AI-00110-2024

1/9  Expediente N.º: EXP202400651 (AI/00110/2024) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de diciembre de 2023, se presentó reclamación con número de registro de entrada ***REFERENCIA.1 ante la Agencia Española de Protección de Datos contra MEDIA MARKT SATURN, S.A. con NIF A82037292 (en adelante, la parte reclamada/ MEDIA MARKT). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que adquirió un ordenador portátil a la entidad MEDIA MARKT. Señala que, al tener problemas con la batería del ordenador, depositó el mismo en un establecimiento de dicha entidad para que se procediera a su reparación. Manifiesta que no pudo realizar una copia de seguridad del contenido del ordenador, con información personal de la parte reclamante, dada la avería del ordenador. y que, cuando le indicaron que, para proceder a la reparación, debía resetearse el ordenador, lo que supondría la pérdida de la información contenida en el mismo, solicitó la devolución del ordenador, indicándole MEDIA MARKT que el ordenador le sería entregado por la empresa GLS en fecha 20 de diciembre de

1. Dado que en dicha fecha no se le entregó el paquete, se puso en contacto en diversas ocasiones con MEDIA MARKT quienes, en fecha 20 de enero de 2023 le indicaron que finalmente GLS había localizado el paquete del que era destinataria y se lo facilitaría. En fecha 23 de enero de 2023 recibió en su domicilio un paquete con un ordenador que no era el suyo, sino de otra cliente de la parte reclamante, figurando los datos de dicho tercero en el parte de reparación. Se puso en contacto de nuevo con MEDIA MARKT y estos le indicaron que se trató de un cruce de etiquetas de envío y que procederían a través de SEUR a recoger el ordenador erróneamente facilitado, y le remitirían su equipo, si bien no se produjo la restitución de su portátil, planteando reclamaciones ante MEDIA MARKT y GLS, sin que le dieran otra solución que el abono del importe del portátil, si bien el mismo se ha extraviado, conteniendo información personal de la parte reclamante. Junto a la reclamación se aporta factura de compra del portátil, imagen de intento de copia de seguridad del contenido del portátil con ficheros con datos personales que no se pudo realizar en su totalidad por la avería del portátil; documentación relativa a la reparación del ordenador y recogida por parte de GLS; correos intercambiados con MEDIA MARTK y GLS en relación al paradero del portátil; imágenes del portátil de otra cliente entregado a la parte reclamante, con datos de dicha cliente; denuncia presentada ante la Guardia Civil y llamadas realizadas al servicio de atención al cliente de MEDIA MARKT. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a MEDIA MARKT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 6 de febrero de 2024 se recibe en esta Agencia escrito de respuesta indicando:
2. La parte reclamante compró el ordenador portátil mencionado, el 28 de febrero de 2021 en la tienda on line de la parte reclamada.
3. Contactó con el servicio posventa el 5 de diciembre de 2022, y Media Markt le envió el documento “Orden de reparación creada” (envía copia) en el que: “Te informamos que hemos recibido correctamente tu solicitud de reparación E***REFERENCIA.6-R-C y que hemos procedido a generar la recogida de tu producto. Recibirás un correo de la empresa de transporte informándote de la fecha de recogida. […] - Recuerda realizar previamente una copia de seguridad de tus datos en caso de que tu producto tenga soporte de almacenamiento (portátil, smartphone, Tablet, discos duros…).”
4. La empresa de transportes es “GENERAL LOGISTICS SYSTEM SPAIN, S.A.” (GLS), que recoge el portátil el 12 de diciembre de
6. Obviando las instrucciones de Media Markt sobre la copia de seguridad la parte reclamante incluyó un aviso en el paquete junto con el dispositivo defectuoso, en el que solicitaba que no se borrase la información que contenía.
7. MEDIA MARKT se puso en contacto con la parte reclamante el 19 de diciembre de 2022 avisando de que si seguía el procedimiento la información sería borrada y solicitó instrucciones expresas sobre cómo proceder. La parte reclamante solicitó que se le enviase de vuelta el dispositivo para realizar la copia de seguridad de su información y datos.
8. MEDIA MARKT tramitó el envío en la misma fecha, gestionado como es habitual por la empresa GLS. Esta empresa remitió a la parte reclamante en fecha 20 de diciembre de 2022 el correspondiente correo electrónico con la información sobre la entrega del dispositivo.
9. La empresa de transportes GLS extravió el envío. (Aporta copia “RECLAMACIÓN SINIESTRO” de “DEVOLUCIONES MEDIAMARKT” a “GLS”, de 14 de marzo de 2023 sellada por GLS).
