1/6 Expediente N.º: EXP202313840 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de agosto de 2023, A.A.A. presentó reclamación ante la Agencia Española de Protección de Datos contra CORREOS EXPRESS PAQUETERIA URGENTE, S.A., S.M.E con NIF A28799120 (en adelante, la parte reclamada o CORREOS EXPRESS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que realizó la compra de una serie de productos a la entidad PROMOFARMA a través de su web, siendo la entidad reclamada la encargada de la gestión de la entrega del paquete con dichos productos; si bien, el referido paquete no fue entregado en su domicilio, por lo que reclamó ante PROMOFARMA. PROMOFARMA le informó de que el paquete con dicha compra había sido entregado en fecha 3 de agosto de 2023, por la entidad reclamada, a un tercero "B.B.B.". La parte reclamante desconoce a la persona a la que se entregó el paquete, por lo que entiende que se ha entregado el mismo con sus datos personales a un tercero, sin mediar su consentimiento. Junto a la reclamación aporta copia del albarán de entrega del paquete con sus datos, las comunicaciones intercambiadas con PROMOFARMA, así como el escrito de contestación a una reclamación planteada ante CORREOS EXPRESS por los hechos ocurridos, en el que cierran la incidencia y le conminan a que se ponga en contacto con el remitente del envío. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CORREOS EXPRESS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de octubre de 2023 como consta en el certificado de recibo que obra en el expediente. Con fecha 2 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que “…Tras la investigación interna iniciada por Correos Express, tal y como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 se expone en el epígrafe 1 del presente escrito, se han podido esclarecer los siguientes hechos: El día 2 de agosto de 2023, se tramitó un envío, con código de envío N.º ***REFERENCIA.1, cuya destinataria era la reclamante y el remitente la empresa PROMOFARMA ECOM, S.L., quien tiene la condición de cliente de Correos Express al haber ambas entidades suscrito un acuerdo mercantil de prestación de servicios de transporte de fecha 15 de junio de 2022. Adjuntamos al presente escrito como ANEXO 1 los datos del envío que aparecen en los sistemas de información de Correos Express y como ANEXO 2 el acuerdo mercantil entre PROMOFRAMA ECOM, S.L., y Correos Express. El día siguiente, 3 de agosto de 2023, el transportista encargado de realizar la entrega del envío se personó en el domicilio de destino. En este punto, debemos informar de que el repartidor es empleado de la empresa de transporte DAFNEVIA, S.L., proveedor de Correos Express. Adjuntamos al presente escrito la siguiente documentación que acredita la relación mercantil entre DAFNEVIA, S.L. y Correos Express: Acuerdo de Adjudicación del Contrato Específico CO2021023 002, en el que la empresa DAFNEVIA, S.L. resulta adjudicataria del lote N.º3 (ANEXO 3); Contrato específico de recogida, transporte y distribución de paquetería en el ámbito nacional CO2021023 002 (ANEXO 4); y Contrato de encargo del tratamiento firmado entre DAFNEVIA, S.L. y Correos Express, el cual forma parte de la documentación necesaria para ser proveedor homologado en el SDA CO2021023 (ANEXO 5). Una vez aclarado este punto y continuando con el relato de los hechos, en los sistemas de Correos Express consta que el envío fue entregado el día 3 de agosto de 2023 a las 9.30h en el domicilio indicado en la dirección de destino del envío. Aportamos la prueba de entrega correspondiente a este envío como ANEXO 6. El día siguiente de la entrega, el 4 de agosto de 2023, la reclamante se puso en contacto con el servicio de Atención al Cliente de Correos por vía telefónica indicando que no había recibido su envío. Desde Correos Express, pese a que el envío constaba como entregado, se abrió una reclamación que fue cerrada finalmente el 11 de agosto de 2023. En esa fecha se envió un correo electrónico a la reclamante indicando que no se había podido localizar su envío y que se pusiera en contacto con el remitente de este. Adjuntamos al presente escrito la información relativa a esta reclamación que consta en los sistemas de información de Atención al Cliente de Correos como ANEXO 7 y como ANEXO 8 el correo electrónico que se envió a la reclamante como respuesta a su reclamación. Tras la resolución de esta reclamación, Correos Express no volvió a