1/5
Procedimiento Nº: PS/00402/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 14 de junio de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A.
OPERADORA UNIPERSONAL con NIF A85850394 (en adelante, la parte reclamada).
Los motivos en que basa la reclamación son que habiendo sido cliente con una tarjeta
de fidelización de Iberia (Iberia Plus), solicitó la baja en el programa de fidelización y la
cancelación de sus datos personales con esa compañía.
Posteriormente, recibió por escrito la confirmación de la baja y de la
cancelación de sus datos. Sin embargo, siguió recibiendo mensajes de correo
electrónicos. Ante estos hechos, presentó reclamación ante esta Agencia en agosto de
2018, de la cual se derivó el procedimiento sancionador PS/00370/2018.
Así las cosas, ha vuelto a recibir correos electrónicos de la parte reclamada a la
misma dirección de correo en los que claramente se ve que esta compañía no ha
cancelado sus datos y sigue figurando como vinculado al programa de fidelización
Iberia Plus.
Se aporta, entre otras, la siguiente documentación:
- Copia del correo electrónico recibido en su buzón. En él se informa de que
se puede autenticar en su espacio personal de Iberia Plus no solo con su
número de Iberia Plus, sino con su email y contraseña.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento
(UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD).
Como resultado de las actuaciones de investigación practicadas, se constata
que el responsable del tratamiento es el reclamado.
Asimismo, se constatan los siguientes extremos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/5
1.- A raíz de la consulta efectuada a la aplicación de la AEPD que gestiona
antecedentes de sanciones y apercibimientos precedentes en materia de protección
de datos, que a la IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA
UNIPERSONAL con NIF A85850394, consta que con fecha 1 de agosto de 2018 tuvo
entrada en la Agencia Española de Protección de Datos otra reclamación dirigida
contra la parte reclamada, en la que el reclamante manifestaba que continuaba
recibiendo comunicaciones comerciales de IBERIA con posterioridad a que dicha
entidad le confirmase, con fecha 20 de octubre de 2017, la cancelación de sus datos
personales en contestación a su solicitud, de fecha 3 de octubre de 2017, de baja de
la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales.
Dichos hechos, dieron lugar al procedimiento sancionador PS/00370/2018.
2.- La parte reclamada, manifiesta en contestación a la presente
reclamación: “A pesar de que se le dio de baja al reclamante del programa Iberia Plus
en fecha 09/10/2017, con motivo de un nuevo cambio implementado a nivel
corporativo para dotar de más seguridad el acceso al área privada de los clientes en el
portal web, se envió una comunicación masiva con los requisitos para el nuevo acceso
a las cuentas y las acciones que debía llevar a cabo cada usuario. Sin embargo, en el
momento del diseño del "mailing" para el envío de comunicación, que se lleva a cabo
de forma manual, por un error involuntario se incluyó erróneamente el correo
electrónico de este antiguo miembro del programa”.
Afirman que: “tras el análisis del caso, han creado un nuevo proyecto para
revisar los procesos de bajas de todas las comunicaciones comerciales de la
compañía, y van a incorporar listas de exclusión y automatizar su aplicación, para
evitar posibles errores humanos en la realización de los procesos manuales de
confección de lista de distribución. Lo van a acompañar de un proceso de formación a
las personas encargadas de seleccionar el público objetivo”.
TERCERO: Con fecha 19 de noviembre de 2019, la directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a IBERIA LÍNEAS AÉREAS DE
ESPAÑA, S.A. OPERADORA UNIPERSONAL, con NIF A85850394, por la presunta
infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5 a) del citado RGPD”.
optándose en cuanto a sanción que pudiera corresponder a la de 20.000 euros (veinte
mil euros), siendo notificado el 21 de noviembre de 2019.
CUARTO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes hechos probados:
1.- A raíz de la consulta efectuada a la aplicación de la AEPD que gestiona
antecedentes de sanciones y apercibimientos precedentes en materia de protección
de datos, que a la IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA
UNIPERSONAL con NIF A85850394, consta que con fecha 1 de agosto de 2018 tuvo
entrada en la Agencia Española de Protección de Datos otra reclamación dirigida
contra la parte reclamada, en la que el reclamante manifestaba que continuaba
recibiendo comunicaciones comerciales de IBERIA con posterioridad a que dicha
entidad le confirmase, con fecha 20 de octubre de 2017, la cancelación de sus datos
personales en contestación a su solicitud, de fecha 3 de octubre de 2017, de baja de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/5
la “Tarjeta de Fidelización Iberia Plus” y de cancelación de sus datos personales.
Dichos hechos, dieron lugar al procedimiento sancionador PS/00370/2018.
2.- La parte reclamada, manifiesta en contestación a la presente
reclamación: “A pesar de que se le dio de baja al reclamante del programa Iberia Plus
en fecha 09/10/2017, con motivo de un nuevo cambio implementado a nivel
corporativo para dotar de más seguridad el acceso al área privada de los clientes en el
portal web, se envió una comunicación masiva con los requisitos para el nuevo acceso
a las cuentas y las acciones que debía llevar a cabo cada usuario. Sin embargo, en el
momento del diseño del "mailing" para el envío de comunicación, que se lleva a cabo
de forma manual, por un error involuntario se incluyó erróneamente el correo
electrónico de este antiguo miembro del programa”.
Afirman que: “tras el análisis del caso, han creado un nuevo proyecto para
revisar los procesos de bajas de todas las comunicaciones comerciales de la
compañía, y van a incorporar listas de exclusión y automatizar su aplicación, para
evitar posibles errores humanos en la realización de los procesos manuales de
confección de lista de distribución. Lo van a acompañar de un proceso de formación a
las personas encargadas de seleccionar el público objetivo”.
El reclamado no ha presentado alegaciones al acuerdo de inicio del presente
procedimiento.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
En el supuesto presente, a partir de la reclamación y documentación presentada,
se constata que, el reclamante ha seguido recibiendo correos electrónicos de la parte
reclamada. Tal como reconoce ésta, en su contestación al traslado de la reclamación.
En consecuencia, dado que en el caso que nos ocupa se observa reincidencia por
comisión de infracciones de la misma naturaleza, dado que el reclamante siguió
recibiendo correos electrónicos procedentes de la aparte reclamada, incluso después
de ser emitida la resolución del procedimiento sancionador PS/00370/2018.
Por lo tanto, los hechos conocidos son constitutivos de una infracción, imputable
al reclamado, por vulneración del artículo 6.1, del RGPD, que establece que: “de
conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se
entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/5
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
Por su parte, el apartado b) del artículo 72.1, de la LOPDGDD tipifican como
“muy grave”, el: “el tratamiento de los datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del RGPD”.
III
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
De acuerdo con los preceptos indicados a efectos de fijar el importe de la
sanción a imponer en el presente caso, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:
Como criterios agravantes:
- La intencionalidad o negligencia en la infracción (apartado b).
- Por otras infracciones anteriores cometidas por el responsable o el encargado
del tratamiento (apartado e).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD,
con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite
fijar una sanción de 20.000 euros (veinte mil euros), tipificada como “muy grave”, a
efectos de prescripción de la misma, en el artículo 72.1.b) de la LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA
UNIPERSONAL, con NIF A85850394, por una infracción del Artículo 6.1 del RGPD,
tipificada en el Artículo 83.5 del RGPD, una multa de 20.000 € (veinte mil euros).
SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE
ESPAÑA, S.A. OPERADORA UNIPERSONAL.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/5
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario,
se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es