Resolución de la Agencia Española de Protección de Datos PS-00443-2021 de 28 de febrero de 2023

Cuestión

Expediente N.º: PS/00443/2021

IMI Reference: A56ID 149531- Case Register 163850

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : A.A.A. (en adelante, la parte...

Contestacion

1/14

? Expediente N.º: PS/00443/2021

IMI Reference: A56ID 149531- Case Register 163850

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de julio de 2019

interpuso reclamación ante la autoridad de protección de datos de Francia

(Commission Nationale de l?Informatique et des Libertès). La reclamación se dirige

contra VACACIONES EDREAMS, S.L., con NIF B61965778 (en adelante, EDREAMS).

Los motivos en que basa la reclamación son los siguientes:

La parte reclamante manifiesta que adquirió unos billetes de avión en la página web

***URL.1. Tras detectar un error en su nombre se puso en contacto con el servicio de

atención al cliente para que rectificaran dicho error. Esta modificación motivó que le

hicieran un cargo adicional en el billete de 50 euros. Considera que el responsable no

estaría cumpliendo con las disposiciones del art. 12.5 del Reglamento (UE) 2016/679

del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección

de las personas físicas en lo que respecta al tratamiento de datos personales y a la

libre circulación de estos (RGPD) en cuanto a la gratuidad de la actuación realizada en

virtud del artículo 16 de este Reglamento.

Además, señala la parte reclamante que en la confirmación de la reserva del 7 de

marzo de 2019, a pesar de haber realizado el cargo adicional de 50 euros, el nombre

aún aparece mal escrito.

Junto con la reclamación aporta:

- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1 a

***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto ?Su reserva está

confirmada (Referencia ***REFERENCIA.1? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

Referencia de reserva GoVoyages: ***REFERENCIA.1 (?)? (en francés en el original)

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?A.A.A.?.

- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a

***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto ?Su reserva está confirmada

(Referencia ***REFERENCIA.1? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/14

Referencia de reserva GoVoyages: ***REFERENCIA.1 (?)? (en francés en el original)

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?A.A.A.?.

- Captura de correo electrónico enviado desde la dirección no-***EMAIL.1a

***EMAIL.2, en fecha 4 de abril de 2019, con el asunto ?Su reserva está confirmada

(Referencia ***REFERENCIA.2? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

Referencia de reserva GoVoyages: ***REFERENCIA.2 (?)? (en francés en el original).

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?A.A.A.?.

- Copia de una factura de GOVOYAGES a nombre de A.A.A., de fecha 11 de febrero

de 2019, en la que figura un cargo de 50 euros por un ?Servicio suplementario de

vuelo?, número de Dossier ***REFERENCIA.1.

SEGUNDO: A través del ?Sistema de Información del Mercado Interior? (en lo sucesivo

IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del

Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la

cooperación administrativa transfronteriza, la asistencia mutua entre los Estados

miembros y el intercambio de información se transmitió la citada reclamación el día 14

de septiembre de 2020 y se le dio fecha de registro de entrada en la Agencia Española

de Protección de Datos (AEPD) el 16 de septiembre de 2020. El traslado de esta

reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56

del RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es

competente para actuar como autoridad de control principal, dado que EDREAMS

tiene su sede social y establecimiento único en España.

Los tratamientos de datos que se llevan a cabo afectan a interesados en varios

Estados miembros. Según las informaciones incorporadas al Sistema IMI, de

conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de

?autoridad de control interesada?, además de la autoridad francesa de protección de

datos, la autoridad de Italia, esta última en virtud del artículo 4.22 del RGPD, dado que

los interesados que residen en dicho Estado miembro es probable que se vean

sustancialmente afectados por el tratamiento objeto del presente procedimiento.

TERCERO: Con fecha 10 de diciembre de 2020, de conformidad con el artículo 64.3

de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y

garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación

presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización

de actuaciones previas de investigación para el esclarecimiento de los hechos en

cuestión, en virtud de las funciones asignadas a las autoridades de control en el

artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)

2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de

conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la

LOPDGDD, teniendo conocimiento de los siguientes extremos:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/14

1. Respecto al procedimiento establecido por EDREAMS para atender los derechos de

rectificación de datos personales de sus clientes de ***URL.2

Los representantes de EDREAMS manifiestan que los derechos de rectificación de

datos personales, así como los de cualquier otro derecho de datos personales, se

centralizan desde el Formulario de Privacidad. De esta forma, se facilita a los usuarios

el ejercicio de dichos ejercicios, mediante esta herramienta de fácil acceso y enlazada

con la Política de Privacidad.