10. MEDIA MARKT envió un correo electrónico en fecha 15 de marzo de 2023 a la parte reclamante informándole sobre este suceso y le ofrece como compensación el abono íntegro del importe del dispositivo, (aporta copia).
11. En la misma fecha, la parte reclamante acepta dicha compensación y comunica a MEDIA MARKT su número de cuenta para efectuar el ingreso (aporta copia).
12. Adjunta el contrato con la empresa de transportes de 27 de octubre de 2022, en el que ambas partes se reconocen responsables de tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 [Página 11 de 23 del contrato]: “En relación con los datos personales de los interesados que para la ejecución del presente acuerdo deban ser tratados, las partes se reconocen mutuamente su condición como Responsables del Tratamiento.[…] Cada parte será responsable de los incumplimientos o inobservancias de sus empleados de cualesquiera de las obligaciones derivadas de la legislación aplicable en materia de protección de datos, así como en el caso de falta de veracidad o inexactitud de las declaraciones aquí contenidas.” TERCERO: Con fecha 6 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Fecha en la que tuvieron lugar los hechos reclamados: 19 de diciembre de 2022, fecha en la que GLS reconoce que el paquete llega a sus instalaciones de San Fernando de Henares (Madrid) y por motivos que desconoce, pierde la referencia del paquete y no sale a reparto. Los antecedentes que constan en los sistemas de información son los siguientes: Según la respuesta de GLS al traslado en el expediente recibida el 19 de febrero de 2024 (***REFERENCIA.4), incorporada a este expediente en la “Diligencia Respuesta GLS al Traslado” de 21 de octubre de 2024 y de acuerdo con las copias de correos electrónicos entre las partes, el portátil extraviado era un “(...): ***REFERENCIA.2 (...)” que según reconoce la propia GLS en dicha respuesta: “El referido paquete tuvo un punteo en nuestras instalaciones de San Fernando de Henares (Madrid) el 19 de diciembre de 2022, a las 19:21 horas. Sin embargo, por motivos que desconocemos, tras este punteo se pierde la referencia del paquete por nuestras cintas y no sale a reparto”. Tras la reclamación por no encontrarse el paquete con el número de expedición ***REFERENCIA.3, GLS trató de encontrar el paquete extraviado con la información que le proporcionó Media Markt sobre su contenido: “(...): ***REFERENCIA.2 (...)”. En el departamento “Mercancía sin identificar” encontraron un portátil que identificaron como el extraviado, marcaron nuevamente con los datos de la expedición ***REFERENCIA.3 y entregaron a la parte reclamante el 23 de enero de
13. El 1 de febrero de 2023, MediaMarkt reclama de nuevo a GLS por este envío: “la destinataria habría recibido un portátil que no era suyo, constando en el interior de la caja de MediaMarkt con sus datos, la caja de un portátil similar […]” GLS considera que el portátil que recibió la parte reclamante propiedad de una tercera persona es un error de Media Markt: “En primer lugar, ese portátil a nombre de A.A.A. se encontraba en nuestras instalaciones porque previamente había sido remitido por MediaMarkt. Habida cuenta que no se ha localizado ningún envío de ese cliente del que fuera destinataria A.A.A. y a MediaMarkt tampoco le consta haber encomendado a GLS ese transporte, está claro que MediaMarkt envió dicho paquete por error a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 nuestra entidad pues, a la vista de las fotos que aporta al expediente la parte reclamante, había contratado el transporte con otra empresa de transporte. Igualmente, no consideramos relevante que en el paquete remitido a la parte reclamante figurase una etiqueta de otra entidad a nombre de A.A.A.. Esa etiqueta no era de GLS, ni correspondía a un envío nuestro, posiblemente el operario, si llegó a ver dicha etiqueta, pensase que se trataba de alguna devolución de un portátil que previamente había sido remitido a otra persona por otra entidad del sector”. GLS acepta que “[…] es posible que se produjera un error por parte del operario de Mercancía Sin identificar y que este no identificase correctamente el portátil y la referencia que le había pedido buscar MediaMarkt. Sea como fuere y pese a que no está claro si efectivamente se produjo un error interno por parte de GLS, nuestra entidad ha optado por implementar una serie de medidas adicionales para evitar que en el futuro se pudieran producir errores de esta clase. De este modo, por parte de GLS se ha reforzado el procedimiento interno para la gestión de la mercancía sin identificar/sin manifestar”. GLS envía el documento con el nuevo protocolo que recoge la fecha de 19 de febrero de 2024 para la entrada en vigor, reforzando la comprobación a través de imágenes y números de serie de la mercancía sin identificar y su posterior envío al remitente para que éste confirme que ésa es su mercancía y las instrucciones sobre si se debe sacar a reparto o devolver a origen. