1/14
Expediente N.º: PS/00443/2021
IMI Reference: A56ID 149531- Case Register 163850
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de julio de 2019
interpuso reclamación ante la autoridad de protección de datos de Francia
(Commission Nationale de l’Informatique et des Libertès). La reclamación se dirige
contra VACACIONES EDREAMS, S.L., con NIF B61965778 (en adelante, EDREAMS).
Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que adquirió unos billetes de avión en la página web
***URL.1. Tras detectar un error en su nombre se puso en contacto con el servicio de
atención al cliente para que rectificaran dicho error. Esta modificación motivó que le
hicieran un cargo adicional en el billete de 50 euros. Considera que el responsable no
estaría cumpliendo con las disposiciones del art. 12.5 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos (RGPD) en cuanto a la gratuidad de la actuación realizada en
virtud del artículo 16 de este Reglamento.
Además, señala la parte reclamante que en la confirmación de la reserva del 7 de
marzo de 2019, a pesar de haber realizado el cargo adicional de 50 euros, el nombre
aún aparece mal escrito.
Junto con la reclamación aporta:
- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1 a
***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto “Su reserva está
confirmada (Referencia ***REFERENCIA.1” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original)
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “A.A.A.”.
- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a
***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto “Su reserva está confirmada
(Referencia ***REFERENCIA.1” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original)
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “A.A.A.”.
- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a
***EMAIL.2, en fecha 4 de abril de 2019, con el asunto “Su reserva está confirmada
(Referencia ***REFERENCIA.2” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
Referencia de reserva GoVoyages: ***REFERENCIA.2 (…)” (en francés en el original).
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “A.A.A.”.
- Copia de una factura de GOVOYAGES a nombre de A.A.A., de fecha 11 de febrero
de 2019, en la que figura un cargo de 50 euros por un “Servicio suplementario de
vuelo”, número de Dossier ***REFERENCIA.1.
SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del
Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la
cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información se transmitió la citada reclamación el día 14
de septiembre de 2020 y se le dio fecha de registro de entrada en la Agencia Española
de Protección de Datos (AEPD) el 16 de septiembre de 2020. El traslado de esta
reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56
del RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es
competente para actuar como autoridad de control principal, dado que EDREAMS
tiene su sede social y establecimiento único en España.
Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de
conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de
“autoridad de control interesada”, además de la autoridad francesa de protección de
datos, la autoridad de Italia, esta última en virtud del artículo 4.22 del RGPD, dado que
los interesados que residen en dicho Estado miembro es probable que se vean
sustancialmente afectados por el tratamiento objeto del presente procedimiento.
TERCERO: Con fecha 10 de diciembre de 2020, de conformidad con el artículo 64.3
de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación
presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
1. Respecto al procedimiento establecido por EDREAMS para atender los derechos de
rectificación de datos personales de sus clientes de ***URL.2
Los representantes de EDREAMS manifiestan que los derechos de rectificación de
datos personales, así como los de cualquier otro derecho de datos personales, se
centralizan desde el Formulario de Privacidad. De esta forma, se facilita a los usuarios
el ejercicio de dichos ejercicios, mediante esta herramienta de fácil acceso y enlazada
con la Política de Privacidad.
Este formulario permite a su vez automatizar parte del proceso, en el que se abre un
ticket de XXXXXXXX (exclusivamente condicionado a que los agentes especializados
en la gestión de dichos derechos puedan confirmar la información y se tengan
suficientes garantías de que la persona dice ser quien es y/o que la representación de
un tercero está suficientemente acreditada), y, posteriormente, se conecta con los
departamentos oportunos, según el derecho ejercido.
Una vez las acciones oportunas han sido realizadas, se procede a dar respuesta al
interesado de acuerdo siguiendo una guía interna. En este caso, aplica la guía del
derecho de rectificación.
Asimismo, los clientes pueden ejercer sus derechos por cualquier vía que consideren
oportuna, como la parte reclamante la realizó vía telefónica con su equipo de atención
al cliente.
Los agentes de atención telefónica disponen de una política interna que deben seguir
en caso de que se solicite el ejercicio de cualquier derecho de datos personales, en los
términos descritos anteriormente.