Este formulario permite a su vez automatizar parte del proceso, en el que se abre un

ticket de XXXXXXXX (exclusivamente condicionado a que los agentes especializados

en la gestión de dichos derechos puedan confirmar la información y se tengan

suficientes garantías de que la persona dice ser quien es y/o que la representación de

un tercero está suficientemente acreditada), y, posteriormente, se conecta con los

departamentos oportunos, según el derecho ejercido.

Una vez las acciones oportunas han sido realizadas, se procede a dar respuesta al

interesado de acuerdo siguiendo una guía interna. En este caso, aplica la guía del

derecho de rectificación.

Asimismo, los clientes pueden ejercer sus derechos por cualquier vía que consideren

oportuna, como la parte reclamante la realizó vía telefónica con su equipo de atención

al cliente.

Los agentes de atención telefónica disponen de una política interna que deben seguir

en caso de que se solicite el ejercicio de cualquier derecho de datos personales, en los

términos descritos anteriormente.

2. Respecto a la cuota establecida para atender dicha rectificación de datos

El derecho de rectificación de datos, así como cualquier otro derecho recogido en la

normativa de protección de datos personales, es gratuito.

3. Respecto del procedimiento establecido para corregir errores en el nombre del pasajero

en un billete adquirido por medio de ***URL.2 indicando la tarifa que debe abo -

nar el cliente

El cliente puede principalmente rellenar el Formulario de Privacidad o llamar al servicio

de atención al cliente. El departamento que centraliza la gestión de derechos

contactará, caso por caso, con los departamentos titulares de los sistemas donde se

encuentren los datos y procederá a realizar la acción oportuna. En este caso, la

corrección de un error en el nombre del pasajero de un billete, el cambio se realizará

en nuestros sistemas, así como en el de la compañía aérea correspondiente, de

acuerdo a los términos y condiciones de la misma. No hay ninguna tarifa asociada

para proceder a dicha corrección de errores en el nombre del pasajero por parte de

EDREAMS.

4. Respecto de si se considera rectificación de datos a la corrección de un error en el

nombre que figura en billetes adquiridos por medio de ***URL.2

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/14

De acuerdo con las políticas internas de EDREAMS, la corrección de un error en el

nombre que figura en billetes adquiridos en sus páginas webs, en los términos

acontecidos en el caso de la parte reclamante, se considera un ámbito dentro del

contenido del derecho de rectificación.

Cualquier cambio que no suponga el cambio de un pasajero por otro, deberá

entenderse como un ejercicio de derecho de rectificación y, por ende, deberá ser

tratado gratuitamente.

Ejemplos de ello, y que se recogen en la política interna, son: el error tipográfico

(como, por ejemplo, XXXXX, por XXXXX), la inversión entre nombre y apellido

(XXXXX, por XXXXX), o el cambio de apellidos de soltera/o a casada/o, o viceversa

(especialmente comunes en ciertos países, como Francia o Reino Unido).

5. En relación a si consta en la entidad el ejercicio de derecho de rectificación de datos

de la parte reclamante y motivo por el que se le ha facturado un cargo de 50 ?

Tras las investigaciones internas, se ha comprobado que efectivamente el 14 de

marzo de 2020 se le cobró por error 50 euros a la parte reclamante.

EDREAMS ha procedido a solicitar a la parte reclamante sus datos bancarios para

subsanar la equivocación manual provocada por el agente al gestionar la solicitud y,

de esta manera, proceder a realizarle la transferencia por importe de 15 euros.

Desafortunadamente, XXXXX, al igual que la mayoría de compañías aéreas, impone

cargos relativos a cualquier cambio de nombre. En esta ocasión, los costes de dicho

cambio son de 35 euros.

