1/20
Procedimiento Nº: PS/00016/2022
IMI Reference: A60DD 403656 - A61VMA 298021 - Case Register 79805
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes:
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la
autoridad francesa de protección de datos. La reclamación se dirige contra VACACIONES
EDREAMS, S.L., con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la
reclamación son los siguientes:
La parte reclamante ha solicitado por e-mail a EDREAMS acceso a la grabación de todos los
intercambios telefónicos mantenidos con la empresa, pero, transcurrido un mes, no ha
recibido ninguna contestación.
Fecha en la que tuvieron lugar los hechos reclamados: 5 de enero de 2021
Junto con la reclamación aporta:
- Captura de correo electrónico enviado por la parte reclamante a las direcciones
[email protected] y [email protected], de fecha 5 de
enero de 2021, en el que realiza una queja sobre una compra realizada en dólares
canadienses y solicita acceso a todas las conversaciones mantenidas entre la parte
reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto de 2020,
26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020, y aporta los
siguientes datos para su identificación: nombre y apellido, fecha de nacimiento y cuatro
últimos dígitos de su tarjeta de crédito.
SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del
Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la
cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y
el intercambio de información, se transmitió la citada reclamación el día 21 de mayo 2021 y
se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos
(AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de
conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas
Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de
estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que
esta Agencia es competente para actuar como autoridad de control principal, dado que
EDREAMS tiene su sede social y establecimiento único en España.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/20
Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados
miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo
establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control
interesada”, además de la autoridad de protección de datos de Francia, las autoridades de
Portugal, Italia, Baja Sajonia (Alemania) y Dinamarca. Todas ellas en virtud del artículo
4.22.b) del RGPD, dado que los interesados que residen en el territorio de estas autoridades
de control se ven sustancialmente afectados o es probable que se vean sustancialmente
afectados por el tratamiento objeto del presente procedimiento.
TERCERO: Con fecha 1 de junio de 2021, de conformidad con el artículo 64.3 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada
por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en
virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los
poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General
de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los
siguientes extremos:
Contestación a requerimiento de información presentada en representación de EDREAMS
con registro de entrada O00007128e2100036021, con entrada en la AEPD el 27 de agosto
de 2021, en la que se aporta, entre otra, la siguiente información:
1. Declaración de que no han recibido ninguna solicitud de la parte reclamante a través del
formulario de privacidad de su página web, por lo que no ha sido tratado por un agente
especializado sino que ha sido tratado por el servicio de atención al cliente.
2. Declaración de que se produjo un error en esta solicitud porque el agente del servicio de
atención al cliente que atendió esta solicitud la cerró de manera manual sin gestionarla de
acuerdo a los procesos internos; estos procesos internos indican que, en estas
solicitudes hay que responder haciendo referencia al formulario de privacidad o escalar el
ejercicio de derecho internamente.
3. Declaración de que han respondido a la parte reclamante a raíz de tener conocimiento de
esta reclamación. Y aportan una captura de un correo electrónico dirigido a la parte
reclamante en francés (y su traducción al español), en el que se indica que se adjuntan
las grabaciones.
4. Respecto a las causas que originaron esta incidencia, declaración de que se produjo
debido a un error humano que se produjo en una situación en la que el servicio de
atención al cliente vio triplicado el número de solicitudes recibidas debido a las
cancelaciones causadas en la agencia de viajes por la COVID-19.
5. Declaración de que se han adoptado las siguientes medidas: enviar un recordatorio en la
newsletter semanal a los agentes de atención al cliente sobre la centralización de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/20
atención a derechos de protección de datos en el Formulación de Privacidad para que
sean atendidos por agentes especializados; adelantar la formación en protección de
datos e incluir el caso de esta reclamación dentro de un supuesto práctico en la
formación; informar en una reunión al agente que trató la solicitud y a su gerente sobre lo
ocurrido; e incluir un recordatorio de la existencia del Formulario de Privacidad en el
correo electrónico que se reciben los interesados automáticamente como respuesta a los
correos recibidos en el servicio de atención al cliente.
En fecha 30 de diciembre de 2021, se realiza una búsqueda en el sitio
https://web.archive.org de los datos históricos que aparecían en la Política de privacidad del
sitio web de EDREAMS dirigido al público español (https://www.edreams.es/politica-de-
privacidad/) el día 13 de enero de 2021 y dirigido al público francés (https://www.edreams.fr/
politique-confidentialite/) el día 20 de enero de 2021, obteniéndose la siguiente información:
6. En ambas políticas de privacidad se indica que su última actualización tuvo lugar en junio
de 2019.
7. En ambas políticas de privacidad se indican dos medios para ejercer los derechos: a
través un formulario online, o a través de una dirección postal. Concretamente, en la
política de privacidad en español se indica lo siguiente: “Para poder ejercer tus derechos,
haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección: Protección de
datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea. En tu solicitud debes
indicar claramente tu identidad, especificando tu nombre completo y la dirección de e-
mail que utilizaste para realizar la compra o crear una cuenta, y los derechos que deseas
ejercer.”
QUINTO: Con fecha 12/01/2022, la Directora de la AEPD adoptó una propuesta de proyecto
de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el
artículo 60 del RGPD, el 09/02/2022 se transmitió a través del Sistema IMI esta propuesta y
se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese
momento para realizar sus comentarios. Dentro del plazo a tal efecto, las autoridades de
control interesadas realizaron sus comentarios al respecto.