2. Respecto a la cuota establecida para atender dicha rectificación de datos
El derecho de rectificación de datos, así como cualquier otro derecho recogido en la
normativa de protección de datos personales, es gratuito.
3. Respecto del procedimiento establecido para corregir errores en el nombre del pa-
sajero en un billete adquirido por medio de ***URL.2 indicando la tarifa que debe abo-
nar el cliente
El cliente puede principalmente rellenar el Formulario de Privacidad o llamar al servicio
de atención al cliente. El departamento que centraliza la gestión de derechos
contactará, caso por caso, con los departamentos titulares de los sistemas donde se
encuentren los datos y procederá a realizar la acción oportuna. En este caso, la
corrección de un error en el nombre del pasajero de un billete, el cambio se realizará
en nuestros sistemas, así como en el de la compañía aérea correspondiente, de
acuerdo a los términos y condiciones de la misma. No hay ninguna tarifa asociada
para proceder a dicha corrección de errores en el nombre del pasajero por parte de
EDREAMS.
4. Respecto de si se considera rectificación de datos a la corrección de un error en el
nombre que figura en billetes adquiridos por medio de ***URL.2
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
De acuerdo con las políticas internas de EDREAMS, la corrección de un error en el
nombre que figura en billetes adquiridos en sus páginas webs, en los términos
acontecidos en el caso de la parte reclamante, se considera un ámbito dentro del
contenido del derecho de rectificación.
Cualquier cambio que no suponga el cambio de un pasajero por otro, deberá
entenderse como un ejercicio de derecho de rectificación y, por ende, deberá ser
tratado gratuitamente.
Ejemplos de ello, y que se recogen en la política interna, son: el error tipográfico
(como, por ejemplo, XXXXX, por XXXXX), la inversión entre nombre y apellido
(XXXXX, por XXXXX), o el cambio de apellidos de soltera/o a casada/o, o viceversa
(especialmente comunes en ciertos países, como Francia o Reino Unido).
5. En relación a si consta en la entidad el ejercicio de derecho de rectificación de datos
de la parte reclamante y motivo por el que se le ha facturado un cargo de 50 €
Tras las investigaciones internas, se ha comprobado que efectivamente el 14 de
marzo de 2020 se le cobró por error 50 euros a la parte reclamante.
EDREAMS ha procedido a solicitar a la parte reclamante sus datos bancarios para
subsanar la equivocación manual provocada por el agente al gestionar la solicitud y,
de esta manera, proceder a realizarle la transferencia por importe de 15 euros.
Desafortunadamente, XXXXX, al igual que la mayoría de compañías aéreas, impone
cargos relativos a cualquier cambio de nombre. En esta ocasión, los costes de dicho
cambio son de 35 euros.
Por otro lado, el 21 de enero de 2021 (día posterior a la recepción de la notificación del
requerimiento de esta Agencia), han aprovechado este error para comunicar tanto al
agente que gestionó la solicitud de la parte reclamante, como al resto de agentes, la
política al respecto de corrección de errores en los nombres.
QUINTO: Con fecha 10 de diciembre de 2021, la Directora de la AEPD adoptó un
proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso
establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del
sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas
que tenían cuatro semanas desde ese momento para formular objeciones pertinentes
y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no
presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera
que todas las autoridades de control están de acuerdo con dicho proyecto de decisión
y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del
artículo 60 del RGPD.
Este proyecto de decisión, que se notificó a EDREAMS conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 10 de
diciembre de 2021, como consta en el acuse de recibo que obra en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
SEXTO: Con fecha 21 de abril de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS a fin de
dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la
LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo
83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para
presentar alegaciones.
Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas
establecidas en la LPACAP, fue recogido en fecha 21 de abril de 2022, como consta
en el acuse de recibo que obra en el expediente.
SÉPTIMO: Con fecha 5 de mayo de 2022, se recibe en esta Agencia, en tiempo y
forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el
que, en síntesis, manifestaba que:
1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA
EDREAMS centraliza la gestión del ejercicio de derechos (incluido el derecho de
rectificación) a través de su Formulario de Privacidad.
