AI-00299-2024

1/6  Expediente N.º: EXP202313838 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de agosto de 2023, Don A.A.A. presentó reclamación ante la Agencia Española de Protección de Datos contra CORREOS EXPRESS PAQUETERIA URGENTE, S.A., S.M.E con NIF A28799120 (en adelante, la parte reclamada o CORREOS EXPRESS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de entrega fue realizada por la entidad reclamada, quienes entregaron, sin su consentimiento, el paquete en un establecimiento público, un bar, lo que supuso la exposición de sus datos personales a terceros; ya que en la etiqueta de envío del paquete figuraban sus datos. Junto a la reclamación aporta el documento de compra de productos que se encontraban en el paquete del que era destinatario y el albarán de entrega del paquete. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CORREOS EXPRESS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de octubre de 2023 como consta en el certificado de recibo que obra en el expediente. Con fecha 2 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que “…Tras la investigación interna iniciada por Correos Express, tal y como se expone en el epígrafe 1 del presente escrito, se han podido esclarecer los siguientes hechos: El día 1 de agosto de 2023, se tramitó un envío, con código de envío N.º (...), cuyo destinatario era el reclamante y el remitente la empresa Arise Netherlands E – commerce B.V. (en adelante, “MIRAVIA”), quién tiene la condición de cliente de Correos Express al haber ambas entidades suscrito un acuerdo mercantil de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 prestación de servicios de transporte. Adjuntamos al presente escrito como ANEXO 1 los datos del envío que aparecen en los sistemas de información de Correos Express y como ANEXO 2 el acuerdo mercantil de prestación de servicios de transporte entre MIRAVIA y Correos Express. El día 3 de agosto de 2023, el conductor encargado de realizar la entrega del envío, entregó el envío a las 13:52h, tal y como consta en la prueba de entrega que adjuntamos como ANEXO 3. En este punto, debemos informar de que el conductor encargado de realizar la entrega del envío es un proveedor de Correos Express que trabaja como transportista en régimen de autónomo. Adjuntamos como ANEXO 4 el contrato de encargo del tratamiento firmado con este proveedor. El día 11 de agosto de 2023, el reclamante se puso en contacto con el servicio de Atención al Cliente de Correos Express por vía telefónica para abrir una reclamación indicando que no había recibido su envío a lo que el servicio de Atención al Cliente de Correos Express respondió el día 18 de agosto de 2023 mediante correo electrónico indicando que el envío no estaba localizado según la información disponible en los sistemas de Correos Express e indicándole que se pusiera en contacto con el remitente del envío para realizar la reclamación correspondiente. El día 22 de agosto de 2023, el reclamante abrió una nueva reclamación en los mismos términos que la anterior a través del teléfono del servicio de Atención al liente de Correos Express, a la que se le respondió mediante correo electrónico el día 29 de agosto de 2023 facilitando la misma respuesta que en la reclamación previa. Adjuntamos ambas comunicaciones del servicio de Atención al Cliente de Correos Express como ANEXO 5. El día 11 de agosto de 2023 el equipo de Customer Care de Miravia se puso en contacto con Correos Express solicitando información sobre el envío objeto de esta reclamación, indicando que el pedido tenía el estado “Entregado”, pero el cliente no lo había recibido. Igualmente se indicaba que se intentara recuperar el envío y que, de no ser posible, se declarara el envío como perdido para que se pudiera proceder con el reembolso al cliente. Adjuntamos el correo de MIRAVIA a Correos Express como ANEXO 6. Desde Correos Express se procedió a llamar al proveedor para esclarecer lo que había pasado con este envío y el paradero de este. El conductor informó de que el envío lo entregó por error en un establecimiento, cafetería (...), debido a que confundió al señor A.A.A. con otro destinatario del cuál si tenía autorización para entregar los envíos en dicha cafetería. Adjuntamos como ANEXO 7 la declaración del proveedor encargado de la entrega del envío. En este punto consideramos fundamental señalar que Correos Express da instrucciones de cómo deben llevarse a cabo las entregas a todos sus proveedores de transporte que reparten los envíos. Asimismo, Correos Express realiza de forma periódica recordatorios a sus proveedores para reforzar esta información, en especial la importancia de sólo entregar los envíos a los destinatarios o terceros autorizados por estos. Adjuntamos como ANEXO 8 la última comunicación de octubre de 2023 enviada por Correos Express a los proveedores del área correspondiente a la dirección de envío y que el transportista encargado de realizar la entrega objeto de reclamación recibió y firmó el día 3 de octubre de 2023, a la que se adjunta el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 procedimiento de entrega de Correos Express y en la que se señala que de acuerdo a la normativa de protección de datos no se deben entregar los envíos a terceros distintos del destinatario, salvo que Correos Express tenga la autorización escrita del destinatario de que puedan ser entregados a terceros distintos al destinatario. Por último, consideramos relevante señalar que, una vez advertido su error, el proveedor de Correos Express llamó por teléfono al destinatario para trasladar sus disculpas por la confusión con los dos envíos y el destinatario le confirmó que tenía el envío en su poder…”. TERCERO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, CORREO EXPRESS era la empresa responsable de entregar el paquete a la parte reclamante; si bien, lo entregó a una tercera persona sin el consentimiento de aquella. CORREO EXPRESS es la empresa de paquetería urgente del Grupo Correos, es una empresa que se dedica al servicio de paquetería urgente en la Península Ibérica y destinos internacionales, integrándose en el desarrollo y las necesidades de negocio de sus clientes, garantizando la calidad comprometida y respetando el medio ambiente. En el ejercicio de dicha actividad CORREO EXPRESS realiza, entre otros tratamientos, la recogida, consulta, utilización y acceso de los siguientes datos personales de clientes, tales como: nombre, apellidos, DNI, NIE y/o Pasaporte, domicilio postal…, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 CORREO EXPRESS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” III Adopción de medidas para el cumplimiento de la normativa CORREOS EXPRESS manifiesta en el escrito presentado ante la AEPD, en fecha 8 de noviembre de 2023, que “…que Correos Express da instrucciones de cómo deben llevarse a cabo las entregas a todos los transportistas que repartan envíos de Correos Express. Asimismo, Correos Express realiza de forma periódica recordatorios a los transportistas para reforzar esta información, en especial la importancia de sólo entregar los envíos a los destinatarios o terceros autorizados por estos. Adjuntamos como ANEXO 7 a este escrito comunicación enviada por parte de Correos Express en la que se recuerda cómo deben efectuarse las entregas de los envíos operados por Correos Express, y en concreto se indica que únicamente se pueden hacer entregas a terceros distintos de los destinatarios en aquellos supuestos en los que el destinatario haya autorizado por escrito para hacer la entrega del envío a un tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En consecuencia, es evidente que CORREOS EXPRESS ha adoptado otras medidas adicionales con posterioridad a la presentación de la reclamación; por lo que, procede la aplicación del artículo 65.6 LOPDGDD, que establece expresamente que: “(…) 6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica(…)”. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, y dado que conforme al artículo 65.6 LOPDGDD, concurren circunstancias que aconsejan la adopción de otras soluciones alternativas a la acción correctiva, procede el archivo de la reclamación. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CORREOS PAQUETERIA URGENTE, S.A., S.M.E y a la parte reclamante. EXPRESS De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es