SEXTO: Con fecha 24/05/2022, la Directora de la AEPD adoptó un proyecto de decisión de
inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del
RGPD, el 02/06/2022 se transmitió a través del sistema IMI este proyecto de decisión y se
les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese
momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las
autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al
respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho
proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el
apartado 6 del artículo 60 del RGPD.
Este proyecto de decisión se notificó a EDREAMS conforme a las normas establecidas en la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) el día 25/05/2022, como consta en el
acuse de recibo que obra en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/20
SÉPTIMO: Con fecha 15/07/2022, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a EDREAMS, con arreglo a lo dispuesto en
los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 15 del RGPD,
tipificada en el Artículo 83.5 del RGPD, en el que se le indica que tiene un plazo de diez días
para presentar alegaciones.
Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, fue recogido en fecha 18/07/2022, como consta en el acuse de
recibo que obra en el expediente.
OCTAVO: Con fecha 30/07/2022, se recibe en esta Agencia, en tiempo y forma, escrito de
EDREAMS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis,
manifestaba que:
“PRIMERA. - EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA
NORMATIVA.
EDREAMS centraliza la gestión del ejercicio de derechos (incluido el derecho de acceso) a
través de su Formulario de Privacidad. De esta forma, se facilita a los usuarios el ejercicio
de dichos ejercicios, mediante esta herramienta de fácil acceso, enlazada en nuestro Aviso
de Privacidad y gestionada mediante un proceso definido y por un equipo formado y
dedicado a tal efecto.
El Formulario de Privacidad permite a su vez automatizar parte del proceso, con el fin de
proporcionar una mejor y más rápida respuesta.
Inicialmente, el interesado ejerce su derecho mediante el Formulario de Privacidad. Dicha
solicitud está exclusivamente condicionada a que los agentes especializados en la gestión
de éstos derechos puedan confirmar la información y se tengan suficientes garantías de que
la persona dice ser quien es y/o de que la representación de un tercero está suficientemente
acreditada (normalmente la confirmación pasa porque el cliente, que recibe un correo
electrónico de verificación, confirme en su correo electrónico personal registrado en
nuestros sistemas que ha solicitado el correspondiente derecho).
Tras dicha confirmación, se conecta con los departamentos oportunos, para ejecutar las
acciones correspondientes en base al derecho ejercido. Finalmente, una vez las acciones
necesarias han sido realizadas, se procede a dar respuesta al interesado de acuerdo a una
guía interna (en este caso, la guía del derecho de acceso).
Este proceso se realiza de acuerdo con nuestro Aviso de Privacidad y nuestra Política
interna de privacidad (ver Anexo 1 - Índice y sección aplicable de la Política interna de
privacidad), así como de los procedimientos internos; en concreto la Guía interna sobre el
ejercicio del derecho de acceso (ver Anexo 2 - Guía interna sobre el ejercicio del derecho de
acceso) y con la normativa de protección de datos:
Artículo 12 RGPD: “El responsable del tratamiento tomará las medidas oportunas para
facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/20
comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en
particular cualquier información dirigida específicamente a un niño. La información será
facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos.”
Artículo 11.1 LOPDGDD2: “Cuando los datos personales sean obtenidos del afectado el
responsable del tratamiento podrá dar cumplimiento al deber de información establecido en
el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a
la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio
que permita acceder de forma sencilla e inmediata a la restante información.”
Artículo 12.2 LOPDGDD: “2. El responsable del tratamiento estará obligado a informar al
afectado sobre los medios a su disposición para ejercer los derechos que le corresponden.
Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no
podrá ser denegado por el solo motivo de optar el afectado por otro medio.” En este sentido
queremos insistir que no denegamos el ejercicio del derecho (que además se hubiera
gestionado de ser ejercido por el Formulario de Privacidad por el equipo y proceso
dedicados a tal fin) sino que la situación de excepcionalidad y un error humano en un agente
dieron lugar a no reiterar una vez más al CLIENTE, de acuerdo con nuestro Aviso de
Privacidad, la disponibilidad del Formulario de Privacidad para el ejercicio de sus derechos.
Desarrollaremos este punto en la segunda alegación. Asimismo, estableceremos porqué y
cómo hemos mitigado el riesgo de que esto suceda de nuevo.
Comisión Europea - ¿Cómo debemos tramitar las solicitudes de las personas que ejercen
sus derechos en materia de protección de datos?: “Cuando los datos personales se tratan
con medios electrónicos, ustedes deben ofrecer medios para que las solicitudes se
presenten electrónicamente.”
AEPD - Ejerce tus derechos: “El responsable está obligado a informarte sobre los medios
para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar
este derecho por el solo motivo de que optes por otro medio”.
A mayor abundamiento, EDREAMS es consciente de que los clientes pueden ponerse en
contacto con nosotros por distintas vías con finalidades diversas. Por ello, formamos a
nuestros agentes de Atención al cliente y realizamos acciones de concienciación respecto al
ejercicio de derechos. Del mismo modo, facilitamos una guía de respuesta a la que más
adelante nos referiremos, con la finalidad que sepan detectar el ejercicio de derechos y
sepan reiterar la información ya recogida en nuestro Aviso de Privacidad, respecto al
Formulario de Privacidad como medio para ejercer los derechos.
SEGUNDA.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE
ATENCIÓN AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES.