El Formulario de Privacidad permite a su vez automatizar parte del proceso, en el que
se abre un caso en la herramienta de gestión interna. Dicha solicitud está
exclusivamente condicionada a que los agentes especializados en la gestión de estos
derechos puedan confirmar la información y se tengan suficientes garantías de que la
persona dice ser quien es y/o de que la representación de un tercero está
suficientemente acreditada (normalmente la confirmación pasa por que el cliente, que
recibe un email de verificación, confirme en su email personal registrado en nuestros
sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, se
conecta con los departamentos oportunos, según el derecho ejercido. Finalmente, una
vez las acciones necesarias han sido realizadas, se procede a dar respuesta al
interesado de acuerdo a una guía interna. En este caso, aplica la guía interna del
derecho de rectificación.
Todo ello de acuerdo con su Aviso de Privacidad y su Política interna de privacidad,
así como de los procedimientos internos; en concreto la Guía interna sobre el ejercicio
del derecho de rectificación.
Asimismo, se realizan acciones de formación y sensibilización por parte del equipo de
Atención al cliente.
Los clientes que contacten al servicio de Atención al cliente, y que quieran ejercer un
derecho de protección de datos, se les informa del Formulario de Privacidad, y si lo
necesitan, se les envía un correo electrónico con el enlace al mismo para que soliciten
sus derechos y así el equipo especializado pueda gestionar su petición.
2.- EJERCICIO DEL DERECHO DE RECTIFICACIÓN EN EDREAMS DE ACUERDO
CON LA NORMATIVA
En cualquier caso, el derecho de rectificación de datos, así como cualquier otro
derecho recogido en la normativa de protección de datos personales, es gratuito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
Para corregir el nombre del pasajero, el cliente puede principalmente rellenar el
Formulario de Privacidad o llamar al servicio de Atención al cliente.
En ningún caso hay ninguna tarifa asociada para proceder a dicha corrección de
errores en el nombre del pasajero por parte de EDREAMS.
3.- ERROR MANUAL DEL AGENTE Y CONTEXTO PARTICULAR DE EDREAMS
Tras las investigaciones internas se comprobó que, efectivamente, el 14 de marzo de
2020 el agente de EDREAMS cobró por error a la parte reclamante.
Confundió la compañía aérea y, según las notas que tenemos del agente relativas a la
llamada, el agente no dejó claro a la parte reclamante que el coste no era un coste de
EDREAMS sino de la aerolínea. En cuanto se detectó el error manual del agente, se
revisó la política de nuevo y se pusieron todas las medidas oportunas para evitar que
se reprodujera de nuevo (entre otras, se envió una comunicación interna a todos los
agentes recordando la política interna). Asimismo, se procedió a contactar a Sr.
A.A.A. para que facilitara los datos bancarios para realizar el correspondiente
reembolso y se le abonara, no sólo el cargo de 50 euros, sino el viaje entero en
concepto de compensación. Por todo ello, considera EDREAMS haber actuado
diligentemente al respecto.
El 21 de enero de 2021 (día posterior a la recepción de la notificación del
requerimiento de esta Agencia), el equipo de Atención al cliente aprovechó este error
para comunicar tanto al agente que gestionó la solicitud de la parte reclamante, como
al resto de agentes, la política al respecto de corrección de errores en los nombres.
Asimismo, desde entonces, los agentes han tenido la formación anual de protección
de datos (realizada entre los meses de septiembre y diciembre de 2021) en el que uno
de los casos prácticos es la corrección de errores en el nombre de pasajeros; y la
revisión anual de las políticas internas, así como varias comunicaciones recurrentes
recordando la mencionada corrección.
EDREAMS, en el contexto de su rol de agencia de viajes que ofrece servicios
internacionales, sufre una variedad de políticas de aerolíneas con términos y
condiciones muy variados, que llevaron al agente, junto a su descuido, a dicho error
manual.
La parte reclamante realizó una reserva de un vuelo de XXXXX en una de las páginas
webs de EDREAMS con una errata en su nombre.
