención de este tipo de peticiones.
Cuarto.- Explicado lo anterior y en cuanto a las cuestiones planteadas a esta parte en
su requerimiento pasamos a contestar correlativamente las mismas:
1. (…) Se recibió una solicitud que no era clara y se pidió clarificación al
interesado.
2. (…) Se pidió al reclamante que informara adecuadamente de cuál era su
petición concreta y ver qué elemento específico en su caso deseaba rectificar
para proceder en consecuencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/19
[…]”
QUINTO: Con fecha 09/03/2023, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a EASYJET, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo
15 del RGPD, tipificada en el artículo 83.5.b) del RGPD.
Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la
LPACAP mediante notificación electrónica, fue recogido por EASYJET el 16/03/2023.
SEXTO: Con fecha 30/03/2023, EASYJET presentó escrito, en tiempo y forma, ante
esta Agencia en el que manifestaba lo siguiente:
“[…]
Primero.- Que en el presente procedimiento se ha dictado acuerdo de inicio por el que
se acuerda fijar una sanción inicial de 20.000 € como consecuencia de los hechos e
infracción contempladas en el mismo.
Segundo.- Que siguiendo lo dispuesto en el acuerdo de inicio y de conformidad con lo
dispuesto en el artículo 85 de LPACAP, esta parte muestra su voluntad de acogerse a
la reducción del 40% en el importe de la sanción, mostrando expreso reconocimiento
de responsabilidad de conformidad así como la realización del pago de la multa de
forma voluntaria, renunciando a la interposición de cualquier acción o recurso
administrativo a que hubiera lugar.
[…]”
SÉPTIMO: Con fecha 05/05/2023, EASYJET presentó nuevo escrito ante esta Agencia
en el que manifestaba lo siguiente:
“[…]
Segunda.- Atención al ejercicio de derecho de acceso del Reclamante
Tal y como se desprende del cronograma incluido en la Alegación anterior, la Sociedad
atendió el ejercicio del derecho de acceso del Reclamante el día 1 de abril de 2022,
remitiéndole toda la información sobre su persona que conservaba en sus sistemas,
así como la información requerida por el artículo 15 del RGPD.
A estos efectos, se adjunta, como Anexo II, copia del correo electrónico a través del
cual se le remite la correspondiente contestación al Reclamante, junto con toda la
información que se pone a su disposición (ver Anexo I).
De conformidad con lo anterior, interesa a la Sociedad remarcar que la solicitud de
ejercicio del derecho de acceso enviada por el Reclamante a la Sociedad, fue
atendida por esta con anterioridad a la recepción de la Solicitud de Información (15 de
junio de 2022) y, por tanto, a la recepción del Acuerdo de Inicio (17 de marzo de
2023).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/19
Tercera.- Otras consideraciones
Asimismo, interesa a la Sociedad remarcar que:
(i) Aunque la reclamación fue inicialmente interpuesta por el interesado el día
28 de diciembre de 2021, esta solo incluía en su penúltimo párrafo una
mención al ejercicio de su derecho de acceso conforme al RGPD. Si bien
es cierto que la Sociedad trató el mensaje del Reclamante inicialmente
como una mera reclamación de daños y no como un ejercicio de derechos
de protección de datos, el Reclamante tampoco volvió a hacer mención al
ejercicio de su derecho en las conversaciones posteriores que mantuvo con
el equipo de atención al cliente de la Sociedad. De hecho, no volvió a hacer
referencia al ejercicio de su derecho de acceso hasta el día 17 de marzo de
2021, cuando exigió el pago de las indemnizaciones que le habían sido
presuntamente reconocidas por AESA.
(i) A lo largo de la gestión del ejercicio del derecho de acceso del Reclamante,
la Sociedad, tal y como se desprende de los correos intercambiados entre
la Sociedad y el Reclamante cuya copia se adjunta como Anexo I, ha
recibido, por parte del Reclamante, multitud de advertencias sobre la
iniciación de acciones legales, incluyendo una mención a la posibilidad de
desistir de las mismas si recibiera el pago de las cantidades reclamadas.
En opinión de la Sociedad, estos mensajes y la falta de cooperación por
parte del Reclamante cuando el equipo de protección de datos de la
Sociedad se puso en contacto con él para atender su derecho, denotan una
escasa preocupación sobre este asunto, pudiendo extraerse que su
intención exclusiva era el cobro de las cantidades económicas reclamadas,
en nada relacionadas con la protección de su derecho fundamental a la
protección de datos.