recibir ninguna comunicación de la reclamante o del remitente del envío hasta el día 6 de octubre de 2023, fecha en la que Correos Express recibió el requerimiento de traslado de reclamación y solicitud de información por parte de la Agencia Española de Protección de Datos. En el momento en el que se recibió el traslado de la reclamación por parte de la AEPD, como ya hemos indicado, se iniciaron de forma inmediata las investigaciones internas con el objeto de aclarar este asunto. Dentro de estas medidas llevadas a cabo, se solicitó al repartidor de la empresa proveedora encargado de realizar el envío C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 objeto de la reclamación una declaración sobre la entrega de este envío, en la que el repartidor declaró que no recordaba los hechos acontecidos debido al tiempo transcurrido desde la fecha en la que realizó la entrega. Adjuntamos la declaración del repartidor como ANEXO 9 al presente escrito. En este punto consideramos fundamental señalar que Correos Express da instrucciones de cómo deben llevarse a cabo las entregas a todos sus proveedores que a su vez están obligados a trasladar esta información a todos sus conductores que repartan envíos de Correos Express. Asimismo, Correos Express realiza de forma periódica recordatorios a las empresas de transporte para reforzar esta información, en especial la importancia de sólo entregar los envíos a los destinatarios o terceros autorizados por estos. Adjuntamos como ANEXO 10 la última comunicación enviada al proveedor DAFNEVIA, S.L., el día 3 de octubre de 2023 recordando cómo deben efectuarse las entregas de los envíos operados por Correos Express…”. TERCERO: Con fecha 15 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CORREOS EXPRESS realiza, entre otros tratamientos, la conservación y utilización de los siguientes datos personales de personas físicas, tales como: nombre, apellidos, datos de localización…etc. CORREOS EXPRESS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” III Presunción de inocencia En el presente caso, se formula reclamación motivada por la entrega de un paquete destinado a la parte reclamante a “B.B.B.”, lo que lleva a la parte reclamante a considerar que pudo verse comprometida la confidencialidad de sus datos personales. Concretamente, la parte reclamante ha manifestado que se expusieron a un tercero (la persona que realiza las funciones de portería) los datos incorporados a la etiqueta de envío, entre otros nombre y apellidos y sus datos postales. Entiende esta Agencia que la confidencialidad solo se verá afectada cuando se posibilite el acceso por parte de un tercero a datos personales que no sean públicos o que no fueran conocidos previamente por dicho tercero. Así, la entrega de un paquete a una persona que realiza las funciones de portería en el mismo edificio, cuando en el envío postal no figure ningún dato adicional a los estrictamente necesarios para realizar la entrega (nombre y dirección), la confidencialidad de los datos personales del destinatario no se ve comprometida, al no ponerse en conocimiento del receptor del envío datos personales de la parte reclamante que no conociese. En definitiva, en el caso que nos ocupa, el examen de los documentos aportados en las actuaciones de traslado realizadas, pone de relieve la ausencia de evidencias capaces de justificar la apertura de un procedimiento sancionador, al no haber quedado acreditado que datos personales de la parte reclamante, más allá de su nombre y dirección, fuesen expuestos a terceros no autorizados, debido a que el paquete fue entregado a la persona que realiza las funciones de portería en el mismo edificio en el que reside la parte reclamante, por lo que no hay constancia de que se pusieran en conocimiento de la misma ningún datos que no conociese. El albarán emitido por la empresa de mensajería, aportado junto a la reclamación, no sirve para acreditar tal circunstancia. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- a)(…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a la parte reclamada la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 ostenta. Así pues, al no haber sido posible atribuir responsabilidad alguna por una exposición de los datos personales de la parte reclamante, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CORREOS PAQUETERIA URGENTE, S.A., S.M.E y a la parte reclamante. EXPRESS De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es