En primer lugar, es menester confirmar que tras las investigaciones internas comprobamos
que el CLIENTE no ejerció su derecho de acuerdo con nuestro Aviso de Privacidad,
mediante nuestro Formulario de Privacidad (mencionado en la alegación primera y mediante
el cual se garantiza que un agente especializado gestione la correspondiente solicitud). En
segundo lugar, hemos analizado los buzones de correo electrónico genéricos de Atención al
cliente y hemos comprobado que recibimos una solicitud del CLIENTE.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/20
Nos hemos puesto en contacto con el equipo de Atención al cliente que nos ha informado
que el agente cerró por error manual el ticket sin haberlo gestionado adecuadamente en
base a nuestros procesos internos que garantizan la correspondiente gestión de dicha
petición, haciendo referencia a nuestro Formulario de Privacidad (como tienen indicado en el
proceso interno de gestión de derechos de protección de datos) o a escalar el ejercicio de
derecho internamente al departamento especializado que se encarga de ello. Este error
manual del agente se produce al recibir la comunicación el 5 de enero de 2021, en el que el
agente no abre ticket interno de respuesta y por ello no le indica al CLIENTE que ejerza el
derecho en el Formulario de Privacidad, como hubiera debido hacer en aquel momento.
Además, esto se produce en un contexto de situación excepcional en la cual se encontraba
EDREAMS dada la saturación sin precedentes de solicitudes en nuestros buzones de correo
electrónico de Atención al cliente que recibimos por la situación provocada por la COVID-19.
Hemos solicitado al equipo de Atención al cliente la cantidad de correos electrónicos
recibidos en nuestros buzones de correo electrónico de Atención al cliente generales y que
facilitamos con carácter confidencial a la Agencia Española de Protección de Datos: en el
mes en el que se produjo la comunicación del CLIENTE al departamento de Atención al
cliente, y debido a toda la crisis del COVID-19, tuvimos un tráfico de recepción de
comunicaciones consistente en un incremento de 450% respecto a las comunicaciones
recibidas el mismo mes del año anterior; en concreto recibimos un total de 63.837
comunicaciones en el mes de enero de 2021, siendo esta una saturación excepcional sin
precedentes.
Pese a estas circunstancias devastadoras tanto económicamente como organizativamente,
hemos intentado continuar contestando de la mejor manera posible a todas las solicitudes
de nuestros clientes, consiguiendo soporte interno de otros equipos para esta gestión y
hemos intentado salir de estos meses lo mejor posible.
En esos canales de Atención al cliente se intenta contestar lo antes posible pero no existe
ningún plazo fijo determinado de respuesta, ya que depende del filtrado de temas y la
priorización de los mismos, que se realiza de forma manual por el equipo de Atención al
cliente y que conlleva riesgos de incorrecta categorización manual a diferencia de lo que
ocurre cuando se ejercitan por el medio adecuado y proporcionado para el ejercicio de
derechos (el Formulario de Privacidad).
Y es precisamente por dicha razón que se creó un medio específico (mediante el Formulario
de Privacidad), cumpliendo con la normativa de protección de datos y con el fin de ser
capaces de ofrecer un proceso maduro y lo más garantista y transparente posible para que
los clientes ejerzan sus derechos de protección de datos.
Además, dicho proceso lo hemos automatizado con una herramienta de privacidad
especializada (***HERRAMIENTA.1), para reducir riesgos y mejorar nuestras respuestas, y
se gestiona con alertas para evitar que venzan plazos y dar respuesta a los clientes lo antes
posible y con un plazo máximo de treinta días.
Prueba de lo mismo es la gestión de la respuesta prioritaria e inmediata al ejercicio del
derecho del CLIENTE con máxima celeridad desde que tuvimos conocimiento del mismo:
fue asignado a un especialista senior para dar tratamiento a este ejercicio de derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/20
inmediatamente, realizando todas las acciones internas en nuestros sistemas, las
comprobaciones oportunas y el CLIENTE conformemente respondido.
Muy a nuestro pesar, el caso del CLIENTE no se dirigió correctamente a la información
oportuna y al Formulario de Privacidad. Las circunstancias excepcionales y el error manual
del agente, así como las medidas implementadas (que les trasladamos a continuación),
hacen que el riesgo de reproducirse este caso sea remoto.
TERCERA.- MEJORA CONTINUA DEL LA TRANSPARENCIA SOBRE EL EJERCICIO DE
DERECHOS
Aprovechamos este caso (producido por no ejercitar el derecho de forma correcta y a través
de los medios adecuados así como por un error manual del agente que no siguió nuestras
políticas y guías internas, en un contexto además de excepcionalidad) como una
oportunidad para analizar todas las causas y circunstancias de este caso, referidas
anteriormente en la segunda alegación, y que nos han permitido tomar medidas extra para
evitar que se produzcan situaciones similares.
Nos gustaría hacer hincapié en que consideramos que nuestro programa de cumplimiento
normativo en el ámbito de la privacidad y protección de datos se sustenta en el continuo
monitoreo y continua mejora y aprendizaje con el fin de aumentar los niveles de
cumplimiento normativo.
En este contexto de ejercicio de derechos, también mantenemos la misma filosofía y
tomamos muy en serio los derechos de los interesados, no solo como una acción de
cumplimiento normativo fundamental, sino porque es la mejor manera de garantizar la
confianza de nuestros clientes.
Es por ello, que disponemos de un equipo dedicado y formado específicamente, así como
un proceso interno de ejercicio de derechos de protección de datos, para garantizar la mejor
respuesta posible a nuestros clientes, mediante el Formulario de Privacidad, y los sistemas
internos de coordinación para tratar dichas peticiones de acuerdo con la normativa.