Por otro lado, el 21 de enero de 2021 (día posterior a la recepción de la notificación del

requerimiento de esta Agencia), han aprovechado este error para comunicar tanto al

agente que gestionó la solicitud de la parte reclamante, como al resto de agentes, la

política al respecto de corrección de errores en los nombres.

QUINTO: Con fecha 10 de diciembre de 2021, la Directora de la AEPD adoptó un

proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso

establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del

sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas

que tenían cuatro semanas desde ese momento para formular objeciones pertinentes

y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no

presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera

que todas las autoridades de control están de acuerdo con dicho proyecto de decisión

y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del

artículo 60 del RGPD.

Este proyecto de decisión, que se notificó a EDREAMS conforme a las normas

establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 10 de

diciembre de 2021, como consta en el acuse de recibo que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/14

SEXTO: Con fecha 21 de abril de 2022, la Directora de la Agencia Española de

Protección de Datos acordó iniciar procedimiento sancionador a EDREAMS a fin de

dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la

LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo

83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para

presentar alegaciones.

Este acuerdo de inicio, que se notificó a EDREAMS conforme a las normas

establecidas en la LPACAP, fue recogido en fecha 21 de abril de 2022, como consta

en el acuse de recibo que obra en el expediente.

SÉPTIMO: Con fecha 5 de mayo de 2022, se recibe en esta Agencia, en tiempo y

forma, escrito de EDREAMS en el que aduce alegaciones al acuerdo de inicio en el

que, en síntesis, manifestaba que:

1.- EJERCICIO DE DERECHOS EN EDREAMS DE ACUERDO CON LA NORMATIVA

EDREAMS centraliza la gestión del ejercicio de derechos (incluido el derecho de

rectificación) a través de su Formulario de Privacidad.

El Formulario de Privacidad permite a su vez automatizar parte del proceso, en el que

se abre un caso en la herramienta de gestión interna. Dicha solicitud está

exclusivamente condicionada a que los agentes especializados en la gestión de estos

derechos puedan confirmar la información y se tengan suficientes garantías de que la

persona dice ser quien es y/o de que la representación de un tercero está

suficientemente acreditada (normalmente la confirmación pasa por que el cliente, que

recibe un email de verificación, confirme en su email personal registrado en nuestros

sistemas que ha solicitado el correspondiente derecho). Tras dicha confirmación, se

conecta con los departamentos oportunos, según el derecho ejercido. Finalmente, una

vez las acciones necesarias han sido realizadas, se procede a dar respuesta al

interesado de acuerdo a una guía interna. En este caso, aplica la guía interna del

derecho de rectificación.

Todo ello de acuerdo con su Aviso de Privacidad y su Política interna de privacidad,

así como de los procedimientos internos; en concreto la Guía interna sobre el ejercicio

del derecho de rectificación.

Asimismo, se realizan acciones de formación y sensibilización por parte del equipo de

Atención al cliente.

Los clientes que contacten al servicio de Atención al cliente, y que quieran ejercer un

derecho de protección de datos, se les informa del Formulario de Privacidad, y si lo

necesitan, se les envía un correo electrónico con el enlace al mismo para que soliciten

sus derechos y así el equipo especializado pueda gestionar su petición.

2.- EJERCICIO DEL DERECHO DE RECTIFICACIÓN EN EDREAMS DE ACUERDO

CON LA NORMATIVA

En cualquier caso, el derecho de rectificación de datos, así como cualquier otro

derecho recogido en la normativa de protección de datos personales, es gratuito.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/14

Para corregir el nombre del pasajero, el cliente puede principalmente rellenar el

Formulario de Privacidad o llamar al servicio de Atención al cliente.

En ningún caso hay ninguna tarifa asociada para proceder a dicha corrección de

errores en el nombre del pasajero por parte de EDREAMS.

3.- ERROR MANUAL DEL AGENTE Y CONTEXTO PARTICULAR DE EDREAMS

Tras las investigaciones internas se comprobó que, efectivamente, el 14 de marzo de

2020 el agente de EDREAMS cobró por error a la parte reclamante.

Confundió la compañía aérea y, según las notas que tenemos del agente relativas a la

llamada, el agente no dejó claro a la parte reclamante que el coste no era un coste de

EDREAMS sino de la aerolínea. En cuanto se detectó el error manual del agente, se

revisó la política de nuevo y se pusieron todas las medidas oportunas para evitar que

se reprodujera de nuevo (entre otras, se envió una comunicación interna a todos los

agentes recordando la política interna). Asimismo, se procedió a contactar a Sr.