(ii) Una vez recibida la pretensión del reclamante el día 17 de marzo de 2021,
la Sociedad se puso en contacto con este hasta en dos ocasiones (17 y 22
de marzo de 2021) para disculparse por el retraso en la contestación a su
ejercicio del derecho de acceso. Junto con las disculpas, el equipo de
protección de datos de la Sociedad trató de confirmar con el Reclamante su
pretensión de ejercicio del derecho de acceso, clarificar el alcance de su
solicitud, preguntarle si deseaba ejercitar cualquier otro derecho, y
notificarle que se estaba procediendo a su gestión, ya que, de la solicitud
inicial de ejercicio del derecho de acceso incluida dentro del escrito de
reclamación de daños no se desprendía con certeza el alcance de la
misma.
(iii) El día 1 de abril de 2021, únicamente 9 días hábiles después de recibir la
confirmación por el Reclamante de su deseo de ejercitar su derecho de
acceso y recibir todos los datos que la Sociedad mantuviese en sus
sistemas, esta atendió dicho derecho y le trasladó la información solicitada
(ver Anexos I y II adjuntos).
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/19
Junto al escrito aporta la siguiente documentación:
- Correo electrónico enviado por EASYJET desde la dirección electrónica
***EMAIL.3, de fecha 01/04/2022 a las 10:22 horas, a la parte reclamante
(***EMAIL.5), con el asunto “Solicitud de Datos-A.A.A.”. Su contenido hace
alusión a la información relativa al ejercicio de derecho de acceso de la parte
reclamante.
- Copia de los datos almacenados en los sistemas de EASYJET en relación con
la parte reclamante.
OCTAVO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El 28/12/2021, a las 22:34 horas, la parte reclamante envía un correo
electrónico (***EMAIL.5) a las direcciones ***EMAIL.1 y ***EMAIL.2, con el asunto
“Reclamación Reglamento (CE) nº261/2004-Solicitud Derecho de Acceso”. Su
contenido hace alusión a una reclamación presentada por la parte reclamante en
relación con el hecho de que se le denegó embarcar en un vuelo de la compañía, así
como, a la solicitud del ejercicio de su derecho de acceso.
SEGUNDO: El 30/12/2021, a las 0:45 horas, la parte reclamante recibe un correo
electrónico de la dirección ***EMAIL.2, en el que se le informa de que se ha trasladado
su petición al departamento correspondiente, pero que, debido al periodo vacacional,
la respuesta puede retrasarse.
TERCERO: El 16/03/2022, a las 0:13 horas, la parte reclamante envía un correo
electrónico a las direcciones ***EMAIL.1 y ***EMAIL.2, con el asunto “AVISO
INTERPOSICIÓN ACCIONES JUDICIALES/DENUNCIA AUTORIDAD PROTECCIÓN
DE DATOS/RESOLUCIÓN AESA/ Re: Reclamación Reglamento (CE) nº 261/2004-
Solicitud derecho de Acceso”. En el texto comunica a la entidad reclamada el dictamen
estimatorio de la Agencia Española de Seguridad Aérea en relación con los gastos
derivados de la denegación para embarcar y, además, señala lo siguiente:
“Asimismo y en ausencia de una respuesta en el plazo estimado a la petición de
ejercicio del derecho de acceso contemplado en el Reglamento General de Protección
de Datos (EU), se anuncia también la interposición de la correspondiente denuncia a
las autoridades en materia de protección de datos pertinentes”.
CUARTO: El 17/03/2022, a las 09:45 horas, EASYJET (***EMAIL.3) envía un correo
electrónico a la parte reclamante con el siguiente contenido:
“Estimado Sr. A.A.A.,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/19
Le escribimos desde el equipo de privacidad de easyJet con relación a su incidencia,
pero específicamente en lo que se refiere a su solicitud respecto con la Protección de
Datos que usted puede haber hecho con nosotros. Lamentablemente, dicha solicitud
nunca llegó a conocimiento de nuestro equipo y, por lo tanto, nos gustaría que nos
aclarara su solicitud original para poder resolverla con prontitud. Por favor, responda
directamente a esta dirección de correo electrónico. Le agradecemos su paciencia y le
pedimos disculpas por esta situación. Quedamos en espera de su pronta respuesta a
fin de poder darle seguimiento a su solicitud. Un cordial saludo, equipo de Protección
de Datos de easyJeT.”
