AI-00300-2024

1/7  Expediente N.º: EXP202314235 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de septiembre de 2023, A.A.A. presentó reclamación ante la Agencia Española de Protección de Datos contra CORREOS EXPRESS PAQUETERIA URGENTE, S.A., S.M.E con NIF A28799120 (en adelante, la parte reclamada o CORREOS EXPRESS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que CORREOS EXPRESS ha entregado un paquete que se encontraba dirigido a su persona a un vecino. Según afirma, el repartidor realizó la citada acción sin su consentimiento, revelando indebidamente los datos personales que constaban en el envío. Junto a la reclamación aporta una fotografía de la pegatina del paquete y varios pantallazos relacionados con la entrega de la mercancía. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de octubre de 2023 como consta en el certificado de recibo que obra en el expediente. Con fecha 13 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que “… Tras la investigación interna iniciada por Correos Express, tal y como se expone en el epígrafe 1 del presente escrito, se han podido esclarecer los siguientes hechos: El día 5 de septiembre de 2023, se tramitó un envío, con código de envío N.º ***CÓDIGO.1, cuya destinataria era la reclamante y el remitente la Farmacia Pisón Jubera quién tiene la condición de cliente de Correos Express al haber ambas entidades suscrito un acuerdo mercantil de prestación de servicios de transporte de fecha 7 de marzo de

1. Adjuntamos al presente escrito como ANEXO 1 los datos del envío que aparecen en los sistemas de información de Correos Express y como ANEXO 2 el acuerdo mercantil entre Farmacia Pisón Jubera, y Correos Express. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El día 7 de septiembre de 2023, el transportista encargado de realizar la entrega del envío se personó en el domicilio de destino. En este punto, debemos informar de que el repartidor es empleado de la empresa de transporte Transportes Emidyl 2018, S.L., proveedor de Correos Express. Adjuntamos al presente escrito la siguiente documentación que acredita la relación mercantil entre Transportes Emidyl 2018, S.L. y Correos Express: Acuerdo de Adjudicación del Contrato Específico CO2021023 002, en el que la empresa Transportes Emidyl 2018, S.L. resulta adjudicataria, ANEXO 3, y Contrato de encargo del tratamiento firmado entre Transportes Emidyl 2018, S.L. y Correos Express, ANEXO
2. Una vez aclarado este punto y continuando con el relato de los hechos, en los sistemas de Correos Express consta que el envío fue entregado el día 7 de septiembre de 2023 a las 19:56h en el domicilio indicado en la dirección de destino del envío. Aportamos la prueba de entrega correspondiente a este envío como ANEXO
3. El día siguiente de realizarse la entrega, el 8 de septiembre de 2023, se abrió una reclamación mediante llamada al teléfono del Servicio de Atención al Cliente de Correos Express, a través del sistema IVR (sistema de respuesta automatizado de voz interactiva). En este punto, consideramos relevante señalar, que ese mismo día 8 de septiembre de 2023, la señora Iglesias interpuso igualmente su reclamación ante la Agencia Española de Protección de Datos, tal y como se indica en el requerimiento de traslado de reclamación y solicitud de información enviado por la AEPD a Correos y al que damos respuesta en este escrito, sin dar tiempo a Correos Express para investigar y gestionar su reclamación. Una vez remarcado este extremo y siguiendo con el relato de los hechos, tras la llamada acerca del envío objeto de reclamación, el mismo día 8 de septiembre de 2023 el sistema IVR abrió una reclamación y envió una comunicación a la dirección de correo electrónico informada por el remitente en los datos de contacto del envío, indicando la apertura de la reclamación. El día 16 de septiembre de 2023, se dio por cerrada la reclamación y se le envió a la reclamante un correo electrónico de cierre de reclamación en el que se indicaba que el estado de la reclamación no se había actualizado, que según la información disponible en los sistemas de Correos Express el envío no había sido localizado y que por favor se pusiera en contacto con el remitente del envío. Adjuntamos como ANEXO 6 las comunicaciones entre la reclamante y el Servicio de Atención al Cliente de Correos Express y la información sobre las mismas que aparece en los sistemas de información de Correos Express. El día 20 de septiembre de 2023, la reclamante envió un escrito a Correos Express solicitando una indemnización, indicando que el envío objeto de controversia no había sido entregado a la destinataria si no “a un vecino que pasaba por el portal en estos momentos” y que la destinataria no había autorizado la entrega a un tercero. También indicaba que “a mayor abundamiento es un paquete que nunca debería haber sido entregado pues era un pedido anulado por la tienda Farma10, remitente”. Adjuntamos como ANEXO 7 el escrito enviado por la reclamante. El servicio de Atención al Cliente de Correos Express dio respuesta a este escrito