A.A.A. para que facilitara los datos bancarios para realizar el correspondiente

reembolso y se le abonara, no sólo el cargo de 50 euros, sino el viaje entero en

concepto de compensación. Por todo ello, considera EDREAMS haber actuado

diligentemente al respecto.

El 21 de enero de 2021 (día posterior a la recepción de la notificación del

requerimiento de esta Agencia), el equipo de Atención al cliente aprovechó este error

para comunicar tanto al agente que gestionó la solicitud de la parte reclamante, como

al resto de agentes, la política al respecto de corrección de errores en los nombres.

Asimismo, desde entonces, los agentes han tenido la formación anual de protección

de datos (realizada entre los meses de septiembre y diciembre de 2021) en el que uno

de los casos prácticos es la corrección de errores en el nombre de pasajeros; y la

revisión anual de las políticas internas, así como varias comunicaciones recurrentes

recordando la mencionada corrección.

EDREAMS, en el contexto de su rol de agencia de viajes que ofrece servicios

internacionales, sufre una variedad de políticas de aerolíneas con términos y

condiciones muy variados, que llevaron al agente, junto a su descuido, a dicho error

manual.

La parte reclamante realizó una reserva de un vuelo de XXXXX en una de las páginas

webs de EDREAMS con una errata en su nombre.

EDREAMS, como agencia de viajes, reservó en nombre de la parte reclamante el

vuelo, en los sistemas de XXXXX, con los datos facilitados por el mismo. Dicho

tratamiento se realiza dentro de la base legitimadora de ejecución del contrato de

acuerdo con el artículo 6.1.b del RGPD.

En este caso, los roles, relaciones contractuales y responsabilidades se resumen a

continuación:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/14

1. EDREAMS actúa como agente, como intermediario, en representación del

cliente, y dentro de su ámbito de gestión y sistemas, es el responsable del

tratamiento de datos personales, ya que determina los medios y finalidades de

acuerdo con el contrato de agente.

2. XXXXX actúa como transportista aéreo y determina los medios y finalidades

en dicho ámbito, por lo que es responsable del tratamiento en el marco del

contrato de transporte aéreo.

EDREAMS informa a sus clientes de dichos roles, relaciones contractuales y

responsabilidades, en su página web.

Mientras que la subsanación en los sistemas de EDREAMS se gestiona de acuerdo

con el artículo 16 del RGPD, la subsanación en los sistemas de la compañía aérea (en

este caso de XXXXX) se gestiona cuando se puede y es gratuita según los Términos y

Condiciones de la aerolínea. Cuando EDREAMS no puede subsanar directamente en

los sistemas de la compañía aérea, EDREAMS notifica a la aerolínea de acuerdo con

el artículo 19 del RGPD.

En todo caso, EDREAMS no puede garantizar ni se le puede responsabilizar de la

subsanación en los sistemas informáticos utilizados por las compañías aéreas, ya que

se rigen por sus propios Términos y Condiciones, y actúan como responsable del

tratamiento de datos personales.

De las cientos de aerolíneas que los clientes pueden contratar mediante los servicios

de agente de viajes de EDREAMS, existe una disparidad en cuanto a la corrección del

nombre de pasajeros. En muchas ocasiones, se encuentran con la negativa de las

compañías aéreas de corregir errores en el nombre o solicitan un coste de gestión.

Desafortunadamente, la mayoría de las compañías aéreas solicitan una tasa o coste

ante una solicitud de cambio de los datos del titular del pasajero.

Cuando tiene que lidiar con compañías aéreas que bloquean la corrección del nombre,

EDREAMS insiste en la aplicación de la normativa de protección de datos, en defensa

de sus clientes.

EDREAMS lamenta lo ocurrido en este caso excepcional, pero entiende que no se

debe reproducir. Afirma que trabaja incansablemente en la mejora de sus procesos,

con el objetivo de no solo cumplir con la normativa, sino afianzar la confianza de sus

clientes en nosotros. Por ello, continuará en el seguimiento y mejora continua de las

políticas, procesos, acciones y medidas aquí referidas.