En esa misma fecha, a las 09:51 horas, la parte reclamante responde lo siguiente:
“Estimada
Tengo el acuse de recibo de la solicitud emitido por su equipo. De por hecho que una
vez cumplido el plazo de gracia de una semana que les he otorgado, denunciaré a
easyJet ante la autoridad en materia de protección de datos competente.”
En ese mismo día, a las 10:45 horas, EASYJET responde a la parte reclamante:
“Estimado Sr.A.A.A.,
Le escribimos desde el equipo de privacidad de easyJet con relación a su incidencia,
pero específicamente en lo que se refiere a su solicitud respecto con la Protección de
Datos que usted puede haber hecho con nosotros. Lamentablemente, dicha solicitud
nunca llegó a conocimiento de nuestro equipo y, por lo tanto, nos gustaría que nos
aclarara su solicitud original para poder resolverla con prontitud. Por favor, responda
directamente a esta dirección de correo electrónico. Le agradecemos su paciencia y le
pedimos disculpas por esta situación. Quedamos en espera de su pronta respuesta a
fin de poder darle seguimiento a su solicitud. Un cordial saludo, equipo de Protección
de Datos de easyJet
QUINTO: El 18/03/2022, a las 11:50 horas, la parte reclamante recibe un correo
electrónico de la dirección ***EMAIL.3 en el que, en síntesis, se le informa: “Por favor,
tenga en cuenta que somos un departamento diferente y que no hemos recibido
ninguna solicitud relacionada con Política de Protección de Datos en su nombre. Solo
somos responsables de la parte de Política de Protección de Datos y nuestro equipo
no gestiona reclamaciones. Por favor, háganos saber si desea recibir la información
que easyJet tiene sobre usted en una solicitud de acceso a los datos del sujeto, y
estaremos encantados de ayudarle. Para cualquier otra cuestión o reclamación que
pueda tener, en el equipo de Privacidad no podemos ayudarle. Por favor, tenga en
cuenta que si no recibimos respuesta en un plazo de 17 días, su solicitud será
automáticamente archivada. (…)”
Ese mismo día, a las 13:23 horas, la parte reclamante envía un correo electrónico a
***EMAIL.3 y a ***EMAIL.4, en el que informa su intención de demandar a EASYJET
ante la instancia judicial correspondiente y ante esta Agencia.
SEXTO: El 21/03/2022, a las 12:13 horas, la parte reclamante envía un correo
electrónico a la dirección ***EMAIL.3 y ***EMAIL.4, con el asunto
“URGENTE///COMUNICACIÓN DE DENUNCIA E INTERPOSICIÓN DE ACCIONES
JUDICIALES”. En el contenido informa a EASYJET de haber presentado una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/19
reclamación contra la entidad ante esta Agencia en relación con su solicitud de
acceso.
SÉPTIMO: El 22/03/2022, a las 08:46 horas, EASYJET (***EMAIL.3) responde a la
parte reclamante:
“Estimado Sr. A.A.A.,
Gracias por su respuesta. Antes que nada, queremos pedirle disculpas por el retraso
que se ha producido en la nuestra y por si su reclamación inicial no se ha interpretado
correctamente. Sin embargo, creemos que está confundiendo los dos temas, su
reclamación y la solicitud de protección de datos. Desde el equipo de Protección de
Datos, estamos tratando de completar su solicitud, pero necesitamos que nos aclare
qué es lo que busca concretamente. Si puede ayudarnos diciéndonos qué tipo de
información está buscando, estaremos encantados de ayudarle. Hemos podido
averiguar que el equipo de Protección de Datos ha considerado su correo electrónico,
del cual usted nos ha enviado el acuse de recibo, como una reclamación, y por lo
tanto lo ha reportado al equipo competente en ese momento, que es el de
Reclamaciones.