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN MEDIA MARKT ONLINE S.A. era responsable de la web “mediamarkt.es” en la fecha de los hechos, 20 de diciembre de 2022 según la “Diligencia extinción Media Markt online SAU“ en la que se incluye la política de privacidad en ese momento y la publicación en el BORME de la extinción de la empresa. El 20 de junio de 2024 (***REFERENCIA.5) la DPD responde en nombre y representación de la sociedad MEDIA MARKT SATURN, S.A.U al requerimiento de esta Agencia, con la siguiente información relevante: Pág. 2/40[…] “este proveedor de reparto y entrega de mercancías, denominado GLS -y como ya se constató en el anterior escrito presentado por MEDIA MARKT ante esta Agencia en el marco de la presente reclamación- actuó y actúa en todo momento como responsable del tratamiento independiente de los datos personales de los clientes de MEDIA MAKRT en virtud tanto de la regulación contractual vigente entre GLS y MEDIA MARKT” […] Pag. 6/40 “Existen dos canales para que los clientes puedan solicitar la reparación:  En establecimiento físico: […]  En el entorno online: el producto dañado debe ser remitido por el cliente a las instalaciones de MEDIA MARKT a través del servicio de mensajería prestado por el proveedor GLS y, una vez llega al HUB de MEDIA MARKT, se procede a evaluar su estado. Se realiza un primer análisis del dispositivo y del tipo de daño sufrido por parte del equipo técnico especializado. Si es posible realizar la copia de seguridad se informa al cliente y se le ofrece dicho servicio. Así, existen clientes que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 lo solicitan, otros que no lo necesitan porque ya han hecho una copia de seguridad de forma preventiva -siguiendo las recomendaciones expresas facilitadas en todo momento por MEDIA MARKT de forma previa- y otros clientes, por la pérdida que supone, prefieren igualmente reparar el dispositivo defectuoso sin realizar la copia de seguridad. Aterrizando este procedimiento al caso objeto de la presente reclamación, cabe mencionar que, tras la evaluación del dispositivo, la clienta prefirió recuperar el dispositivo para realizar la copia de seguridad ella misma. De modo que se procedió a su devolución, sin perjuicio de que ya se le había informado previamente de que debía realizar esta copia antes de proceder al envío del dispositivo a MEDIA MARKT para su reparación, tal y como marca tanto el procedimiento de MEDIA MARKT en este sentido como la cláusula 5 de las Condiciones Particulares del servicio de reparación véase Documento nº 3) que todo cliente lee y acepta antes de la adquisición de un producto:” […] “Así las cosas, en aquellos casos extremos en los que no es posible realizar la copia de seguridad por las condiciones del dispositivo o la tipología del fallo, no es técnicamente posible la recuperación de la información y los datos obrantes en el dispositivo, circunstancia que escapa al alcance de mi representada y sobre la que se pueden valorar alternativas de acuerdo con la normativa vigente en materia de consumidores y usuarios en función de la casuística, pero no en cuanto a la recuperación de sus datos, en la medida en que son los clientes los que deben asegurarse siempre de forma preventiva de hacer copias de seguridad de su información. Así, esta parte entiende que los datos de cada cliente son de su entera responsabilidad y que debe ser el propio cliente quien debe realizar copias periódicas de manera regular para minimizar los riesgos asociados a los posibles fallos que pueda sufrir el dispositivo, golpes, ciberataques, etc. En todo caso, MEDIA MARKT quiere manifestar expresamente que siempre que sea posible realizar la copia de seguridad del dispositivo recibido para su reparación, se le ofrecerá al cliente dicha alternativa”. En las “CONDICIONES PARTICULARES AL SERVICIO DE REPARACIÓN” (página 25/40 de la respuesta): […] “
14. PROCESO DE TRAMITACIÓN […] Todas las reparaciones dentro del periodo de garantía contractual se llevarán a cabo por el SAT oficial de la marca correspondiente a los productos entregados para reparar”. “
15. DATOS ALMACENADOS Media Markt no se hace responsable de los posibles datos almacenados en los Productos entregados para reparar, siendo responsabilidad del Cliente realizar copia de seguridad de dichos datos almacenados en los Productos entregados para reparar, así como a entregar el Producto sin datos almacenados en el mismo. Si el cliente posee datos importantes almacenados en el Producto, es primordial informar de ello previamente a Media Markt, reservándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Media Markt el derecho a presupuestar la recuperación y conservación de los datos almacenados”. CONCLUSIONES En las manifestaciones y evidencias obtenidas se describe el caso de la siguiente forma:
16. El 5 de diciembre de 2022 la parte reclamante se puso en contacto con el servicio técnico de Media Markt para el envío de su ordenador portátil en garantía a Media Markt por un fallo en la batería. En el correo electrónico acusando recibo de la orden de reparación creada, Mediamarkt le da “instrucciones para realizar el correcto envío de tu producto” que incluyen: “Recuerda realizar previamente una copia de seguridad de tus datos en caso de que tu producto tenga soporte de almacenamiento (portátil, smartphone, Tablet, discos duros…)”. Junto con el envío, la parte reclamante incluyó una nota para que no borrasen los datos que contenía su portátil.