OCTAVO: Con fecha 19 de agosto de 2022, el órgano instructor del procedimiento

sancionador formuló propuesta de resolución, en la que propone que por la Directora

de la AEPD se dirija un apercibimiento a VACACIONES EDREAMS, S.L., con NIF

B61965778, por una infracción del artículo 12 del RGPD, tipificada en el artículo 83.5

del RGPD.

Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas

establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/14

Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 22 de

agosto de 2022, como consta en el acuse de recibo que obra en el expediente.

NOVENO: Notificada la citada propuesta de resolución conforme a las normas

establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de

alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de

EDREAMS.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos

en el presente procedimiento se consideran hechos probados los siguientes:

HECHOS PROBADOS

PRIMERO: El 11 de febrero de 2019 se envió un correo electrónico desde la dirección

no-***EMAIL.1 a ***EMAIL.2, en fecha 11 de febrero de 2019, con el asunto ?Su

reserva está confirmada (Referencia ***REFERENCIA.1? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

Referencia de reserva GoVoyages: ***REFERENCIA.1 (?)? (en francés en el original)

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?A.A.A.?.

SEGUNDO: El 11 de febrero de 2019 GOVOYAGES emite una factura a nombre de

A.A.A., en la que figura un cargo de 50 euros por un ?Servicio suplementario de

vuelo?, número de Dossier ***REFERENCIA.1.

TERCERO: El 7 de marzo de 2019 se envió un correo electrónico desde la dirección

no-***EMAIL.1 a ***EMAIL.2, en fecha 7 de marzo de 2019, con el asunto ?Su reserva

está confirmada (Referencia ***REFERENCIA.1? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

Referencia de reserva GoVoyages: ***REFERENCIA.1 (?)? (en francés en el original)

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?XXXXXXXXX?.

CUARTO: El 4 de abril de 2019 se envió un correo electrónico desde la dirección no-

***EMAIL.1a ***EMAIL.2, en fecha 4 de abril de 2019, con el asunto ?Su reserva está

confirmada (Referencia ***REFERENCIA.2? y el siguiente texto:

?Ya puede partir.

Reserva confirmada

Referencia de reserva GoVoyages: ***REFERENCIA.2 (?)? (en francés en el original).

En este correo se adjunta la reserva de un itinerario de viaje en el que figura como

pasajero ?A.A.A.?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/14

QUINTO: El derecho de rectificación de datos ejercitado ante EDREAMS, así como

cualquier otro derecho recogido en la normativa de protección de datos personales, es

gratuito.

En el presente caso, la corrección de un error en el nombre del pasajero de un billete,

el cambio se realizará en los sistemas de EDREAMS, así como en el de la compañía

aérea correspondiente, de acuerdo a los términos y condiciones de la misma. No hay

ninguna tarifa asociada para proceder a dicha corrección de errores en el nombre del

pasajero por parte de EDREAMS.

SEXTO: XXXXX impone cargos relativos a cualquier cambio de nombre. En el

presente caso, los costes de dicho cambio fueron de 35 euros.

SÉPTIMO: El 14 de marzo de 2020 el agente de EDREAMS cobró el cambio en el

nombre a la parte reclamante y no dejó claro a la parte reclamante que el coste no era

un coste de EDREAMS sino de la aerolínea.

OCTAVO: En cuanto se detectó esta circunstancia, se revisó la política de nuevo y el

21 de enero de 2021 se envió una comunicación interna a todos los agentes

recordando la política interna de corrección de errores en los nombres.

Asimismo, los agentes han tenido la formación anual de protección de datos (realizada

entre los meses de septiembre y diciembre de 2021) en el que uno de los casos

prácticos es la corrección de errores en el nombre de pasajeros; y la revisión anual de

las políticas internas, así como varias comunicaciones recurrentes recordando la

mencionada corrección.

NOVENO: EDREAMS ha procedido a solicitar a la parte reclamante sus datos bancarios

para realizar el correspondiente reembolso y abonarle, no sólo el cargo de 50 euros

, sino el viaje entero en concepto de compensación.

