1/8 Expediente N.º: EXP202313988 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante) con fecha 23 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 (en adelante, GLS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de entrega fue realizada por la entidad reclamada y señala que en fecha 23 de agosto de 2023 recibió una llamada del repartidor encargado de la entrega, al que señaló expresamente que no quería que se depositara el paquete, con sus datos, en el domicilio de un vecino, sino en un punto de entrega. El repartidor aceptó dicha solicitud; si bien, posteriormente se notificó a la parte reclamante que el paquete había sido entregado a un vecino, pese a su oposición expresa al respecto. Aporta grabación de conversación mantenida con el repartidor del paquete del que era destinatario, en la que manifiesta su deseo de que sea entregado el paquete en un punto de recogida y conversación de WhatsApp donde se le informan que, pese a lo anterior, el paquete fue entregado a un vecino. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GLS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 15 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que “…Al respecto del envío al que se refiere el presente requerimiento de información, y a la vista de la documentación que se acompaña al expediente, se ha realizado con carácter inmediato una investigación sobre las circunstancias del envío y la entrega que reclama el Sr. A.A.A.. De este modo, informamos que con fecha 22 de agosto de 2023 recibimos un encargo de nuestro cliente, la mercantil WOODS & GO DESIGN, S.L. (con nombre comercial CREATE) para el envío de un paquete, siendo su destinatario el Sr. A.A.A.. A su vez, GLS encomendó la entrega de este envío a IRIAPACK S.C.P. (en adelante IRIAPACK), con CIF J67269704 y domicilio en Calle Sant Jordi 55, 08150, Parets del Vallés (Barcelona), siendo esta una empresa de transporte con la que GLS ha suscrito igualmente un contrato de arrendamiento de servicios de transporte para la recogida y reparto de paquetes en la provincia de Barcelona. A este respecto, debemos indicar que IRIAPACK lleva a cabo sus actividades con sus propios medios técnicos y humanos y bajo su entera responsabilidad, utilizando la marca GLS en base a ese contrato de servicios. Acompañamos como DOCUMENTO Nº1 el contrato de transporte suscrito entre GLS e IRIAPACK el 24 de marzo de 2023, en el que se incluye, como Anexo VIII, el Contrato de Encargado del Tratamiento. De este modo, tras recogerse el paquete por nuestro colaborador en la mañana del 23 de agosto de 2023, este lo sacó a reparto ese mismo día, siendo entregado en su destino por un repartidor de IRIAPACK a las 14,28 horas aproximadamente a un vecino. A este respecto, tras ponerse en nuestro conocimiento la presente reclamación indicando que el destinatario no había autorizado la entrega a otra persona, sino que dio instrucciones para derivarlo a uno de nuestros puntos de conveniencia o ParcelShop, se iniciaron las investigaciones correspondientes por nuestra entidad. De este modo, se ha podido determinar que un repartidor de IRIAPACK se personó en el domicilio del Sr. A.A.A. para la entrega de su paquete. Encontrándose este ausente, otro empleado de IRIAPACK llamó al reclamante para informarle de que el repartidor estaba en su domicilio, pero, si bien el Sr. A.A.A. dio instrucciones para que su paquete se derivase a un ParcelShop, parece que por error el mensajero que estaba en su domicilio, sin esperar a sus instrucciones, entregó el paquete a un vecino, con la voluntad de que pudiera tener el paquete cuanto antes… Sin perjuicio de lo anterior, debemos señalar que GLS considera como un incumplimiento grave del servicio la entrega de cualquier paquete en una dirección distinta de la indicada por el destinatario (o de nuestra red de puntos de conveniencia) sin el consentimiento del destinatario. Es por ello que, una vez se constató por GLS la entrega incorrecta de este envío por parte del mensajero de IRIAPACK se abrió por nuestro Pág: 90 General Logistics Systems Spain S.A. C/ Ingeniero Torres Quevedo 1, 28022, Madrid Inscrita en el Registro Mercantil de Madrid, Tomo 13.515, Folio 52, Hoja 219.632 CIF: A61441523 Departamento de Auditoría el expediente correspondiente a la empresa colaboradora, siéndole impuesta a esta la penalización prevista en nuestros procedimientos. Acompañamos como DOCUMENTO Nº3 la comunicación remitida a la colaboradora informándole de la penalización…” TERCERO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;..” En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32; (…) Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. En el presente caso, GLS encomendó la entrega de este envío a IRIAPACK S.C.P. (en adelante IRIAPACK), con CIF J67269704 y domicilio en Calle Sant Jordi 55, 