EDREAMS, como agencia de viajes, reservó en nombre de la parte reclamante el
vuelo, en los sistemas de XXXXX, con los datos facilitados por el mismo. Dicho
tratamiento se realiza dentro de la base legitimadora de ejecución del contrato de
acuerdo con el artículo 6.1.b del RGPD.
En este caso, los roles, relaciones contractuales y responsabilidades se resumen a
continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
1. EDREAMS actúa como agente, como intermediario, en representación del
cliente, y dentro de su ámbito de gestión y sistemas, es el responsable del
tratamiento de datos personales, ya que determina los medios y finalidades de
acuerdo con el contrato de agente.
2. XXXXX actúa como transportista aéreo y determina los medios y finalidades
en dicho ámbito, por lo que es responsable del tratamiento en el marco del
contrato de transporte aéreo.
EDREAMS informa a sus clientes de dichos roles, relaciones contractuales y
responsabilidades, en su página web.
Mientras que la subsanación en los sistemas de EDREAMS se gestiona de acuerdo
con el artículo 16 del RGPD, la subsanación en los sistemas de la compañía aérea (en
este caso de XXXXX) se gestiona cuando se puede y es gratuita según los Términos y
Condiciones de la aerolínea. Cuando EDREAMS no puede subsanar directamente en
los sistemas de la compañía aérea, EDREAMS notifica a la aerolínea de acuerdo con
el artículo 19 del RGPD.
En todo caso, EDREAMS no puede garantizar ni se le puede responsabilizar de la
subsanación en los sistemas informáticos utilizados por las compañías aéreas, ya que
se rigen por sus propios Términos y Condiciones, y actúan como responsable del
tratamiento de datos personales.
De las cientos de aerolíneas que los clientes pueden contratar mediante los servicios
de agente de viajes de EDREAMS, existe una disparidad en cuanto a la corrección del
nombre de pasajeros. En muchas ocasiones, se encuentran con la negativa de las
compañías aéreas de corregir errores en el nombre o solicitan un coste de gestión.
Desafortunadamente, la mayoría de las compañías aéreas solicitan una tasa o coste
ante una solicitud de cambio de los datos del titular del pasajero.
Cuando tiene que lidiar con compañías aéreas que bloquean la corrección del nombre,
EDREAMS insiste en la aplicación de la normativa de protección de datos, en defensa
de sus clientes.
EDREAMS lamenta lo ocurrido en este caso excepcional, pero entiende que no se
debe reproducir. Afirma que trabaja incansablemente en la mejora de sus procesos,
con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de sus
clientes en nosotros. Por ello, continuará en el seguimiento y mejora continua de las
políticas, procesos, acciones y medidas aquí referidas.
OCTAVO: Con fecha 19 de agosto de 2022, el órgano instructor del procedimiento
sancionador formuló propuesta de resolución, en la que propone que por la Directora
de la AEPD se dirija un apercibimiento a VACACIONES EDREAMS, S.L., con NIF
B61965778, por una infracción del artículo 12 del RGPD, tipificada en el artículo 83.5
del RGPD.
Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 22 de
agosto de 2022, como consta en el acuse de recibo que obra en el expediente.
NOVENO: Notificada la citada propuesta de resolución conforme a las normas
establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de
alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de
EDREAMS.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes:
HECHOS PROBADOS
PRIMERO: El 11 de febrero de 2019 se envió un correo electrónico desde la dirección
no-***EMAIL.1 a ***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto “Su
reserva está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original)
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “A.A.A.”.
SEGUNDO: El 11 de febrero de 2019 GOVOYAGES emite una factura a nombre de
A.A.A., en la que figura un cargo de 50 euros por un “Servicio suplementario de
vuelo”, número de Dossier ***REFERENCIA.1.
TERCERO: El 7 de marzo de 2019 se envió un correo electrónico desde la dirección
no-***EMAIL.1 a ***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto “Su reserva
está confirmada (Referencia ***REFERENCIA.1” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
Referencia de reserva GoVoyages: ***REFERENCIA.1 (…)” (en francés en el original)
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “XXXXXXXXX”.