FUNDAMENTOS DE DERECHO

I

Competencia y normativa aplicable

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679

(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada

autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley

Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de

los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver

este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: ?Los procedimientos

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter

subsidiario, por las normas generales sobre los procedimientos administrativos.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/14

II

Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta

la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza

la recogida de, entre otros datos personales de personas físicas, nombre y apellido y

correo electrónico, entre otros tratamientos.

EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado

que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del

RGPD. Además, se trata de un tratamiento es transfronterizo, dado que EDREAMS

está establecida en España, si bien presta servicio a otros países de la Unión

Europea.

El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,

previstos en su artículo 4.23), en relación con la competencia de la autoridad de

control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de

control del establecimiento principal o del único establecimiento del responsable o del

encargado del tratamiento será competente para actuar como autoridad de control

principal para el tratamiento transfronterizo realizado por parte de dicho responsable o

encargado con arreglo al procedimiento establecido en el artículo 60. En el caso

examinado, como se ha expuesto, EDREAMS tiene su establecimiento único en

España, por lo que la Agencia Española de Protección de Datos es la competente para

actuar como autoridad de control principal.

Por su parte, el derecho de rectificación de los datos personales se regula en el

artículo 16 del RGPD y las modalidades de ejercicio de los derechos de los

interesados se detallan en el artículo 12 del RGPD.

III

Alegaciones aducidas al acuerdo de inicio

En relación con las alegaciones aducidas al acuerdo de inicio del presente

procedimiento sancionador, EDREAMS alega que tras las investigaciones internas se

comprobó que, efectivamente, el 14 de marzo de 2020 el agente de EDREAMS cobró

por error a la parte reclamante.

Alega que este agente confundió la compañía aérea y no dejó claro a la parte

reclamante que el coste no era un coste de EDREAMS sino de la aerolínea.

Pero que en cuanto se detectó el error manual del agente, se revisó la política de

nuevo y se envió una comunicación interna a todos los agentes recordando la política

interna. Asimismo, se procedió a contactar a Sr. A.A.A. para que facilitara los datos

bancarios para realizar el correspondiente reembolso y se le abonara, no sólo el cargo

de 50 euros, sino el viaje entero en concepto de compensación. Por todo ello,

considera EDREAMS haber actuado diligentemente al respecto.

También se alega que, desde entonces, los agentes han tenido la formación anual de

protección de datos (realizada entre los meses de septiembre y diciembre de 2021) en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/14

el que uno de los casos prácticos es la corrección de errores en el nombre de

pasajeros; y la revisión anual de las políticas internas, así como varias comunicaciones

recurrentes recordando la mencionada corrección.

Al respecto, esta Agencia desea señalar que valora positivamente las medidas

adoptadas por EDREAMS para evitar que el error que tuvo lugar en el presente caso

no vuelva a reproducirse y que se le compense a la parte reclamante por el cobro

indebido.

No obstante, resulta innegable que, con independencia de la política de las aerolíneas

respecto al cambio de nombre de los pasajeros, EDREAMS le cobró a la parte

reclamante un cargo por haber rectificado lo que la empresa misma reconoce como

errata.

Es cierto que no puede imputarse a EDREAMS responsabilidad por el cobro que

realizan en este sentido las aerolíneas en cuestión (en el presente caso, XXXXX), pero

en el presente caso lo cierto es que parte de ese abono correspondía a las gestiones

realizadas por EDREAMS, tal y como la empresa reconoce. Y que, además, no se

había informado debidamente a la parte reclamante del desglose de tal cobro.

Por todo lo expuesto, se desestima la presente alegación.

IV

Derecho de rectificación

El artículo 16 ?Derecho de rectificación? del RGPD establece:

?El interesado tendrá derecho a obtener sin dilación indebida del responsable del

tratamiento la rectificación de los datos personales inexactos que le conciernan.

Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se

completen los datos personales que sean incompletos, inclusive mediante una

declaración adicional?.

En el presente caso, consta que la parte reclamante había realizado una compra de

billetes a través de la página web de EDREAMS y, al recibirlos, comprobó que había

una errata en su nombre, por lo que solicitó a EDREAMS que se corrigiera tal error,

ejercitando debidamente su derecho de rectificación de sus datos personales.