17. La parte reclamante manifiesta que, tras recibir el envío, Media Markt la avisó por teléfono de que para enviar el portátil a reparar al servicio técnico del fabricante debían “resetearlo” por la política de protección de datos al cliente. La parte reclamante, ante la posibilidad de perder su información, pidió que le devolvieran el portátil para extraer la información que contenía, en otro servicio técnico.
18. La parte reclamante manifiesta que Media Markt no le informó antes del envío, de que, de acuerdo al modelo de cláusulas del contrato de compra, se incluye una que señala que se iba a “resetear” la información de su ordenador.
19. Siguiendo las instrucciones de la parte reclamante, Media Markt manifiesta que le envío el paquete de vuelta a través del servicio de transporte GLS. GLS manifiesta que el paquete llegó a sus instalaciones y no ha podido dirimir que ocurrió con él tras ello.
20. Tras la reclamación de Media Markt, GLS trató de encontrar el portátil con la información del modelo y número de serie que le facilitó Media Markt.
21. GLS reconoce que identificó un portátil como el de la parte reclamante y se lo envió, resultando que la identificación había sido incorrecta porque, aunque era de la misma marca, el modelo y el número de serie eran distintos, además, en las etiquetas interiores se identificaba como destinataria a una persona distinta de la parte reclamante.
22. Ante la imposibilidad de encontrar el portátil buscado, Media Mark ofreció la devolución del importe del portátil a la parte reclamante y ésta lo aceptó.
23. Media Markt manifiesta en su respuesta, cual es el procedimiento para la reparación de productos en el entorno online: el producto dañado remitido por el cliente a las instalaciones de MEDIA MARKT a través del servicio de mensajería GLS, es evaluado por parte del equipo técnico especializado y si es posible realizar la copia de seguridad se informa al cliente y se le ofrece dicho servicio.
24. Media Markt adjunta copia: del correo enviado a la parte reclamante (recordándole que debe hacer una copia de seguridad de sus datos), de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 aceptación de GLS del siniestro de la pérdida del portátil, de las “CONDICIONES PARTICULARES AL SERVICIO DE REPARACIÓN” y de la aceptación de la parte reclamante de la devolución del importe de la compra del portátil. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas. El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. De los datos obrantes en el expediente se determina que MEDIA MARKT realizó un encargo de entrega a GLS, de un envío que había sido debidamente identificado en sus instalaciones (número de expedición ***REFERENCIA.3), y que GLS reconoce haber recibido: “con fecha 19 de diciembre de 2022 recibimos un encargo de nuestro cliente, MediaMarkt Online S.A.U … con el número de expedición ***REFERENCIA.3… El referido paquete tuvo un punteo en nuestras instalaciones de San Fernando de Henares (Madrid) el 19 de diciembre de 2022, a las 19:21 horas” (págs. 329 y 330 del expediente). Además, MEDIA MARKT dio instrucciones precisas a GLS sobre el paquete que tenía que remitir a la parte reclamante, identificando tanto el número del envío como la mercancía que contenía. De este modo, en el correo electrónico remitido por GLS a la parte reclamante (pág. 66 del expediente) se identificaba el envío con el código correcto: “Tu pedido Llamar de DEVOLUCIONES MEDIAMARKT con Nº de seguimiento GLS ***REFERENCIA.3 ya está en reparto”, y GLS, en sus alegaciones, reconoce haber recibido de MEDIA MARKT los datos de la mercancía que contenía el envío que debió ser entregado a la parte reclamante: “El 17 de enero de 2023 MediaMarkt informó a nuestro Departamento de ATC que la mercancía buscada era “: ***REFERENCIA.2” (pág. 262 del expediente). En consecuencia, de las evidencias que constan en el expediente, no se puede atribuir a MEDIA MARKT la comisión de infracción alguna. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción atribuible a MEDIA MARKT en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a MEDIA MARKT SATURN, S.A. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es