Asimismo, como esfuerzo extra para la garantía y salvaguarda del ejercicio de derechos, se
forma e indica a los agentes de Atención al cliente para que en caso de recibir cualquier
asunto de protección de datos personales, deben dirigir al cliente al Formulario de
Privacidad para que éste así pueda ejercer sus derechos.
Pese a entender que este caso se produce en las circunstancias excepcionales antes
mencionadas, y al haber recibido varios errores manuales de agentes de Atención al cliente
en canales genéricos de dicho servicio, hemos aprovechado para implementar un
Formulario de Atención al cliente, que los clientes accederán, sea vía el Centro de ayuda de
Atención al cliente, sea al enviar un correo electrónico a los buzones de correo electrónico
genéricos de Atención al cliente todavía disponibles.
Dicho formulario dispone de categorías tasadas, entre las cuales está la opción de ejercicio
de derechos que te redirige a nuestro Formulario de Privacidad (como único medio que
debe usarse para el ejercicio de cualquier derecho de los interesados a efectos de
protección de datos personales; ya que se gestiona por un equipo especializado y dedicado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/20
a tal finalidad) (ver Anexo 3 - Formulario de Atención al cliente y Anexo 4 - Centro de ayuda
y preguntas frecuentes).
De esta forma, garantizamos un procedimiento especializado y garantista, a la vez que
también redireccionamos a nuestros clientes que se pongan en contacto con nosotros por
otros medios (como son los medios de contacto generales de Atención al cliente) con el fin
de tener un sistema que permita que quien quiera ejercer sus derechos, pueda hacerlo sin
problemas y mitigando los riesgos de errores manuales de agentes de Atención al cliente.
Asimismo, formamos anualmente de forma obligatoria en materia de protección de datos y
especializada en ejercicio de derechos, incluyendo supuestos prácticos como el presente
caso, así como acciones de sensibilización por parte del equipo de Atención al cliente (ver
Anexo 5 - Artículos de sensibilización sobre el ejercicio de derechos), como por ejemplo,
cubriendo temas como “qué es un ejercicio de derechos de protección de datos” y “cómo
acompañar a los clientes para que los ejerzan vía el Formulario de Privacidad”.
Por otro lado, hemos realizado en los últimos meses una migración de la herramienta del
Formulario de Privacidad y gestión de derechos, pasando de una genérica a una
especializada en privacidad (como es ***HERRAMIENTA.1) en la cual aparte de ser
gestionada por un equipo especializado y altamente cualificado y sensibilizado en materia
de protección de datos, trabajamos en una automatización de procesos para poder ser más
ágiles y reducir riesgos de errores humanos.
Sentimos lo ocurrido en este caso excepcional. Al mismo tiempo entendemos que dadas las
circunstancias y las medidas antes descritas, EDREAMS cumple con la normativa de
protección de datos así como con las directrices de la propia AEPD (anteriormente referidas
en la primera alegación) y que el cierre del procedimiento sancionador contra EDREAMS
con un apercibimiento, conlleva una interpretación desproporcionada de máximos de la
normativa de protección de datos, en un contexto de pandemia mundial con unos efectos
nunca vividos, especialmente por la industria turística en la que ejerce su actividad dicha
empresa, así como por los esfuerzos realizados por la misma, máxime cuando hemos
mitigado que el riesgo de que vuelva a producirse casos similares a éste, con un Formulario
de Atención al cliente que guía a los clientes en el caso de que, sin haber leído o ignorando
el Aviso de Privacidad, quieran ejercer sus derechos, y puedan ser guiados conformemente
y sus derechos gestionados, mediante el Formulario de Privacidad.
Reiteramos el compromiso del equipo de EDREAMS en el trabajo incansablemente respecto
al aprendizaje y la mejora continua de nuestros procesos, con el objetivo de no solo cumplir
con la normativa, sino afianzar la confianza de nuestros clientes en nosotros. Y en este
contexto, continuaremos en el seguimiento y mejora continua de las políticas, procesos,
acciones y medidas aquí referidas.”
NOVENO: Con fecha 02/09/2022, el órgano instructor del procedimiento sancionador
formuló propuesta de resolución, en la que se propone a la Directora de la AEPD que dirija
un apercibimiento a EDREAMS, con NIF B61965778, por una infracción del artículo 15 del
RGPD, tipificada en el Artículo 83.5 del RGPD.
Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/20
de las Administraciones Públicas (LPACAP), fue recogida en fecha 02/09/2022, como consta
en el acuse de recibo que obra en el expediente.
DÉCIMO: Con fecha 16/09/2022, se recibe en esta Agencia, en tiempo y forma, escrito de
EDREAMS en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis,
manifestaba que:
“ ÚNICA.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATI-
VA.
EDREAMS se reitera en sus alegaciones previas y entiende que cumple con la
normativa en los términos descritos a continuación.
Por un lado, dispone de un canal oficial, el Formulario de Privacidad (Anexo 1 –
Formulario de Privacidad), que es transparentemente informado y puesto a dis-
posición de los interesados en nuestro Aviso de Privacidad, resultando de fácil
acceso para el interesado (Anexo 2 - Aviso de Privacidad: ejercicio de derechos).
Por el otro tiene procesos, herramientas, materiales formativos y demás medi-
das oportunas en las que se contempla que no se puede denegar el hipotético
ejercicio de derechos por el simple hecho de que se ejercite por otros canales
que no sean el canal oficial.
En esta última dirección, EDREAMS trabaja incansablemente en mejora continua
de las referidas medidas anteriormente, y que se acreditaron conformemente en
la alegación tercera de nuestra respuesta al acuerdo de inicio de procedimiento
sancionador de fecha 29 de julio de 2022 (con número de registro
O00007128e22P0006395), para que en todos sus canales de Atención al cliente
se redirija a los clientes al canal oficial y dedicado para la gestión de los mismos
(el referido Formulario de Privacidad), en el caso de que se utilizasen para el
ejercicio de derechos.