V

Modalidades de ejercicio de los derechos del interesado

El artículo 12 ?Transparencia de la información, comunicación y modalidades de

ejercicio de los derechos del interesado? del RGPD, en su apartado 5, establece:

?5. La información facilitada en virtud de los artículos 13 y 14 así como toda

comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34

serán a título gratuito.

Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente

debido a su carácter repetitivo, el responsable del tratamiento podrá:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/14

a) cobrar un canon razonable en función de los costes administrativos

afrontados para facilitar la información o la comunicación o realizar la actuación

solicitada, o

b) negarse a actuar respecto de la solicitud.

El responsable del tratamiento soportará la carga de demostrar el carácter

manifiestamente infundado o excesivo de la solicitud?.

En el presente caso, consta que se le cobraron 50? a la parte reclamante por subsanar

una errata en su nombre, sin que se hubiera acreditado que tal solicitud hubiera sido

manifiestamente infundada o excesiva.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento

de resolución de procedimiento sancionador, se considera que los hechos conocidos

son constitutivos de una infracción, imputable a EDREAMS, por vulneración del

artículo 12 del RGPD.

VI

Tipificación de la infracción del artículo 12 del RGPD

De confirmarse, la citada infracción del artículo 12 del RGPD podría suponer la

comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la

rúbrica ?Condiciones generales para la imposición de multas administrativas? dispone:

?Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el

apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,

tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del

volumen de negocio total anual global del ejercicio financiero anterior, optándose por

la de mayor cuantía:

(?)

b) los derechos de los interesados a tenor de los artículos 12 a 22; (?)?

A este respecto, la LOPDGDD, en su artículo 71 ?Infracciones? establece que:

?Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,

5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten

contrarias a la presente ley orgánica?.

A efectos del plazo de prescripción, el artículo 72 ?Infracciones consideradas muy

graves? de la LOPDGDD indica:

?1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se

consideran muy graves y prescribirán a los tres años las infracciones que supongan

una vulneración sustancial de los artículos mencionados en aquel y, en particular, las

siguientes:

(?)

j) La exigencia del pago de un canon para facilitar al afectado la información a la

que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por

atender las solicitudes de ejercicio de derechos de los afectados previstos en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/14

los artículos 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos

establecidos en su artículo 12.5. (?)?

VII

Sanción por la infracción del artículo 12 del RGPD

Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone

en el apartado 2.b) del artículo 58 ?Poderes? lo siguiente:

?Cada autoridad de control dispondrá de todos los siguientes poderes correctivos

indicados a continuación:

(?)

b) dirigir a todo responsable o encargado del tratamiento un apercibimiento

cuando las operaciones de tratamiento hayan infringido lo dispuesto en el

presente Reglamento; (?)?

Por su parte, el considerando 148 del RGPD indica:

?En caso de infracción leve, o si la multa que probablemente se impusiera

constituyese una carga desproporcionada para una persona física, en lugar de

sanción mediante multa puede imponerse un apercibimiento. Debe no obstante

prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su

carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,

al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en

que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento

de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de

conducta y a cualquier otra circunstancia agravante o atenuante.?

De conformidad con las evidencias de que se dispone en el presente momento de

resolución de procedimiento sancionador, se considera que la infracción en cuestión

es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso,

atendiendo a que no constan antecedentes en esta Agencia de EDREAMS por haber

cobrado al interesado al ejercitar su derecho de rectificación y a que, ni bien tuvo

conocimiento de la reclamación, EDREAMS procedió a devolver el importe cobrado

por la rectificación del nombre a la parte reclamante así como el resto del billete a

modo de compensación y adoptó medidas para evitar que un incidente de este tipo

pudiera volver a producirse, se puede considerar una disminución de la culpa en los

hechos, por lo que se considera conforme a Derecho no imponer sanción consistente

en multa administrativa y sustituirla por dirigir un apercibimiento a EDREAMS.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DIRIGIR a VACACIONES EDREAMS, S.L., con NIF B61965778, por una

infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD, un

apercibimiento.

SEGUNDO: NOTIFICAR la presente resolución a VACACIONES EDREAMS, S.L.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/14

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la

documentación que acredite la interposición efectiva del recurso contenciosoadministrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la

notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-120722

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es