1/6 Expediente N.º: EXP202314609 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de septiembre de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 (en adelante, GLS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que realizó el día 23/05/2023 una compra online y que GLS era la empresa encargada de gestionar la entrega del correspondiente paquete a la entidad reclamante. Al no tener noticias del paquete, se puso en contacto con la entidad remitente del paquete, quienes le indicaron que la entidad reclamada había extraviado el paquete, por lo que procedían a remitir nuevamente otro paquete con su compra. Este nuevo envío fue entregado el día 01/06/2023, sin su consentimiento, en un punto de recogida situado en un establecimiento público próximo a su vivienda, lo que supone la exposición de sus datos a terceros, sin mediar autorización para ello. Junto a la notificación se aporta copia de comunicaciones intercambiadas con la entidad remitente del envío a través de la entidad reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LOGISTICS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27/10/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 27/11/2023 se recibe en esta Agencia escrito de respuesta de GLS indicando que cuenta con una extensa red de colaboradores en territorio nacional, entre la que se encuentran pequeños negocios locales, (en adelante, los “Parcelshops”) para el depósito de paquetes, de manera que se puedan derivar los mismos a sus establecimientos para su posterior recogida por parte del destinatario. La derivación al “Parcelshop” tiene lugar bien cuando el destinatario se encontrase C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 ausente en la dirección indicada para la entrega, o bien cuando lo solicitan el propio destinatario o el remitente/cliente. GLS es el responsable del tratamiento y sus “Parcelshops” son los encargados de tratamiento de datos, y se incorporan a la red de establecimientos mediante un contrato de adhesión entre ambas partes. Los datos no escapan del ámbito de control del responsable, siendo únicamente accesibles por los encargados de tratamiento en la parte correspondiente y no se revelan a terceras partes. En ningún caso tiene el repartidor acceso a la base de datos. Por ello, concluye GLS que la autorización del destinario no resulta necesaria en este caso. Con respecto a la reclamación planteada, informa GLS que con fecha 23/05/2023 recibió el encargo de ***EMPRESA.1, para el envío a la parte reclamante de un paquete. El 24/05/2023 se incorpora al sistema el cambio del lugar de entrega del domicilio de la reclamante al ParcelShop de GLS (***ESTABLECIMIENTO.1, en lo sucesivo, ***ESTABLECIMIENTO.1). Dicho cambio se realizó bien por el remitente o por la destinataria, usando el servicio (...). A su vez, GLS encomendó la entrega de este envío a ***EMPRESA.2, quien a su vez realizó la entrega del paquete el 01/06/2023 en el ParcelShop (***ESTABLECIMIENTO.1), informándose inmediatamente a la destinataria por correo electrónico, tal y como consta en la documentación que acompaña a la reclamación. Acompaña la siguiente documentación acreditativa de los hechos expuestos: DOCUMENTO Nº1: contrato de prestación de servicios de transporte entre ***EMPRESA.1 y GLS. DOCUMENTO Nº2: contrato de arrendamiento de servicios de transporte entre GLS y ***EMPRESA.2 (en lo sucesivo, ***EMPRESA.2), para la recogida y reparto de paquetes en el País Vasco, en cuyo ANEXO 8 se incorpora el correspondiente contrato de encargado del tratamiento. DOCUMENTO Nº3: contrato de depósito entre GSL con ***ESTABLECIMIENTO.1 el 2 de septiembre de 2022, en cuyo Anexo III se incorpora el Contrato de Encargado de Tratamiento. Concluye GLS que se cumplió estrictamente con las instrucciones recibidas en cuanto al envío y entrega del paquete y que no se ha producido tratamiento inadecuado alguno en relación con los datos personales de la parte reclamante TERCERO: Con fecha 18 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Del artículo 4 “Definiciones” del RGPD se extraen los conceptos de aplicación al caso: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; GLS es la persona jurídica responsable del tratamiento de datos al determinar los fines y medios del tratamiento para la entrega de los paquetes que le encargan sus clientes. ***ESTABLECIMIENTO.1 ostenta la condición de encargado del tratamiento, dado que trata los datos personales de la parte reclamante por cuenta del responsable y para la ejecución del contrato de depósito y entrega de paquetes. III Integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD propugna (se subraya lo relevante al caso): "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 IV Encargado del tratamiento El artículo 28 del RGPD regula del modo siguiente las obligaciones relación con el encargado del tratamiento (se subraya lo relevante al caso): 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. (…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento; (…)
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; (…) Para que esta Agencia pueda declarar la existencia de una infracción en materia de protección de datos, resulta imprescindible constatar que el tratamiento de datos personales se ha realizado sin base jurídica válida o en vulneración de los principios y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 derechos establecidos en el RGPD. Asimismo, dicho tratamiento debe ser imputable a una persona física o jurídica identificada, en su condición de responsable o encargado del tratamiento. GLS, como responsable del tratamiento está, obligado en función del artículo 5.1.
- f)del RGPD a garantizar una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito. Pero en función del artículo 28 del RGPD, el responsable del tratamiento puede encargar a un tercero la realización de un tratamiento de datos siempre que el encargado que ofrezca garantías suficientes y que el tratamiento sea conforme con los requisitos del RGPD y garantice la protección de los derechos del interesado. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico deberá estipular, entre otros, que el encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, así como que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad; y finalmente el responsable podrá ordenar al encargado que suprima o devuelva todos los datos personales una vez finalice la prestación de los servicios de tratamiento, así suprimirá las copias existentes. En este caso, GLS dispone de un contrato de depósito con ***ESTABLECIMIENTO.1, en cuyo ANEXO III, relativo a la protección de datos, se establece la condición de encargado del tratamiento ***ESTABLECIMIENTO.1, comprometiéndose, entre otras obligaciones, a guardar secreto profesional, así como a dar acceso a los datos a los empleados que estrictamente lo necesiten para la prestación del servicio, comprometiéndose incluso a firmar acuerdos de confidencialidad con sus empleados, en su caso. ***ESTABLECIMIENTO.1 realiza el tratamiento de datos personales de la parte reclamante como encargado de GLS y en el marco de la relación contractual entre ambas, que recoge además los aspectos previstos en el artículo 28 del RGPD. La entrega del paquete en el punto de recogida ***ESTABLECIMIENTO.1, en su condición de encargado de GLS, no significa una exposición de los datos de la parte reclamante a terceros, porque ***ESTABLECIMIENTO.1 actúa por encargo del responsable del tratamiento GSL y, en consecuencia, la actuación descrita por la parte reclamante es lícita y no infringe el principio de confidencialidad previsto en el artículo 5.1.
- f)del RGPD. V Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GENERAL LOGISTICS SYSTEMS SPAIN, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es