Compartimos que una organización debe tener un canal oficial que recoja un pro -
cedimiento garantista en los términos recogidos por la normativa de protección
de datos, así como unas medidas apropiadas que guíen la actuación de cualquier
empleado de la misma a informar a cualquier interesado sobre cómo ejercer sus
derechos de protección de datos. Sin embargo, una interpretación en la que se
exija el mismo grado de diligencia que debe tener el canal oficial (siempre y
cuando sea transparentemente informado en el Aviso de Privacidad) a cualquier
otro canal de la organización, conllevaría, por un lado, una sobrecarga y dedica-
ción de recursos desproporcionada de la organización y, por el otro, entendemos
que resultaría contraria al hecho de que la normativa requiera un canal oficial
para el ejercicio de derechos.
La interpretación que recogemos anteriormente se basa en el hecho de que la
norma en cuestión (el artículo 12.2 LOPDGDD) establece claramente que el res-
ponsable del tratamiento puede determinar un canal oficial, siempre y cuando
sea fácilmente accesible (como es en nuestro caso).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/20
Resulta claro que la norma ha querido ir más allá y por ello requiere a las organi-
zaciones una mayor cooperación para potenciar la eficacia de los derechos y, por
ello, se ha recogido que las organizaciones no se puedan escudar en el hecho de
que el correspondiente derecho se hubiera ejercido por otro canal del oficial,
para directamente denegarlo sin más, sin tener controles internos al respecto (en
el referido artículo 12.2 LOPDGDD).
¿Pero acaso eso significa que una organización debe tener en cualquier canal un
sistema de filtración y gestión de tickets que, no solo sea urgentísimo -debido a
la naturaleza urgente del plazo de ejercicio de derechos recogido en la normativa
de protección de datos-, pero que además sea infalible, porque en caso contrario
se abre expediente sancionador contra la organización, pese a tener medidas
apropiadas para dichos canales no especialmente dedicados el ejercicio de dere-
chos (pese a disponer de un canal oficial, que está transparentemente informado
en el Aviso de Privacidad y fácilmente accesible de acuerdo con la normativa, así
como medidas para reducir el riesgo de un posible error manual de un agente
que gestiona un canal no oficial)?
Esta parte considera desproporcionada una interpretación que conllevara una
respuesta positiva a la pregunta anterior, por lo que ruega que se reconsidere di -
cha posición interpretativa, al entender que no se puede desprender dicha con -
clusión que, en la práctica, resultaría en que no hubiera un canal oficial, sino que
cualquier canal de comunicación de la empresa pasaría a ser automáticamente
un canal oficial de ejercicio de derechos.
Si la ley hubiera pretendido tal conclusión, requiriendo el mismo nivel de diligen -
cia para cualquier canal de la organización, el redactado hubiera debido recoger
el siguiente posicionamiento: “El responsable del tratamiento estará obligado a
informar al afectado sobre el hecho de que en cualquier medio de contacto de la
organización podrá ejercer los derechos que le corresponden, así como facilitar la
lista de los mismos.”
En el caso que nos ocupa, es menester insistir en que estos canales de Atención
al cliente están destinados a finalidades de consumo, y, por lo tanto, no se puede
tener una expectativa de canal de privacidad debido a su naturaleza, y exigir el
mismo nivel de altísima diligencia que soporta un canal dedicado al ejercicio de
derechos.
Aun así, con el fin de intentar garantizar que el interesado tenga el Formulario de
Privacidad a mano incluso pese a un posible despiste excepcional de un agente
de Atención al cliente, hemos implementado una nota al pie de nuestros correos
electrónicos genéricos de Atención al cliente, en la que se vuelve a informar al
cliente, una vez más, de la existencia del Formulario de Privacidad para una ges-
tión sencilla del ejercicio de derechos y que permite la correcta verificación de la
identidad de los interesados (Anexo 3 - Nota al pie de los correos electrónicos de
Atención al cliente).
Por todo ello, esta parte considera que el precepto en cuestión requiere un deber
de diligencia razonable, pero no maximalista. Y, en esta lógica, sin perjuicio de la
posición anteriormente reconocida respecto a la interpretación del precepto en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/20
cuestión, queremos insistir en que sentimos lo ocurrido en este caso excepcional,
y reiteramos el compromiso de EDREAMS en continuar trabajando incansable-
mente en la mejora continua de sus procesos, herramientas, y formación en to-
dos sus canales de Atención al cliente para que, en el caso de que se utilizasen
para el ejercicio de derechos, se dirija a los clientes al canal especial y dedicado
para la gestión de los mismos (el referido Formulario de Privacidad).
A efectos aclaratorios finales, entendemos que en la propuesta de resolución
existe una errata en la mención al artículo 112.1 de la LPACAP (que se refiere a
la resolución final), siendo únicamente aplicable el artículo 89.2 de la LPACAP
(que se refiere a la propuesta de resolución) y, de acuerdo al mismo, presenta-
mos aquí la presente alegación.