el día 3 de octubre, en el que se trasladaban disculpas en el caso de que, como comentaba en su escrito, la entrega no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 se hubiera realizado correctamente, comunicándole que se había informado al departamento correspondiente para que se tomaran las medidas oportunas para evitar que se repitan situaciones similares y por último se le solicitaba que se pusiera en contacto con el remitente del envío. Adjuntamos como ANEXO 8 el escrito de respuesta del Servicio de Atención al Cliente de Correos Express. Ese mismo día, el 3 de octubre de 2023, la señora Iglesias envió un correo electrónico al buzón del Delgado de Protección de Datos de Grupo Correos, Grupo al que pertenece Correos Express (dpdgrupocorreos@correos.com) indicando que su envío había sido entregado a un vecino no autorizado y que exigía una indemnización por ello. Igualmente se indicaba que iba a interponer una denuncia ante la AEPD y “CONSUMO”, aunque, como ya hemos señalado, la reclamación ante la AEPD ya la había interpuesto el día 8 de septiembre. Adjuntamos como ANEXO 9 el correo electrónico enviado por la reclamante al buzón del DPD de Grupo Correos. Tras la recepción de este correo electrónico, la Delgada de Protección de Datos de Grupo Correos solicitó información sobre este asunto a Correos Express para esclarecer lo sucedido. El día 16 de octubre de 2023, la reclamante volvió a enviar un correo electrónico al buzón del DPD reiterando su anterior correo y adjuntando una nueva carta certificada de fecha 17 de octubre de 2023 enviada también a Correos Express. Adjuntamos este correo electrónico como ANEXO 10 y la carta certificada como ANEXO 11 al presente escrito. El día 2 de noviembre de 2023 se informó a la reclamante desde el buzón del DPD de que prorrogaba el plazo para dar respuesta a su correo electrónico debido a que se estaban realizando las pertinentes investigaciones. Además, unos días después de recibir el correo de la reclamante en el buzón del DPD, y el mismo día en que se recibió su segundo correo, el 16 de octubre de 2023, se recibió el traslado de reclamación y solicitud de información de la AEPD al que damos respuesta en este escrito. Adjuntamos como ANEXO 12 el correo electrónico enviado desde el buzón del DPD de Grupo Correos prorrogando el plazo para dar respuesta a la reclamante. Durante estas investigaciones a las que hacemos referencia, desde Correos Express se contactó con el repartidor que había realizado la entrega del envío para esclarecer lo ocurrido. El repartidor indicó que, el día 7 de septiembre de 2023 se personó en el edificio de la reclamante para entregar dos envíos, pero que por error pensó que los dos envíos iban dirigidos al ***PISO.1, cuando en realidad uno iba dirigido al ***PISO.1 y el otro, el envío objeto de controversia, al 3ºD, domicilio de la reclamante. Al entregar los dos envíos en el ***PISO.1, la persona que los recepcionó tampoco se dio cuenta de que uno de ellos no iba destinado a ese domicilio y firmó la prueba de entrega. Unos días después, el repartidor recibió una llamada de Correos Express indicando que había una reclamación por haber dejado un envío en un buzón sin autorización. El repartidor solicitó la información sobre el envío objeto de reclamación para poder aclarar lo sucedido y llamó a la reclamante para disculparse y preguntar por el envío. La reclamante le dijo que “no debía dejarlo tirado”, lo cuál el repartidor no entendió y le dijo que ella tenía en su poder el envío, pero que no lo quería. El repartidor también llamo a la vecina del ***PISO.1, a la que había entregado por error el envío de la reclamante. Esta vecina le informó de que al llegar a casa se dio cuenta de que uno de los dos envíos que habían entregado en su domicilio era de su vecina Raquel (la reclamante) y que la propia reclamante fue a su casa a por el envío y “que no hubo ningún problema por eso, incluso quedaron de acuerdo de que si alguna no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 estaba a la hora de recibir algún paquete, que se podían recibir los paquetes de mutuo acuerdo”. Asimismo, el repartidor preguntó a esta vecina que si ella había dejado el envío en el buzón, y la vecina le dijo que no, que era una caja y que no cabía en el buzón, que ella se lo entregó a la reclamante en mano. El repartidor concluyó que él pensaba que la reclamante, la señora Iglesias, “estaba equivocada de paquete y de repartidor, ya que es una caja de promofarma el paquete entregado ese día por error”. Aportamos como ANEXO 13 la declaración jurada del repartidor que realizó la entrega del envío. En este punto consideramos fundamental señalar que Correos Express da instrucciones de cómo deben llevarse a cabo las entregas a todos sus proveedores que a su vez están obligados a trasladar esta información a todos sus conductores que repartan envíos de Correos Express. Asimismo, Correos Express realiza de forma periódica recordatorios a sus proveedores para reforzar esta información, en especial la importancia de sólo entregar