Nuestro equipo (Equipo de Privacidad) no ha recibido una aclaración de su solicitud
relacionada con la protección de datos. Por favor, tenga en cuenta que nuestro equipo
es responsable de redactar las DSAR (por sus siglas en inglés), que son solicitudes de
acceso a los datos de los sujetos, que divulgamos cuando un cliente quiere tener
acceso a la información que easyJet tiene sobre él. Nuestro equipo también es
responsable de las eliminaciones, restricciones y correcciones de direcciones de
correo electrónico en las cuentas de nuestros clientes. Sin embargo, no nos
encargamos de reclamaciones. Apelamos a su comprensión de lo explicado
anteriormente, y estaremos encantados de ayudarle, si tiene alguna petición
relacionada con el RGPD. ¿Desea recibir un documento con la información que
easyJet tiene sobre usted? ¿Realizar una eliminación, restricción o corrección de su
cuenta? Si es así, háganoslo saber y lo cumpliremos. Pero, como ya hemos indicado,
tenga en cuenta que las reclamaciones relativas a la denegación de embarque no
están relacionadas con el RGPD, y nuestro equipo sólo pretende ayudarle en su
solicitud de datos. Por favor, responda directamente a este correo electrónico
haciéndonos saber cómo podemos ayudarle. Gracias por su colaboración y
comprensión. Saludos cordiales, equipo de Protección de Datos”
Ese mismo día, a las 10:35 horas, la parte reclamante responde a la entidad
reclamada de la siguiente manera:
“Buenos dias.
Pregunta planteada por el equipo de protección de datos de Easyjet, 22/03/2022
"¿Desea recibir un documento con la información que easyJet tiene sobre usted?
¿Realizar una eliminación, restricción o corrección de su cuenta? Si es así, háganoslo
saber y lo cumpliremos. Pero, como ya hemos indicado, tenga en cuenta que las
reclamaciones relativas a la denegación de embarque no están relacionadas con el
RGPD, y nuestro equipo sólo pretende ayudarle en su solicitud de datos."
Extracto de mi reclamación Reglamento Pasajeros EU/solicitud de acceso RGPD,
28/12/2022 "Por último, sirva este escrito como solicitud formal a los efectos del
Reglamento General de Protección de Datos o de la normativa de protección de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/19
correspondiente, para el ejercicio de mi derecho de acceso a todos los datos relativos
a mi persona en poder de Easyjet."
Disfruten de lo denunciado. Cualquier desestimación por razón de forma será
recurrida hasta las más altas instancias posibles, suponiendo un riesgo de multa para
EasyJet, con la correspondiente repercusión negativa que traerá aparejada en los
medios de comunicación dado el interés público del asunto, que en todo caso no
compensará la negativa de no reintegrar las cantidades legítimamente reconocidas
por el órgano supervisor aeronáutico.
Por cierto, parece que sus compañeros del equipo de reclamaciones no han recibido
el dictamen de AESA ni mi advertencia de la interposición de acciones judiciales. Les
agradeceria que les hicieran llegar el dictamen, el cual adjunto a continuación.
Un saludo,
A.A.A.
OCTAVO: El 01/04/2022, a las 10:22 horas, EASYJET dio contestación al derecho de
acceso de la parte reclamante, mediante correo electrónico remitido desde la dirección
***EMAIL.3 a la parte reclamante (***EMAIL.5) con copia de los datos que obran en su
poder.
Ese mismo día, a las 12:20 horas, la parte reclamante envía un correo electrónico a
las direcciones ***EMAIL.6 y ***EMAIL.7, con el siguiente contenido:
“Estimada B.B.B.
Muchas gracias por hacerme llegar la información solicitada. No obstante, dejaremos
a la Agencia Española de Protección de Datos dirimir sobre la adecuación del accionar
de EasyJet respecto a este ejercicio del derecho de acceso.
Sin embargo, quisiera comentarle que la información contenida en el informe es
incorrecta. No es que quiera iniciar las acciones judiciales correspondientes, ya las he
formalizado y el proceso judicial ya está en marcha. Serán ustedes citados a declarar
por el órgano jurisdiccional competente en la brevedad.
Pueden llamarme al ***TELÉFONO.1 para coordinar el pago de las cantidades
requeridas y dar por cerrado este asunto, o nos veremos en la Corte pronto. Si quiere,
puede hacerle lllegar esta información a sus compañeros.
Un saludo,
A.A.A.
FUNDAMENTOS DE DERECHO
I
Competencia y normativa aplicable
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de LOPDGDD, es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/19
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del
Reglamento:
"1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”
“7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros;”
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que EASYJET realiza la
recogida y conservación de, entre otros, los siguientes datos personales: nombre y
apellidos
EASYJET realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
III
Alegaciones aducidas
En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas.
EASYJET alega haber dado respuesta a la parte reclamante el 01/04/2022
remitiéndole toda la información personal que figura en sus sistemas y la necesaria
para atender el derecho en cuestión. Remarca que la solicitud de acceso fue atendida
antes de recibir la solicitud de información y, posteriormente, el acuerdo de inicio.