Por todo ello, esta parte:
SOLICITA
1. Que se tenga por presentada la presente alegación en tiempo y forma.
2. Que se tenga a bien en la resolución final, teniendo en cuenta que se trata de
un error manual excepcional de incumplimiento de nuestras políticas y procedi-
mientos internos, provocado por no haber ejercido el derecho de acceso por el
canal destinado y descrito en nuestro Aviso de Privacidad (Formulario de Privaci-
dad) habiéndose dirigido a canales genéricos de Atención al cliente en los cuales
la expectativa de respuesta de ejercicio de derechos no puede ser la misma al
estar destinados a temas de consumo. Asimismo, que se tenga a bien que
EDREAMS ha actuado y actúa diligentemente en el respeto, defensa y ejercicio
de los derechos de los interesados y siempre de forma colaborativa con la AEPD
y que todo esto no se vea mermado por este caso excepcional.”
De las actuaciones practicadas en el presente procedimiento y de la documentación obrante
en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La parte reclamante, con fecha 5 de enero de 2021, envió a las direcciones
[email protected] y [email protected], sendos correos
electrónicos en los que realiza una queja sobre una compra realizada en dólares
canadienses y solicita acceso a todas las conversaciones mantenidas entre la parte
reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto de 2020,
26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020, y aporta los
siguientes datos para su identificación: nombre y apellido, fecha de nacimiento y cuatro
últimos dígitos de su tarjeta de crédito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/20
SEGUNDO: EDREAMS no facilitó a la parte reclamante el acceso a la grabación de todos
los intercambios telefónicos mantenidos con la empresa, sin que la parte reclamante
hubiese recibido ninguna contestación en el plazo de un mes.
TERCERO: Según afirma EDREAMS en sus alegaciones, la falta de atención del ejercicio
del derecho de acceso se produjo debido a que “…el agente cerró por error manual el ticket
sin haberlo gestionado adecuadamente… Este error manual del agente se produce al
recibir la comunicación el 5 de enero de 2021, en el que el agente no abre ticket
interno de respuesta”.
CUARTO: Según la búsqueda realizada en fecha 30 de diciembre de 2021, en el sitio https://
web.archive.org de los datos históricos que aparecían en la Política de privacidad del sitio
web de EDREAMS dirigido al público español (https://www.edreams.es/politica-de-
privacidad/) el día 13 de enero de 2021 y dirigido al público francés (https://www.edreams.fr/
politique-confidentialite/) el día 20 de enero de 2021, se pudo obtener la siguiente
información:
- En ambas políticas de privacidad se indica que su última actualización tuvo lugar en
junio de 2019.
- En ambas políticas de privacidad se indican dos medios para ejercer los derechos: a
través un formulario online, o a través de una dirección postal. Concretamente, en la
política de privacidad en español se indica lo siguiente: “Para poder ejercer tus
derechos, haz clic aquí o envía tu solicitud por correo postal a la siguiente dirección:
Protección de datos – Calle Bailén, 67, 08009 Barcelona, España, Unión Europea.
En tu solicitud debes indicar claramente tu identidad, especificando tu nombre
completo y la dirección de e-mail que utilizaste para realizar la compra o crear una
cuenta, y los derechos que deseas ejercer.”
FUNDAMENTOS DE DERECHO
I
Competencia y normativa aplicable
De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación
de estos datos (en adelante, RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y
68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente
para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/20
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la
realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la
recogida y conservación de, entre otros, los siguientes datos personales de personas físicas:
nombre y apellido, correo electrónico y grabaciones de las llamadas, entre otros
tratamientos.
EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD.
Además, se trata de un tratamiento transfronterizo, dado que EDREAMS está establecida en
España, si bien presta servicio a otros países de la Unión Europea.
El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de control
principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del
establecimiento principal o del único establecimiento del responsable o del encargado del
tratamiento será competente para actuar como autoridad de control principal para el
tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo
al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto,
EDREAMS tiene su establecimiento único en España, por lo que la Agencia Española de
Protección de Datos es la competente para actuar como autoridad de control principal.
Por su parte, el derecho de acceso a los datos personales se regula en el artículo 15 del
RGPD.
III
Alegaciones aducidas
En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento
sancionador, se procede a dar respuesta a las mismas según el orden expuesto por
EDREAMS:
1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA.
La existencia de un “Formulario de Privacidad”, mediante el cual EDREAMS centraliza la
gestión del ejercicio de derechos, no debe impedir que una solicitud de ejercicio de derechos
en materia de protección de datos de carácter personal deba ser atendida cuando se
presente por otros medios. Tal y como la propia EDREAMS recoge en sus alegaciones, el
artículo 12.2 de la LOPDGDD dispone que: “El responsable del tratamiento estará obligado
a informar al afectado sobre los medios a su disposición para ejercer los derechos que le
corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio
del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/20
La actuación negligente del empleado en la atención a la solicitud del ejercicio del derecho
de acceso no exime de responsabilidad a EDREMAS. La responsabilidad de la empresa en
el ámbito sancionador por la actuación negligente de un empleado que suponga el
incumplimiento de la normativa de protección de datos ha sido confirmada por la
jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del
Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de
2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que
fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto
encargado de la correcta utilización de las medidas de seguridad que deberían haber
garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya
sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado
del tratamiento responde también por la actuación de sus empleados y no puede excusarse
en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la
actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad
existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador
por actos "propios" de sus empleados o cargos, no de terceros.”
Continua la sentencia argumentando acerca de la de la responsabilidad de las personas
jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en
nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las
que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se
plasma en estos casos de manera distinta a como sucede respecto de las personas físicas,
de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC
STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la
reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en
consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha
norma".
2.- EDREAMS REALIZA ESFUERZOS EXTRA EN CANALES GENÉRICOS DE ATENCIÓN
AL CLIENTE CON EL FIN DE DAR EL MEJOR SERVICIO A SUS CLIENTES.
