Responsabilitat del tractament en la contractació d'agències de viatge


Josep Aragonés Salvat     23/07/2020

En aquest document identificarem les responsabilitats de cada un dels intervinents en el tractament de dades personals en la contractació de viatges.

Les agèncias de viatges són empreses que es dediquen professionalment i comercialment en exclusiva a l'exercici de mediació i/o organització de serveis turístics, podent utilitzar també, en determinades ocasions, mitjans propis en la prestació dels mateixos.

En aquesta contractació ens trobem amb diverses figures amb responsabilitats diferents. Anem a detallar les possibilitats existents per a cada cas:

Tipus d'agències de viajes

  • Majorista (productor): l'agència que projecta, elabora i organitza viatges i serveis turístics. El seu producte serà comercialitzat a través de les agències minoristes, i no poden oferir els seus productes directament a la persona usuària o consumidora (consumidor final).
  • Minorista (intermediaris o detallistes): l'agència que comercialitza el producte de les agències majoristes amb la venda directa a consumidor final per qualsevol mitjà (presencial, web, app, e-mail o telèfon). També pot produir petits paquets compostos fonamentalment de serveis turístics solts directament a al consumidor final, no podent oferir-los a altres agències.
  • Majoristes/minoristes (mixtes): les agències que poden simultaniejar les activitats dels dos grups anteriors, és a dir, poden crear productes i vendre'ls a través de les seves pròpies xarxes d'agències minoristes; o vendre'ls directament a al consumidor final.
    Normalment les agències mixtes neixen com agències minoristes que amplien la seva xarxa de vendes a mesura que van creant els seus propis productes. Quan la dimensió de la seva xarxa és molt àmplia es reconverteixen en majoristes.

Responsabilitats dels intervinents en el tractament

Les agències majoristes i mixtes sempre intervindran davant els interessats (consumidors finals) com a responsables del tractament, ja que determinen els fins del tractament i els mitjans per assolir-los.

Les agències minoristes només intervindran com a responsables del tractament davant les persones interessades quan comercialitzen els seus propis productes. Quan comercialitzen productes d'agències majoristes intervindran com a encarregats del tractament d'aquestes.

Les agències minoristes també intervindran com a responsables del tractament quan realitzin operacions directes amb els interessats, com l'enviament de publicitat, màrqueting, etc. o pel simple fet de mantenir les dades de contacte.

Pel que fa al tractament de dades personals, la relació de l'agència de viatges amb els proveïdors dels serveis combinats (vols, hotels, transports, lloguer de cotxes, serveis turístics, etc.) es basarà en una comunicació de dades personals dels consumidors finals (interessats) a aquests destinataris proveïdors dels serveis combinats, prèviament informada als interessats, de manera que tots dos intervindran com a responsables del tractament de les persones que contractin aquests serveis.

Quan l'agència de viatges comparteix les dades personals dels contractants amb els proveïdors que els oferiran serveis turístics mitjançant una única plataforma online, intervindran com corresponsables del tractament en relació amb les dades compartides, de manera que han d'informar a l'interessat de les responsabilitats adquirides per cada corresponsable.

Per tant, podem concloure que pel que fa a la responsabilitat del tractament de dades personals, ens podríem trobar dos casos:

1. La relació entre una agència de viatge i els seus proveïdors, en no compartir ni fins ni mitjans del tractament, cadascú és responsable del tractament dins la seva activitat, perquè:

    • tot i que tractin les mateixes dades
    • ho fan amb finalitats diferents
    • i mitjans propis

2. Quan s'incorpora en una mateixa plataforma a una agència de viatge i els seus proveïdors, estaríem davant d'un cas de corresponsabilitat del tractament (art. 26 GDPR), perquè:

    • tots decideixen sobre el tractamento de dades personals
    • tot i que amb finalitats diferents
    • però comparteixen els mitjans

En aquest cas, els corresponsables hauran de formalitzar un acord mutu, de manera transparent amb les seves respectives responsabilitats en el compliment de les obligacions imposades pel GDPR.

Exemples d'una reserva de viatge en els dos casos descrits:

1. Una agència de viatges envia dades personals dels seus clients a una companyia aèria i a una cadena hotelera per fer les reserves d'un paquet de viatge. La companyia aèria i l'hotel confirmen la disponibilitat dels seients i habitacions sol·licitats. L'agència de viatges emet els documents de viatge i talons per als seus clients.

En aquest cas, l'agència de viatges, la companyia aèria i l'hotel seran tres responsables del tractament diferents, cadascun dels quals estarà subjecte a les obligacions en matèria de protecció de dades que corresponguin al seu propi tractament de dades personals.

2. L'agència de viatges, la cadena hotelera i la companyia aèria decideixen crear una plataforma comuna a Internet per millorar la seva cooperació en l'àmbit de la gestió de les reserves de viatges. Acorden els elements importants dels mitjans que van a utilitzar, com el tipus de dades que s'emmagatzemaran, la forma en què es realitzaran i confirmaran les reserves o qui tindrà accés a la informació emmagatzemada. A més, decideixen compartir les dades dels seus clients per a realitzar accions integrades de màrqueting.

En aquest cas, l'agència de viatges, l'aerolínia i la cadena hotelera tindran un control conjunt sobre la manera en què es tractaran les dades personals dels seus clients respectius i, per tant, seran conjuntament responsables del tractament (corresponsables) pel que fa a les operacions de tractament relacionades amb la seva plataforma comuna de reserves a Internet.