Como prueba, aporta copia del correo electrónico enviado a la parte reclamante en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/19
fecha señalada, así como de la información facilitada a este en respuesta a la solicitud
de acceso.
Al respecto, esta Agencia desea señalar que el artículo 12.3 del RGPD otorga al
responsable del tratamiento un mes desde que recibe la solicitud de acceso para dar
respuesta al derecho ejercido, sin perjuicio de que pueda prorrogarse por otros dos
meses en caso necesario, debiendo informar de ello al interesado. No obstante, en el
presente caso, EASYJET no atendió debidamente el derecho de acceso ejercido por la
parte reclamante hasta el 01/04/2022, casi cuatro meses después de que hubiera
presentado su solicitud, el 28/12/2021.
Si bien es cierto que el 30/12/2021 EASYJET respondió al correo electrónico de la
parte reclamante en el que ejerció su derecho de acceso, no es menos cierto que la
entidad se limitó a darle una respuesta genérica en la que confirmaba la recepción del
correo y que sería reenviado al equipo correspondiente para su consulta. Así pues,
como ya se indicó en el acuerdo de inicio del presente procedimiento sancionador,
resulta evidente que no le fue posible a la parte reclamante acceder a sus datos
personales ni se le proporcionó una respuesta adecuada hasta el mes de abril.
EASYJET alega haber recibido por la parte reclamante multitud de advertencias sobre
la iniciación de acciones legales, incluyendo una mención a la posibilidad de desistir
de las mismas si recibiera el pago de las cantidades reclamadas en relación con la
denegación para embarcar en un vuelo de la compañía.
Al respecto, esta Agencia desea señalar que no es competente para dirimir cuestiones
que no están relacionados con la materia de protección de datos de carácter personal.
IV
Derecho de acceso
El artículo 15 “Derecho de acceso del interesado” del RGPD establece:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
a) las categorías de datos personales de que se trate;
b) los destinatarios o las categorías de destinatarios a los que se comunicaron o
serán comunicados los datos personales, en particular destinatarios en
terceros u organizaciones internacionales;
c) de ser posible, el plazo previsto de conservación de los datos personales o, de
no ser posible, los criterios utilizados para determinar este plazo;
d) la existencia del derecho a solicitar del responsable la rectificación o supresión
de datos personales o la limitación del tratamiento de datos personales
relativos al interesado, o a oponerse a dicho tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/19
e) el derecho a presentar una reclamación ante una autoridad de control;
f) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una organización
internacional, el interesado tendrá derecho a ser informado de las garantías
adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el
interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente
a los derechos y libertades de otros.”
Por su parte, el artículo 13 “Derecho de acceso” de la LOPDGDD dispone que:
“1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el
artículo 15 del Reglamento (UE) 2016/679.
Cuando el responsable trate una gran cantidad de datos relativos al afectado y este
ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los
datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado
especifique los datos o actividades de tratamiento a los que se refiere la solicitud.
2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento
facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos
personales que garantice, de modo permanente, el acceso a su totalidad. A tales
efectos, la comunicación por el responsable al afectado del modo en que este podrá
acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del
derecho.
No obstante, el interesado podrá solicitar del responsable la información referida a los
extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se
incluyese en el sistema de acceso remoto.
3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se
podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión
durante el plazo de seis meses, a menos que exista causa legítima para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/19
4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste
desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado
asumirá el exceso de costes que su elección comporte. En este caso, solo será
exigible al responsable del tratamiento la satisfacción del derecho de acceso sin
dilaciones indebidas.”
En el presente caso, consta que la parte reclamante solicitó a EASYJET el acceso a
sus datos personales, en fecha 28/12/2021, a través de correo electrónico enviado a
las direcciones ***EMAIL.2 y ***EMAIL.5. No solo indicó en el asunto del correo
“Reclamación Reglamento (ce) nº 261/2004-Solicitud Derecho de Acceso” (el
subrayado es de la Agencia), sino que también, al final del contenido, dice
textualmente “que sirva este escrito como solicitud formal a los efectos del
Reglamento General de Protección de Datos o de la normativa de protección de datos
correspondiente, para el ejercicio de mi derecho de acceso a todos los datos relativos
a mi persona en poder de Easyjet”. En este sentido, la dirección electrónica a la que se
dirigió la parte reclamante es uno de los medios que EASYJET pone a disposición de
los afectados para el ejercicio de derechos del RGPD, junto con un formulario
específico de solicitud. Así figura en la política de privacidad de su página web
(***URL.2).