Las medidas adoptadas por EDREAMS en orden a procurar el debido cumplimiento por
parte de sus empleados de la normativa de protección de datos, sin desvirtuar su
responsabilidad en los hechos, junto con la rápida atención al ejercicio del derecho de
acceso con motivo del requerimiento de información realizado por esta Agencia, han sido
tenidas en cuenta a efectos de decidir el poder correctivo a aplicar, considerando el
apercibimiento como más adecuado que la multa.
3.-MEJORA CONTINUA DE LA TRANSPARENCIA SOBRE EL EJERCICIO DE
DERECHOS
Tal y como se ha expuesto en contestación a la anterior alegación, las medidas adoptadas
por EDREAMS para facilitar el ejercicio de derechos en materia de protección de datos, sin
desvirtuar la responsabilidad derivada de la comisión de la infracción, han sido tenidas en
cuenta a efectos de decidir el poder correctivo a aplicar, considerando el apercibimiento
como más adecuado que la multa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/20
Formulada propuesta de resolución por el instructor del presente procedimiento, en el
trámite de audiencia al interesado se presentan alegaciones por parte de EDREAMS
reiterando sus alegaciones previas. Cabe señalar que la necesidad de que las solicitudes de
ejercicio del derecho de acceso a los datos personales no se circunscriban a las peticiones
realizadas a través de un canal determinado, es un criterio compartido con el Comité
Europeo de Protección de Datos (en adelante, CEPD), el cual, en cumplimiento del objetivo
de garantizar la aplicación coherente del Reglamento General de Protección de Datos
(según le atribuye el artículo 70 del RGPD), se encuentra elaborando unas orientaciones
para proporcionar una base clara y transparente sobre el ejercicio del derecho de acceso
(Directrices 01/2022 sobre los derechos de los interesados- el derecho de acceso)
“Guidelines 01/2022 on data subject rights - Right of access”.
En el apartado 3.1.2 (párrafos 52 a 57) de la versión sometida a consulta pública de las
citadas Directrices
(https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-
access_0.pdf), se expresa lo siguiente acerca de los requisitos de la solicitud del ejercicio
del derecho de acceso (traducción no oficial):
“52. Como se señaló anteriormente, el RGPD no impone ningún requisito a los interesados
en relación con el formulario de la solicitud de acceso a los datos personales. Por lo tanto,
en principio no hay requisitos el RGPD que los interesados deben observar al elegir un
canal de comunicación a través del cual entran en contacto con el responsable.
53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de
comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado
2, y el artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante,
si el interesado realiza una solicitud a través de un canal de comunicación proporcionado
por el responsable que es diferente del indicado como preferible, la solicitud se considerará,
en general, eficaz y el responsable del tratamiento deberá tramitar dicha solicitud. En
consecuencia, los responsables del tratamiento deben llevar a cabo todos los esfuerzos
razonables para asegurarse de que se facilita el ejercicio de los derechos del interesado
(por ejemplo, en caso de que el interesado envíe los datos la solicitud a un empleado que
está de permiso, un mensaje automático informando al interesado sobre un canal de
comunicación alternativo para su solicitud podría ser un esfuerzo razonable).
54. Cabe señalar que el responsable del tratamiento no está obligado a actuar en respuesta
a una solicitud enviada al azar o dirección de correo electrónico incorrecta (o postal), no
proporcionada directamente por el responsable, o a cualquier canal de comunicación que es
evidente que no está destinado a recibir solicitudes relativas a los derechos del interesado,
si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado,
que pueda ser utilizado por el interesado.
55. El responsable del tratamiento tampoco está obligado a responder a una solicitud
enviada a la dirección de correo electrónico de sus empleados que no pueden participar en
el tratamiento de solicitudes relativas a los derechos de los interesados (p. ej.conductores,
personal de limpieza, etc.). Dichas solicitudes no se considerarán eficaces, si el responsable
del tratamiento ha proporcionado claramente al interesado el canal de comunicación
adecuado. Sin embargo, si el interesado envía una solicitud al empleado del responsable
que se ocupa de los asuntos del interesado a diario (contacto único de un cliente, como, por
ejemplo, administrador de cuentas personales), dicho contacto no debe ser considerado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/20
como aleatorio y el responsable debe hacer todos los esfuerzos razonables, para tramitar
dicha solicitud de manera que pueda ser redirigida al punto de contacto y responder dentro
de los plazos establecidos para por el GDPR.
56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del
tratamiento introduzcan, en la medida de lo posible, mecanismos para mejorar la
comunicación interna entre los empleados en las solicitudes recibidas por aquellos que
puedan no ser competente para atender tales solicitudes, con el fin de facilitar el ejercicio de
los derechos de los interesados.
57. La fecha de recepción de la solicitud por parte del responsable del tratamiento activa,
por regla general, el plazo de un mes para que el responsable del tratamiento facilite
información sobre las medidas adoptadas en respuesta a una solicitud, de conformidad con
el artículo 12, apartado 3 del RGPD. El CEPD considera como buenas prácticas de los
responsables del tratamiento confirmar la recepción de las solicitudes por escrito, por
ejemplo, enviando correos electrónicos (o información por correo, si fuese aplicable) a las
personas solicitantes, que confirmen que sus solicitudes han sido recibidas y que el período
de un mes va desde el día X hasta el día Y”.
