AI-00026-2024

1/7  Expediente N.º: EXP202316660 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de octubre de 2023, Don A.A.A. (en adelante, la parte reclamante) presentó ante la Agencia Española de Protección de Datos reclamación, con número de registro de entrada REGAGE23e00071889687, contra SEUR S.A. que ha sido objeto de una fusión por absorción por parte de Geopost España, S.L., con NIF B85645349, (en adelante, GEOPOST o parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que realizó una compra a través de la web AMAZON, estableciendo la dirección de su vivienda como dirección de recogida. Señala que la entidad reclamada fue la entidad encargada de la gestión de entrega de dicha compra; si bien, informaron de que no había sido posible la entrega del mismo en su vivienda, sin que le consten los intentos de entrega, y que depositaban el citado pedido en un establecimiento público, todo ello sin su consentimiento. En consecuencia, considera que han expuesto los datos contenidos en la etiqueta del envío, de forma inadecuada, a terceros. Junto a la reclamación se aporta copia de información del pedido realizado y de información de entrega del pedido, así como la contestación facilitada por GEOPOST a la parte reclamante tras remitir un correo electrónico de reclamación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GEOPOST, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22 de noviembre de 2021 como consta en la certificación que obra en el expediente. Con fecha 7 de diciembre de 2023 se recibe en esta Agencia escrito de respuesta indicando y “(…) ha comprobado lo siguiente: - Que un repartidor de SEUR acudió al domicilio del reclamante para efectuar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 una entrega. - Que el reclamante se encontraba ausente en el momento de la entrega. - Que, en consecuencia, el repartidor entrega el paquete del reclamante en un establecimiento autorizado por SEUR. … la entrega se realizó en una de las Pickup autorizadas por SEUR como punto de entrega, como consecuencia de que el reclamante se encontraba ausente en el domicilio, cumpliendo de esta forma, con las condiciones de transporte de SEUR publicada en el siguiente enlace de la WEB https://www.seur.com/es/condiciones-detransporte/. (…). TERCERO: Con fecha 3 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
3. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
4. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
5. c)tomará todas las medidas necesarias de conformidad con el artículo 32; (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. En el presente caso, GEOPOST era la empresa responsable de entregar el paquete en el domicilio de la parte reclamante; si bien, ante la ausencia de éste se entregó en un establecimiento autorizado por GEOPOST, concretamente, en (…). III Artículo 5.1.
6. f)del RGPD El artículo 5.1.
7. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La parte reclamante manifiesta que realizó una compra a través de la web AMAZON, estableciendo la dirección de su vivienda como dirección de entrega y recogida. GEOPOST informó a la parte reclamante de que no había sido posible la entrega de dicha compra en su vivienda, depositando el citado pedido en un establecimiento público, todo ello sin su consentimiento. En consecuencia, considera que se han expuesto los datos contenidos en la etiqueta del envío correspondientes a la parte reclamante, de forma inadecuada, a terceros. En el escrito de respuesta de fecha 7 de diciembre de 2023 presentado en esta Agencia por GEOPOST se hace constar que “…SEUR dispone de una amplia red de puntos de entrega, denominadas Pickup, para las mercancías que son transportadas dentro de su organización, con el objetivo de facilitar el acceso a las mismas por parte de sus clientes. De esta forma, SEUR tiene suscrito con las diferentes Pickup un contrato de prestación de servicios, cuyo deber es recibir, custodiar, almacenar y entregar las mercancías que sean puestas a su disposición siguiendo el procedimiento indicado por SEUR. Por lo tanto, confirmamos que, en el presente caso, la entrega de la mercancía se realizó en una de nuestras tiendas autorizadas de la red de puntos de entrega de SEUR, en concreto, en la (…)…De esta forma, como consecuencia de la relación existente entre las partes, las Pickup deben tratar datos personales por cuenta o en nombre de SEUR en calidad de encargadas de tratamiento, para poder cumplir con las obligaciones contractuales, no suponiendo dicho acceso en ningún momento, una cesión o comunicación de datos, sino un encargo de tratamiento, tal y como se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 dispone en el artículo 33.1 de la LOPDGDD y, teniendo SEUR firmado con las Pickup el correspondiente contrato de encargo de tratamiento donde se recogen las obligaciones exigidas en la normativa de protección de datos…”. En el contrato firmado entre GEOPOST y el Punto de entrega (Pickup), consta que “OCTAVA. - Confidencialidad y protección de datos. El Punto de Entrega se compromete a no realizar copias ni entregar a terceros el material puesto a su disposición, manuales, aplicación informática o cualquier otra documentación relativa a la operativa, servicios, técnicas de venta, procedimientos, sistemas, diseño, y sus acuerdos con SEUR. Dichos elementos son de propiedad de SEUR, comprometiéndose el Punto de Entrega a no divulgar ninguna de estas informaciones directa o indirectamente, responsabilizándose de su custodia. Como consecuencia de los servicios descritos en el Anexo I del presente contrato, el Punto de Entrega podría tener acceso a datos de carácter personal de los clientes de las franquicias o de ficheros de SEUR, y por tanto el Punto de Entrega tratará los datos de carácter personal conforme a las instrucciones de ésta, de forma confidencial y con la exclusiva finalidad de prestar los servicios descritos en el presente contrato, sin que pueda, en ningún caso, aplicarlos o utilizarlos con un fin distinto, ni cederlos o comunicarlos, ni siquiera para su conservación, a otras personas.”. En consecuencia, el tratamiento de los datos personales de la parte reclamante por parte del personal que presta servicios en el Punto de entrega (Pickup) se ajusta a lo dispuesto en la normativa de protección de datos, sin que; en ningún caso, exista una exposición indebida de los datos personales de la parte reclamante. IV Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Los hechos puestos de manifiesto por la parte reclamante, que se concretan en la entrega de un paquete a través de un establecimiento de la red de la parte reclamada, en las circunstancias expuestas en los fundamentos de derecho anteriores, no evidencian ninguna falta de medias técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. V Archivo de la reclamación cuando el responsable o encargado haya adoptado medidas para el cumplimiento de la normativa aplicable En el expediente consta que GEOPOST ha adoptado medidas adicionales con posterioridad a la presentación de la reclamación; por lo que, procede la aplicación del artículo 65.6 LOPDGDD, que establece expresamente que: “6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica”. Así pues, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GEOPOST ESPAÑA, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es