08150, Parets del Vallés (Barcelona), siendo esta una empresa de transporte con la que GLS ha suscrito igualmente un contrato de arrendamiento de servicios de transporte para la recogida y reparto de paquetes en la provincia de Barcelona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 En cualquiera caso, GLS era la empresa responsable de entregar el paquete a la parte reclamante de la manera en la que había concertado con ella; si bien, se entregó a una tercera persona sin el consentimiento de aquella y bajo su expresa oposición. III Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En fecha 23 de agosto de 2023 la parte reclamante recibió una llamada del repartidor encargado de la entrega de un paquete, al que señaló expresamente que no quería que se depositara el paquete, con sus datos, en el domicilio de un vecino, sino en un punto de entrega, aceptando el repartidor dicha solicitud; si bien, posteriormente fue notificado que el paquete había sido entregado a un vecino, pese a su oposición al respecto. En el presente caso, consta que los datos personales de la parte reclamante, nombre y apellidos, así como el domicilio postal, fueron expuestos a un tercero, el vecino, como consecuencia de la recepción del envío del que aquella era destinataria, siendo GLS la empresa responsable de la entrega del paquete. Si bien, dichos datos ya eran conocidos por el vecino; en consecuencia, no ha habido una exposición indebida de los datos personales de la parte reclamante. IV Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente expediente, consta el contrato de transporte terrestre firmado por IRIAPACK S.C.P y GLS de fecha 24 de marzo de 2023, en el que figura un proceso de entrega. En dicho proceso de entrega, además de la entrega estándar, figuran instrucciones para llevar a cabo una entrega alternativa, en caso de que no sea posible la entrega estándar. Así, en el caso de que no sea posible la entrega estándar, dicha entrega se debe realizar a aquellos vecinos que se encuentren en el mismo rellano. GLS considera como un incumplimiento grave del servicio la entrega de cualquier paquete en una dirección distinta de la indicada por el destinatario, sin el consentimiento del destinatario. Por ello, una vez que GLS constató la entrega incorrecta de dicho envío por parte del mensajero de IRIAPACK se abrió el correspondiente expediente a la empresa colaboradora, siéndole impuesta a esta la penalización prevista en los procedimientos de entrega. GLS manifiesta en el escrito presentado ante la AEPD, en fecha 15 de noviembre de 2023, que “…es consciente de los criterios establecidos por la AEPD en el PS-002802022 de fecha 3 de noviembre de 2022 y, en consecuencia, se vienen implementando una serie de medidas por GLS para asegurar el cumplimiento por parte de todos los colaboradores de la red de GLS de los criterios marcados por la AEPD, las cuales siguen vigente en la actualidad. Entre dichas medidas se encuentran las siguientes: • La actualización de la “Guía Práctica del Repartidor” en cuanto al Procedimiento de Entrega en caso de estar ausente el destinatario, haciendo hincapié en la prohibición de efectuar entregas a terceros (vecinos, porteros y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 direcciones alternativas diferentes a Parceshops) sin que se disponga de la autorización previa del destinatario, así como la responsabilidad de la entidad colaboradora encargada de la entrega en la recogida de la autorización del destinatario. • Se viene remitiendo periódicamente comunicados a todas las entidades colaboradoras en el territorio nacional para remarcar la importancia de cumplir con la normativa vigente y las resoluciones de la AEPD. Este recordatorio se ha publicado en la intranet de GLS Spain, llegando por correo a todos los colaboradores de GLS, además de remitirlo por aplicaciones de mensajería instantánea para conseguir una mayor difusión y lectura del mismo. • Se ha publicado un recordatorio que aparece cada vez que cualquier repartidor accede a la App de Reparto y que estipula la prohibición de entregas a vecinos o porteros sin autorización expresa. • Se incluyeron menciones al procedimiento de entrega y la resolución PS00280-2022 como parte del material formativo (formación presencial) que reciben todos los colaboradores que se unen a la Red GLS y que ya se viene reforzando a los colaboradores preexistentes…”. En consecuencia, GLS ha adoptado otras medidas adicionales con posterioridad a la presentación de la reclamación; por lo que, procede la aplicación del artículo 65.6 LOPDGDD, que establece expresamente que: “(…) 6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica(…)”. Así pues, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GENERAL LOGISTICS SYSTEMS SPAIN, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es