1/7 Expediente N.º: EXP202313334 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 (en adelante, GLS). A través del citado escrito la parte reclamante manifiesta que era destinataria de un paquete cuya gestión de entrega correspondía a GLS. Señala que el día 1 de agosto de 2023 recibió un correo electrónico conforme va a ser entregado su paquete mediante la empresa de transporte GLS. Señala que dicho día, a pesar de que por circunstancias laborales no se encontraba en casa, recibió a las 16:00 un correo electrónico por parte de GLS conforme ya había sido entregado en la dirección de su domicilio. En dicho correo figura su nombre como firmante de la recepción del paquete junto con un DNI anonimizado con cifras distintas a la suya. Concluye indicando que se ha entregado el paquete a un tercero, en el cual figuran ciertos datos personales, sin mediar su consentimiento. A efectos acreditativos, junto a la notificación se aporta el mensaje de entrega del paquete recibido por correo electrónico donde figura: la confirmación de la recepción, los datos del receptor y los datos de destino. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 02/10/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 02/11/2023 se recibe por esta autoridad escrito de respuesta de GLS indicando, resumidamente, declaraciones que seguidamente se exponen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En primer lugar, GSL afirma que está firmemente comprometida con el cumplimiento de la normativa de protección de datos y, que por ello, ha implementado diversas políticas y procedimientos que buscan garantizar el tratamiento adecuado de los datos personales, los cuales revisados de manera regular a la luz de cambios normativos y directrices de la AEPD. Por lo que respeta a la reclamación específica presentada, manifiesta lo siguiente: - - Que GLS recibió un encargo de su cliente, SHEIN, para enviar un paquete a la parte reclamante, delegando la entrega en su colaborador ENVIPAQ. Que, tras recibir la comunicación por la parte reclamante, GLS llevó a cabo una investigación inmediata tanto interna como con ENVIPAQ. De ella se averiguó que, aunque la geolocalización del mensajero mostraba que se encontraba en la dirección correcta, se registró un número de DNI inexistente, lo que indicaba una entrega falsa. Que, en consecuencia, el mensajero responsable ya no trabaja para ENVIPAQ, reflejando la seriedad con la que GLS y sus colaboradores abordan tales incidentes. Asimismo, GLS declara que, en cumplimiento del principio de minimización de datos del artículo 5.1
- c)del RGPD, solo incluyen en las etiquetas de envío los datos personales imprescindibles para efectuar la entrega: nombre, apellidos y dirección del destinatario. A efectos de acreditación de dicha circunstancia adjunta junto a su escrito una digitalización de la etiqueta donde figuran los datos mencionados. En cualquier caso, GLS considera la entrega incorrecta como un incumplimiento grave del servicio por parte de ENVIPAQ, el cual tiene la consideración de encargado de tratamiento. A tales efectos, presenta el contrato suscrito con ENVIPAQ, en el que se incluyó como Anexo VIII el Contrato de Encargado del Tratamiento. Este contrato establece las responsabilidades de ENVIPAQ en el tratamiento de datos personales en nombre de GLS, asegurando que se adopten las medidas técnicas y organizativas apropiadas para proteger los datos personales durante el proceso de entrega. En consecuencia, al constatar que el paquete no fue entregado correctamente, se procedió un expediente de auditoría y penalizaron a ENVIPAQ según sus procedimientos internos. Se adjunta al citado escrito comunicación de la penalización a la empresa colaboradora como evidencia de tales hechos. Por otro lado, GLS afirma que, con el fin de asegurar el cumplimiento de la normativa, ha venido implementando varias medidas adicionales, tales como: - - Actualización de la “Guía práctica del repartidor”, donde se destaca con mayor claridad la prohibición de efectuar entregas a terceros sin autorización previa del destinatario y la responsabilidad de las entidades colaboradoras en la recogida de dicha autorización. Comunicados periódicos: GLS envía recordatorios periódicos a todas las entidades colaboradoras para remarcar la importancia de cumplir con la normativa vigente y las resoluciones de la AEPD. Estos comunicados se distribuyen a través de la intranet, correo electrónico y aplicaciones de mensajería instantánea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - Recordatorios en la App de reparto: Un recordatorio aparece cada vez que un repartidor accede a la App de Reparto, estipulando la prohibición de entregas a vecinos o porteros sin autorización expresa. Material formativo: GLS ha incluido menciones a la resolución PS-00280-2022 en el material formativo que reciben todos los colaboradores nuevos y se refuerza esta formación con los colaboradores existentes. Asimismo, GLS afirma haber intensificado su sistema de auditoría para asegurar que todos sus colaboradores cumplan con los procedimientos establecidos para la entrega de paquetes. Han advertido a las empresas colaboradoras