los envíos a los destinatarios o terceros autorizados por estos. Adjuntamos como ANEXO 14 la última comunicación de octubre de 2023 enviada por Correos Express a los proveedores del área correspondiente a la dirección de envío y que el transportista encargado de realizar la entrega objeto de reclamación recibió y firmó el día 5 de octubre de 2023, en la que se señala que de acuerdo a la normativa de protección de datos no se deben entregar los envíos a terceros distintos del destinatario, salvo que Correos Express tenga la autorización escrita del destinatario de que puedan ser entregados a terceros distintos al destinatario. Teniendo en cuenta lo anterior, el día 13 de noviembre de 2023, la Delegada de Protección de Datos de Grupo Correos dio respuesta a la reclamante indicando que tras realizar las oportunas investigaciones, se le informaba de que su envío había sido entregado el día 7 de noviembre de 2023 por error en el piso ***PISO.1 de su edificio y que ni el repartidor encargado de la entrega ni el vecino del piso ***PISO.1 que lo recepcionó se percataron de que el envío no iba dirigido a esa dirección. Además, en este correo de respuesta se informó a la reclamante de que Correos Express había sabido a través del repartidor que realizó la entrega, el cual se puso en contacto telefónico con la reclamante para interesarse por su envío y trasladarle sus disculpas, que la reclamante acudió el mismo día 7 de septiembre de 2023 al piso ***PISO.1 de su edificio donde su vecina le entregó el envío, por lo que el mismo día de la entrega la reclamante tuvo en su poder el envío. Adjuntamos como ANEXO 15 la respuesta de la Delegada de Protección de Datos a la reclamante…”. TERCERO: Con fecha 17 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CORREOS EXPRESS realiza, entre otros tratamientos, la conservación y utilización de los siguientes datos personales de personas físicas, tales como: nombre, apellidos, datos de localización…etc. CORREOS EXPRESS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” III Adopción de medidas para el cumplimiento de la normativa CORREOS EXPRESS manifiesta en el escrito presentado ante la AEPD, en fecha 13 de noviembre de 2023, que “Correos Express da instrucciones de cómo deben llevarse a cabo las entregas a todos sus proveedores que a su vez están obligados a trasladar esta información a todos sus conductores que repartan envíos de Correos Express. Asimismo, Correos Express realiza de forma periódica recordatorios a sus proveedores para reforzar esta información, en especial la importancia de sólo entregar los envíos a los destinatarios o terceros autorizados por estos. Adjuntamos como ANEXO 14 la última comunicación de octubre de 2023 enviada por Correos Express a los proveedores del área correspondiente a la dirección de envío y que el transportista encargado de realizar la entrega objeto de reclamación recibió y firmó el día 5 de octubre de 2023, en la que se señala que de acuerdo a la normativa de protección de datos no se deben entregar los envíos a terceros distintos del destinatario, salvo que Correos Express tenga la autorización escrita del destinatario de que puedan ser entregados a terceros distintos al destinatario.” El texto de la comunicación es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 “Recordatorio: “Es de obligación hacer las entregas a los destinatarios de los envíos. Únicamente pueden hacer entregas a terceros distintos de los destinatarios en aquellos supuestos en que el destinatario haya autorizado por escrito para hacer la entrega del envío a un tercero” En el procedimiento de entrega de envíos de Correos Express que se adjunta, recoge: “De conformidad con la normativa de Delegado de protección de datos no se deben entregar los envíos a terceros distintos del destinatario, salvo que Correos Express tenga la autorización escrita del destinatario de que puedan ser entregados a terceros distintos del destinatario”. Entregar un envío a una persona distinta del destinatario es una infracción en materia de protección de datos en la medida en que se facilitan datos personales de una persona (el destinatario del envío) a terceros, sin que dicho tratamiento esté autorizado por el destinatario. Conllevando multa económica por sanción por parte de la AEPD (Agencia Española de Protección de Datos).” En consecuencia, es evidente que CORREOS EXPRESS ha adoptado otras medidas adicionales con posterioridad a la presentación de la reclamación; por lo que, procede la aplicación del artículo 65.6 LOPDGDD, que establece expresamente que: “(…)
4. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica(…)”. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, y dado que conforme al artículo 65.6 LOPDGDD, concurren circunstancias que aconsejan la adopción de otras soluciones alternativas a la acción correctiva, procede el archivo de la reclamación. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CORREOS PAQUETERIA URGENTE, S.A., S.M.E y a la parte reclamante. EXPRESS De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es