Las agencias de viajes y el RGPD

El artículo 4 del Reglamento General de Protección de Datos 2016/679 define al responsable de tratamiento como: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

El Reglamento define de forma clara la figura del Responsable, pero tiene dos matices que resultan de especial interés a la luz del Informe del Grupo de Trabajo del artículo 29 de la Comisión Europea 1/2010. Los dos matices son: “solo o junto con otros” y “determine los fines y medios”.

En primer lugar, “solo o junto con otros”, implica que el Responsable del tratamiento pueda actuar de forma conjunta con otro Responsable. En aquellos casos en los que trabajen una pluralidad de actores, éstos pueden tener un nivel diferente de responsabilidad, pueden trabajar en cadena en la que cada actor es independiente y no comparten fines y medios o, al contrario, aun trabajando en cadena pueden compartir, por ejemplo, una infraestructura de trabajo. Para saber cuál es la forma correcta de interpretar el Reglamento, se debe atender a cada caso concreto y analizar la forma en la que cada uno “determine los fines y medios”.

En el caso de las agencias de viaje, el Informe del Grupo de Trabajo del artículo 29 de la Comisión Europea 1/2010, resulta bastante ejemplificador, pues concretamente trata este supuesto.

El citado Informe explica la relación entre una agencia de viajes, una aerolínea y un hotel. Los actores tratan los mismos datos pero con fines y medios individuales, la agencia para hacer la reserva, la aerolínea para el vuelo y el hotel para la acomodación. Es cierto que los tres actúan en cadena, pero al no compartir ni fines ni medios cada uno es Responsable del Tratamiento dentro de su ámbito.

El mismo Informe explica que, si en el mismo caso que el anterior incorporamos una plataforma en la que los tres actores deciden sobre el tratamiento de datos, estaríamos ante un caso de corresponsables del tratamiento. En este caso, los actores, aunque no comparten fines, comparten medios y se debería atender al artículo 26 del RGPD en el que se describen los corresponsables del tratamiento. Por ello, los corresponsables deberán determinar en un acuerdo de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el RGPD.

Irene Rossello

Abogada