CUARTO: El 4 de abril de 2019 se envió un correo electrónico desde la dirección no-
***EMAIL.1a ***EMAIL.2, en fecha 4 de abril de 2019, con el asunto “Su reserva está
confirmada (Referencia ***REFERENCIA.2” y el siguiente texto:
“Ya puede partir.
Reserva confirmada
Referencia de reserva GoVoyages: ***REFERENCIA.2 (…)” (en francés en el original).
En este correo se adjunta la reserva de un itinerario de viaje en el que figura como
pasajero “A.A.A.”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
QUINTO: El derecho de rectificación de datos ejercitado ante EDREAMS, así como
cualquier otro derecho recogido en la normativa de protección de datos personales, es
gratuito.
En el presente caso, la corrección de un error en el nombre del pasajero de un billete,
el cambio se realizará en los sistemas de EDREAMS, así como en el de la compañía
aérea correspondiente, de acuerdo a los términos y condiciones de la misma. No hay
ninguna tarifa asociada para proceder a dicha corrección de errores en el nombre del
pasajero por parte de EDREAMS.
SEXTO: XXXXX impone cargos relativos a cualquier cambio de nombre. En el
presente caso, los costes de dicho cambio fueron de 35 euros.
SÉPTIMO: El 14 de marzo de 2020 el agente de EDREAMS cobró el cambio en el
nombre a la parte reclamante y no dejó claro a la parte reclamante que el coste no era
un coste de EDREAMS sino de la aerolínea.
OCTAVO: En cuanto se detectó esta circunstancia, se revisó la política de nuevo y el
21 de enero de 2021 se envió una comunicación interna a todos los agentes
recordando la política interna de corrección de errores en los nombres.
Asimismo, los agentes han tenido la formación anual de protección de datos (realizada
entre los meses de septiembre y diciembre de 2021) en el que uno de los casos
prácticos es la corrección de errores en el nombre de pasajeros; y la revisión anual de
las políticas internas, así como varias comunicaciones recurrentes recordando la
mencionada corrección.
NOVENO: EDREAMS ha procedido a solicitar a la parte reclamante sus datos banca-
rios para realizar el correspondiente reembolso y abonarle, no sólo el cargo de 50 eu-
ros, sino el viaje entero en concepto de compensación.
FUNDAMENTOS DE DERECHO
I
Competencia y normativa aplicable
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza
la recogida de, entre otros datos personales de personas físicas, nombre y apellido y
correo electrónico, entre otros tratamientos.
EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD. Además, se trata de un tratamiento es transfronterizo, dado que EDREAMS
está establecida en España, si bien presta servicio a otros países de la Unión
Europea.
El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de
control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de
control del establecimiento principal o del único establecimiento del responsable o del
encargado del tratamiento será competente para actuar como autoridad de control
principal para el tratamiento transfronterizo realizado por parte de dicho responsable o
encargado con arreglo al procedimiento establecido en el artículo 60. En el caso
examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en
España, por lo que la Agencia Española de Protección de Datos es la competente para
actuar como autoridad de control principal.
Por su parte, el derecho de rectificación de los datos personales se regula en el
artículo 16 del RGPD y las modalidades de ejercicio de los derechos de los
interesados se detallan en el artículo 12 del RGPD.
III
Alegaciones aducidas al acuerdo de inicio
En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, EDREAMS alega que tras las investigaciones internas se
comprobó que, efectivamente, el 14 de marzo de 2020 el agente de EDREAMS cobró
por error a la parte reclamante.
Alega que este agente confundió la compañía aérea y no dejó claro a la parte
reclamante que el coste no era un coste de EDREAMS sino de la aerolínea.
Pero que en cuanto se detectó el error manual del agente, se revisó la política de
nuevo y se envió una comunicación interna a todos los agentes recordando la política
interna. Asimismo, se procedió a contactar a Sr. A.A.A. para que facilitara los datos
bancarios para realizar el correspondiente reembolso y se le abonara, no sólo el cargo
de 50 euros, sino el viaje entero en concepto de compensación. Por todo ello,
considera EDREAMS haber actuado diligentemente al respecto.