Por su parte, EASYJET se limitó a enviarle el 30/12/2021 una respuesta genérica en la
que confirmaba la recepción de su correo electrónico y que sería reenviado al equipo
correspondiente para su consulta. No obstante, después de que la parte reclamante
comunicara su intención a la entidad reclamada de presentar una reclamación ante
esta Agencia en ausencia de respuesta a su solicitud de acceso, el 17/03/2022, un día
después, EASYJET le respondió indicándole no haber recibido la solicitud de acceso y
pidiéndole que aclarase su solicitud original. No fue hasta el 01/04/2022 cuando
EASYJET dio acceso a la parte reclamante a la información solicitada.
De conformidad con las evidencias de las que se dispone en este momento de
propuesta de resolución de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a EASYJET, por
vulneración del artículo 15 del RGPD.
V
Tipificación de la infracción del artículo 15 del RGPD
De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la
comisión de la infracción tipificada en el artículo 83.5.b) del RGPD que bajo la rúbrica
“Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) (…)
a) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/19
A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy
graves” de la LOPDGDD indica lo siguiente:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de
los derechos establecidos en los artículos 15 a 22 del Reglamento (UE)
2016/679; (…)”
VI
Sanción por la infracción del artículo 15 del RGPD
Los poderes correctivos de los que dispone la Agencia Española de Protección de
datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre
ellos se encuentran la potestad de imponer una multa administrativa con arreglo al
artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un
plazo especificado -artículo 58. 2 d)-.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
d) del citado Reglamento es compatible con la sanción consistente en multa
administrativa.
En el presente caso, atendiendo a los hechos expuestos y sin perjuicio de lo que
resulte de la instrucción del procedimiento, se considera que la sanción que
correspondería imponer es de multa administrativa. La multa que se imponga deberá
ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el
artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han
de observar las previsiones del artículo 83.2 del RGPD, que indica:
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/19
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en
su artículo 76, “Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión
de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/19
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Son circunstancias agravantes:
- La duración de la infracción (artículo 83.2.a) del RGPD): No obstante, y toda
vez que se tuvo en cuenta esta circunstancia agravante en el acuerdo de inicio
del presente procedimiento sancionador por no haber respondido EASYJET el
derecho de acceso, se considera que la gravedad de la misma se ve minorada
al quedar probado la atención del derecho ejercido por la parte reclamante, si
bien ésta tuvo lugar casi cuatro meses después del plazo establecido en la
normativa vigente.
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2.b) de la LOPDGDD): EASYJET es una entidad
que realiza tratamientos de datos personales de manera sistemática y continua
y que debe extremar el cuidado en el cumplimiento de sus obligaciones en
materia de protección de datos.
El balance de las circunstancias contempladas permite fijar como valoración inicial una
multa de 10.000€ (diez mil euros) por la infracción del artículo 15 del RGPD.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos EASYJET
AIRLINE COMPANY LIMITED, con NIF N0066592G, por una infracción del artículo 15
del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 10.000€ (diez mil
euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 8.000 € (ocho mil euros) y su pago
implicará la terminación del procedimiento. La efectividad de esta reducción estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/19
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000
0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud
se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que
en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar
los documentos e informaciones que considere pertinentes, de acuerdo con el artículo
89.2 de la LPACAP.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-170223
C.C.C.
INSPECTOR/INSTRUCTOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/19
ANEXO
Índice del expediente EXP202204836
21/03/2022 Reclamación de A.A.A.
03/06/2022 Traslado reclamación a EASYJET AIRLINE SPAIN, S.E.E.
21/06/2022 Comunicación a A.A.A.
05/07/2022 Respuesta requerimiento de EASYJET AIRLINE CO LTD
10/03/2023 A. apertura a AINHOA BILBAO RANDEZ
16/03/2023 Info. Reclamante a A.A.A.
30/03/2023 Escrito de EASYJET AIRLINE CO LTD
05/05/2023 Escrito de EASYJET AIRLINE CO LTD
>>
SEGUNDO: En fecha 14 de noviembre de 2023, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 8000 euros haciendo uso de la reducción prevista
en la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/19
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202204836, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a EASYJET AIRLINE COMPANY
LIMITED.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
968-171022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es