La AEPD archiva el procedimiento sancionador contra CETURSA al considerar que el Consejo de Transparencia y Protección de Datos de Andalucía es la autoridad competente en este caso.

Resumen de la decisión:

En este procedimiento, un cliente denunció a CETURSA SIERRA NEVADA, S.A., por exigir de manera reiterada la presentación de una copia del DNI y un certificado de discapacidad (ya conocidos por la empresa, dado que el reclamante era cliente histórico) para beneficiarse de un descuento en los forfaits de esquí. El reclamante consideraba que, al ser CETURSA depositario de sus datos desde hacía años, no era necesario volver a solicitárselos, especialmente tras identificarse presencialmente en sus oficinas. Además, criticó que la empresa no admitiera documentos alternativos como el carnet de conducir o el pasaporte, denegando una solicitud por considerar incorrecto el formato del DNI presentado.

La reclamación se archivó inicialmente, pero tras un recurso del denunciante, se reabrió y se inició un procedimiento sancionador por posible infracción del artículo 5.1.c) del RGPD (principio de minimización de datos), tipificada en el artículo 83.5 del RGPD (sanciones graves). Sin embargo, durante el proceso, CETURSA argumentó que, al ser una sociedad mercantil pública andaluza, la competencia correspondía al Consejo de Transparencia y Protección de Datos de Andalucía (CTPDA). Tras analizarlo, se determinó que efectivamente esta entidad autonómica es la autoridad competente en este caso, ya que CETURSA forma parte del sector público andaluz.

Por ello, el procedimiento sancionador se archivó, al concluir que la AEPD no era el organismo competente para resolverlo. No se impuso sanción alguna, ya que el incumplimiento normativo no fue evaluado al declararse la incompetencia de la autoridad que instruía el expediente. La resolución enfatiza que, en casos de entidades públicas autonómicas, corresponde a sus respectivas autoridades de protección de datos supervisar el cumplimiento de la normativa de privacidad.