También se alega que, desde entonces, los agentes han tenido la formación anual de
protección de datos (realizada entre los meses de septiembre y diciembre de 2021) en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
el que uno de los casos prácticos es la corrección de errores en el nombre de
pasajeros; y la revisión anual de las políticas internas, así como varias comunicaciones
recurrentes recordando la mencionada corrección.
Al respecto, esta Agencia desea señalar que valora positivamente las medidas
adoptadas por EDREAMS para evitar que el error que tuvo lugar en el presente caso
no vuelva a reproducirse y que se le compense a la parte reclamante por el cobro
indebido.
No obstante, resulta innegable que, con independencia de la política de las aerolíneas
respecto al cambio de nombre de los pasajeros, EDREAMS le cobró a la parte
reclamante un cargo por haber rectificado lo que la empresa misma reconoce como
errata.
Es cierto que no puede imputarse a EDREAMS responsabilidad por el cobro que
realizan en este sentido las aerolíneas en cuestión (en el presente caso, XXXXX), pero
en el presente caso lo cierto es que parte de ese abono correspondía a las gestiones
realizadas por EDREAMS, tal y como la empresa reconoce. Y que, además, no se
había informado debidamente a la parte reclamante del desglose de tal cobro.
Por todo lo expuesto, se desestima la presente alegación.
IV
Derecho de rectificación
El artículo 16 “Derecho de rectificación” del RGPD establece:
“El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la rectificación de los datos personales inexactos que le conciernan.
Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se
completen los datos personales que sean incompletos, inclusive mediante una
declaración adicional”.
En el presente caso, consta que la parte reclamante había realizado una compra de
billetes a través de la página web de EDREAMS y, al recibirlos, comprobó que había
una errata en su nombre, por lo que solicitó a EDREAMS que se corrigiera tal error,
ejercitando debidamente su derecho de rectificación de sus datos personales.
V
Modalidades de ejercicio de los derechos del interesado
El artículo 12 “Transparencia de la información, comunicación y modalidades de
ejercicio de los derechos del interesado” del RGPD, en su apartado 5, establece:
“5. La información facilitada en virtud de los artículos 13 y 14 así como toda
comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34
serán a título gratuito.
Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente
debido a su carácter repetitivo, el responsable del tratamiento podrá:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
a) cobrar un canon razonable en función de los costes administrativos
afrontados para facilitar la información o la comunicación o realizar la actuación
solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter
manifiestamente infundado o excesivo de la solicitud”.
En el presente caso, consta que se le cobraron 50€ a la parte reclamante por subsanar
una errata en su nombre, sin que se hubiera acreditado que tal solicitud hubiera sido
manifiestamente infundada o excesiva.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
son constitutivos de una infracción, imputable a EDREAMS, por vulneración del
artículo 12 del RGPD.
VI
Tipificación de la infracción del artículo 12 del RGPD
De confirmarse, la citada infracción del artículo 12 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
j) La exigencia del pago de un canon para facilitar al afectado la información a la
que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por
atender las solicitudes de ejercicio de derechos de los afectados previstos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
los artículos 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos
establecidos en su artículo 12.5. (…)”
VII
Sanción por la infracción del artículo 12 del RGPD
Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone
en el apartado 2.b) del artículo 58 “Poderes” lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el
presente Reglamento; (…)”
Por su parte, el considerando 148 del RGPD indica:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
De conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que la infracción en cuestión
es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso,
atendiendo a que no constan antecedentes en esta Agencia de EDREAMS por haber
cobrado al interesado al ejercitar su derecho de rectificación y a que, ni bien tuvo
conocimiento de la reclamación, EDREAMS procedió a devolver el importe cobrado
por la rectificación del nombre a la parte reclamante así como el resto del billete a
modo de compensación y adoptó medidas para evitar que un incidente de este tipo
pudiera volver a producirse, se puede considerar una disminución de la culpa en los
hechos, por lo que se considera conforme a Derecho no imponer sanción consistente
en multa administrativa y sustituirla por dirigir un apercibimiento a EDREAMS.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR a VACACIONES EDREAMS, S.L., con NIF B61965778, por una
infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD, un
apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-120722
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es