que se reservan el derecho de tomar medidas correctivas más graves, incluida la resolución de la relación contractual en casos de incumplimiento. En conclusión, GLS afirma que ha diseñado e implementado medidas suficientes para reducir y, en la medida de lo posible, evitar que se produzcan incumplimientos en la entrega de paquetes por parte de sus colaboradores. A pesar de estos esfuerzos, reconocen que se produjeron errores en la entrega de un volumen significativo de paquetes, pero aseguran que estos incidentes son mínimos comparados con el total de entregas diarias realizadas. GLS reitera su compromiso con la mejora continua de sus procedimientos de seguridad y protección de datos. TERCERO: Con fecha 1 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El mismo artículo 4 del RGPD define el “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” En el presente caso, resulta evidente que GLS realiza en el ejercicio de su actividad un tratamiento recurrente de datos personales, incluido aquellos pertenecientes a la parte reclamante necesarios para hacer la entrega. Entre las operaciones de tratamiento derivadas de su actividad la recogida, registro, organización, conservación, comunicación por transmisión y consulta de los datos personales necesarios para gestionar y efectuar la entrega del paquete. Asimismo, el contrato de encargo de tratamiento y la comunicación de estos datos a su colaborador ENVIPAQ para la entrega confirman la existencia de dicho tratamiento. Asimismo, el citado artículo define, por un lado, al «Responsable del tratamiento» o «responsable» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina.” Por otro lado, define como «encargado del tratamiento» o «encargado» a la “persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En este caso, de acuerdo con dicha definición es GLS la responsable del tratamiento de los datos personales en el ejercicio de su actividad de mensajería y paquetería, mientras que la empresa ENVIPAQ tiene la consideración de encargado de tratamiento, tal y como se establece en el contrato de encargado de tratamiento que fue aportado durante el traslado por la propia parte reclamada. III Presunción de inocencia En el presente caso, se formula una reclamación motivada por la entrega incorrecta de un paquete destinado a la parte reclamante, lo que lleva a la parte reclamante a considerar que pudo verse comprometida la confidencialidad de sus datos personales. Concretamente, la parte reclamante ha manifestado que se expusieron a un tercero los datos incorporados a la etiqueta de envío, entre otros, nombre, apellidos y sus datos postales. Entiende esta autoridad que la confidencialidad solo se verá afectada cuando se posibilite el acceso por parte de un tercero a datos personales que no sean públicos o que no fueran conocidos previamente por dicho tercero. Así, la entrega de un paquete a un tercero, cuando en el envío postal no figure ningún dato adicional a los estrictamente necesarios para realizar la entrega (nombre y dirección), no compromete la confidencialidad de los datos personales del destinatario si no se ponen en conocimiento del receptor del envío datos personales de la parte reclamante que este no conociese previamente. En otras palabras, si el tercero no autorizado no accede a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 información adicional o sensible que no conocía anteriormente, no se considera que haya una vulneración de la confidencialidad según lo estipulado por el RGPD. En definitiva, en el caso que nos ocupa, el examen de los documentos aportados en las actuaciones de traslado realizadas pone de relieve la ausencia de evidencias capaces de justificar la apertura de un procedimiento sancionador. No ha quedado acreditado que datos personales de la parte reclamante, más allá de su nombre y dirección, fuesen expuestos a terceros no autorizados. Asimismo, el hecho de que el paquete haya sido entregado a un tercero no autorizado no implica automáticamente una vulneración de la confidencialidad si no se ha puesto en conocimiento del receptor ningún dato adicional que no conociese previamente. La confirmación de correo electrónico emitida por la empresa de mensajería, aportada junto a la reclamación, no sirve para acreditar tal circunstancia. Por tanto, debido a la falta de pruebas suficientes que demuestren una vulneración efectiva del principio de confidencialidad, esta Agencia procede al archivo de la reclamación. No se ha demostrado que los datos personales de la parte reclamante, más allá de su nombre y dirección necesarios para la entrega, hayan sido expuestos a terceros no autorizados de manera que comprometan su confidencialidad e integridad. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- a)(…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a la parte reclamada la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello se entiende sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir responsabilidad alguna por una exposición de los datos personales de la parte reclamante, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 935-050724 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es