1/6 Expediente N.º: EXP202300192 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de diciembre de 2022, se presentó reclamación por A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamante) con número de registro de entrada REGAGE22e00055079621 ante la Agencia Española de Protección de Datos contra CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA con NIF W1000101D (en adelante, la parte reclamada). Los motivos en que se basa la reclamación son los siguientes: - En su escrito, la parte reclamante manifiesta que era destinataria de un paquete, siendo la encargada de su entrega la parte reclamada. El 29 de noviembre de 2022, recibió una notificación sobre un supuesto intento de entrega fallido del citado paquete debido a su ausencia, afirmación que niega la reclamante. - Ante tal circunstancia, se puso en contacto con la parte reclamada, que le aseguró que el paquete sería entregado el día siguiente. Sin embargo, ese mismo día, recibió una notificación por correo electrónico de la parte reclamada, alegando que el paquete había sido entregado. - Tras dicha situación volvió a contactar con la parte reclamada, la cual admitió que el repartidor había firmado la recepción en nombre del destinatario para evitar retrasos en la entrega, dado el compromiso de entrega de la entidad consistente en un plazo máximo de 24 horas y evitar, de esta forma, problemas internos. - La entrega efectiva del paquete tuvo lugar en el día siguiente, después de que la parte reclamante se presentara en las oficinas de la parte reclamada, solicitara una hoja de reclamaciones y reclamara la presencia de la Policía Local. - La parte reclamante argumenta que se ha cometido un uso indebido de sus datos personales, dado que los mismo han sido tratados para confirmar una entrega que no fue realizada hasta el día siguiente. A efectos acreditativos, junto al escrito de reclamación presentado se aporta copia de las distintas comunicaciones recibidas relativas al envío del paquete, así como la hoja de reclamaciones presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó de forma electrónica conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue puesto a disposición a través de la Dirección Electrónica Habilitada Única (DEHÚ) en fecha 13/01/2023, accediendo a su contenido el 16/01/2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 1 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los extremos que seguidamente se exponen. Tras la comunicación de los hechos por la parte reclamante, se procede a requerir a la parte reclamada, en fecha 17 de abril de 2023, la siguiente documentación e información: a. Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. b. La decisión adoptada a propósito de esta reclamación. c. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. d. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 e. Cualquier otra que considere relevante. El 25 de abril de 2023 se recibe respuesta de la parte reclamada, del cual destaca lo siguiente: a. Se presenta el informe del delegado de protección de datos de noviembre de 2022, en el cual se propone revisar la operativa de entrega y hacer un seguimiento de su cumplimiento. b. Alega que, tras el análisis de las causas que dieron origen a la reclamación, se ha comprobado que el paquete de la parte reclamante no fue entregado a un tercero, sino que el mismo fue devuelto a la oficina. - Asume la existencia de una mala praxis por parte del transportista al cual han decidido expedientar y sancionar por haber simulado una entrega que no se realizó de forma efectiva. Reconoce que se envió un correo al reclamante confirmando la entrega del paquete, debido a la citada mala praxis del transportista. Esta mala praxis consistió en que el transportista no realizó el segundo intento de entrega en el mismo día y procedió a devolver el paquete al almacén, figurando en el sistema como entregado. Sin embargo, dicho paquete fue entregado al día siguiente, cuando la parte reclamante se personó en sus instalaciones. a. Respecto a la argumentación de la parte reclamante, niegan un tratamiento ilícito pues afirman que los datos de la reclamante se mantuvieron en todo momento dentro de su propio ámbito. De la misma forma, sostiene que no hubo cesión de datos alguna, dado que el paquete no fue entregado a un tercero y tan solo el personal autorizado tuvo acceso a dicha información. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principios relativos al tratamiento La letra
- d)del artículo 5.1 del RGPD propugna: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” III Licitud del tratamiento De la misma forma, el artículo 6 del RGPD desarrolla la licitud del tratamiento: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades publicasen el ejercicio de sus funciones.” IV Conclusión En el caso que nos ocupa, el incidente comunicado por la parte reclamada consistente en que el transportista simuló la entrega del paquete a pesar de no haberla realizado, si bien constituye una mala práctica y una vulneración de los procedimientos internos de la empresa, no transforma el tratamiento de datos personales en ilícito en los términos señalados por el RGPD. Así, el tratamiento de los datos personales (datos identificativos y dirección del destinatario) se mantuvo dentro del marco necesario para la ejecución del contrato de entrega. Por tanto, la finalidad original del tratamiento de datos no se alteró, con independencia de que dicha entrega finalmente no se produjera de forma efectiva. De la misma forma, no se desprende un uso indebido adicional de los datos personales de la parte reclamada. De las actuaciones de investigación se deriva que no se utilizaron para ningún otro propósito ni se compartieron de manera inapropiada con terceros. Ello implica que, fuera del incidente de la confirmación de la entrega no producida, no existió ningún otro tratamiento de datos distinto al de dicha finalidad. En conclusión, aunque la simulación de la entrega constituye una falta de conducta por parte del transportista, dichas acciones no implican necesariamente que el tratamiento de los datos personales por parte de la empresa haya sido ilícito según el RGPD. La base legal para el tratamiento de los datos (cumplimiento de un contrato) se mantuvo intacta, a pesar de que la entrega efectiva no se realizase y, por otro lado, la empresa actuó de manera diligente al abordar el incidente una vez fue comunicado. Además, resulta pertinente destacar que, durante todo el proceso, el paquete permaneció dentro de la red de distribución del operador postal, sin que se haya producido extravío alguno del envío, mitigando de esta forma cualquier riesgo potencial respecto a los datos personales del reclamante. Esta gestión interna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 manifiesta que no se vulneró el principio de confidencialidad de los datos personales dado que la integridad del paquete y la información del destinatario se mantuvieron protegidas en todo momento. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es