Estos criterios determinan una interpretación amplia en cuanto a la aceptación de las
solicitudes del ejercicio del derecho de acceso dirigidas por un interesado al responsable del
tratamiento. Con carácter general, la solicitud del ejercicio del derecho de acceso a los datos
personales debe ser considerada eficaz, por lo que los responsables del tratamiento deben
hacer todos los esfuerzos razonables para asegurar que se facilita el ejercicio de los
derechos de los interesados. La parte reclamante envió la solicitud a dos correos
electrónicos que pertenecen a EDREAMS, concretamente a su servicio de atención al
cliente. Este servicio no puede entenderse excluido de la obligación de la atención de las
solicitudes de ejercicio de derechos que formulen los clientes de EDREAMS, ya sea
directamente o mediante traslado a la unidad correspondiente. Según el apartado 55 de la
Guía 01/2022, el responsable del tratamiento no está obligado a responder a una solicitud,
enviada a la dirección de correo electrónico de sus empleados, que no pueden participar en
el tratamiento de solicitudes relativas a los derechos de los interesados, como conductores o
servicio de limpieza. Sin embargo, un departamento cuya actividad es la atención al público,
como es el servicio de atención al cliente de EDREAMS, que realiza funciones que
conllevan el tratamiento de datos personales de los ciudadanos, no puede verse excluido de
la obligación de atender a las solicitudes de sus clientes en el ejercicio del derecho de
acceso a sus datos personales. De este modo, la propia EDREAMS, según explica en su
alegación SEGUNDA, tiene procesos internos para que el equipo de atención al cliente
gestione las solicitudes de ejercicio de derechos en materia de protección de datos, que no
se aplicaron a la solicitud realizada por la parte reclamante: “…Nos hemos puesto en
contacto con el equipo de Atención al cliente que nos ha informado que el agente cerró por
error manual el ticket sin haberlo gestionado adecuadamente en base a nuestros procesos
internos que garantizan la correspondiente gestión de dicha petición, haciendo referencia a
nuestro Formulario de Privacidad (como tienen indicado en el proceso interno de gestión de
derechos de protección de datos) o a escalar el ejercicio de derecho internamente al
departamento especializado que se encarga de ello.”
En el presente caso, a pesar de las medidas a que hace referencia EDREAMS, la falta de
respuesta al ejercicio del derecho de acceso por la parte reclamante en el plazo de un mes a
partir de la recepción de la solicitud ha quedado acreditada en el presente procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/20
Estas alegaciones no desvirtúan ninguno de los hechos probados, habiendo sido tenidas en
consideración a los efectos de valorar las circunstancias concurrentes en la comisión de la
infracción.
Por todo lo expuesto, se desestiman todas las alegaciones.
IV
Derecho de acceso
El artículo 15 “Derecho de acceso del interesado” del RGPD establece:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de
si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de
acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o
serán comunicados los datos personales, en particular destinatarios en terceros
países u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no
ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de
datos personales o la limitación del tratamiento de datos personales relativos al
interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una organización
internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en
virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el
interesado un canon razonable basado en los costes administrativos. Cuando el interesado
presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de
otro modo, la información se facilitará en un formato electrónico de uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los
derechos y libertades de otros”.
En el presente caso, consta que la parte reclamante envió un correo electrónico a las
direcciones [email protected] y [email protected], con
fecha 5 de enero de 2021, en el que realiza una queja sobre una compra realizada en
dólares canadienses y, a su vez, solicita acceso a todas las conversaciones mantenidas
entre el reclamante y el servicio de atención al cliente de EDREAMS los días 14 de agosto
de 2020, 26 de octubre de 2020, 17 de noviembre de 2020 y 28 de diciembre de 2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/20
EDREAMS solo dio respuesta a esta solicitud una vez recibido el requerimiento de
información de esta Agencia.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento de
resolución de procedimiento sancionador, se considera que los hechos conocidos son
constitutivos de una infracción, imputable a EDREAMS, por vulneración del artículo 15 del
RGPD.
V
Tipificación de la infracción del artículo 15 del RGPD
La citada infracción del artículo 15 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6
del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la
LOPDGDD indica:
“Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente
formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento
(UE) 2016/679 y, en particular, las siguientes:
(…)
c) No atender las solicitudes de ejercicio de los derechos establecidos en los
artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo
dispuesto en el artículo 72.1.k) de esta ley orgánica. (…)”
VI
Sanción por la infracción del artículo 15 del RGPD
Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el
apartado 2.b) del artículo 58 “Poderes” lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados
a continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/20
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando
las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento; (…)”
Por su parte, el considerando 148 del RGPD indica:
“En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una
carga desproporcionada para una persona física, en lugar de sanción mediante multa puede
imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza,
gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para
paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción
anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la
infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la
adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.”
De conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve
a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que no
consta en esta Agencia que se hubieran resuelto procedimientos por infracciones similares
de EDREAMS en el año anterior a los hechos, a que la parte reclamante envió la solicitud a
las direcciones de correo electrónico de atención al cliente en vez de a la indicada en la
política de privacidad o a través del formulario a tal efecto y a que la solicitud de acceso en
cuestión fue atendida diligentemente una vez recibido el requerimiento de información de
esta Agencia, todo lo cual permite considerar una disminución de la culpa en los hechos, por
lo que se considera conforme a Derecho, no imponer sanción consistente en multa
administrativa y sustituirla por dirigir un apercibimiento a EDREAMS.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación
de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR un apercibimiento a VACACIONES EDREAMS, S.L., con NIF
B61965778, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del
RGPD.
SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.
De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta
resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo
de Protección de Datos.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/20
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-120722
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es