AI-00326-2024

1/6  Expediente N.º: EXP202314580 (AI/00326/2024) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de septiembre de 2023, se presentó reclamación con número de registro de entrada REGAGE(…), REGAGE(…) y REGAGE(…) ante la Agencia Española de Protección de Datos contra SEUR GEOPOST, S.L. con NIF B82516600 (en adelante, SEUR GEOPOST). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de entrega fue realizada por la entidad reclamada y que el repartidor de la entrega de dicho paquete depositó el mismo, sin mediar autorización para ello, en un establecimiento público cercano a la vivienda de la parte reclamante, exponiendo a terceros los datos contenidos en la etiqueta de envío del citado paquete, lo que entiende como un comportamiento contrario a la normativa de protección de datos. Junto a la reclamación se aporta hilo de chat mantenido con la entidad que remitió el paquete y mensaje recibido de la entidad reclamada en la que reconoce la entrega del paquete en un establecimiento cercano a la vivienda de la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SEUR GEOPOST, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 17 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando: “PRIMERA.- En el caso de que la prestación del servicio de reparto estuviera vinculado a un contrato con la empresa suministradora del producto/vendedora, deberá aportar la copia del contrato suscrito con dicha empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Es de interés de esta parte poner de manifiesto que SEUR mantiene una relación contractual con la empresa AMAZON (en adelante AMAZON) donde SEUR se obliga a restar a AMAZON el servicio de transporte consistente en la recogida de los envíos que éste le solicite para su entrega en el lugar de destino. Tal y como se solicita por la AEPD, se adjunta como Anexo I extracto del contrato suscrito entre SEUR y la empresa AMAZON. SEGUNDA.- La decisión adoptada a propósito de esta reclamación e Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Tras la recepción del presente requerimiento de información, SEUR ha procedido a investigar los hechos ocurridos y ha comprobado lo siguiente: - Que un repartidor de SEUR acudió al domicilio del reclamante para efectuar una entrega. - Que la reclamante se encontraba ausente en el momento de la entrega. - Que, en consecuencia, el repartidor entrega el paquete del reclamante en un local cercano a su domicilio. De esta forma, tras analizar los hechos, consideramos que la incidencia se ha producido como consecuencia de un error del repartidor, al no haber seguido los protocolos internos de SEUR para la correcta entrega y recogida de mercancía. En este sentido, SEUR pone en conocimiento de la AEPD que, en cumplimiento de las obligaciones de la normativa aplicable de su actividad de transporte, tiene implantados los correspondientes procedimientos y manuales corporativos, donde se determinan las pautas a seguir para la correcta entrega o recogida de la mercancía. En concreto, SEUR dispone de un manual con la operativa que deben seguir los repartidores denominado “Manual Operativa Repartidor/a”, documento que se hace entrega a los mismos en el momento de la contratación o comienzo de la prestación del servicio con SEUR. Según se especifica en dicho manual, cuando un destinatario se encuentra ausente del domicilio, el repartidor notificará la ausencia en la PDA, saltando de forma automática una llamada al destinatario para acordar una nueva forma de entrega, entre las que se encuentran la entrega autorizada a un tercero. Se incluye como Anexo II capturas del manual donde se específica las obligaciones de los repartidores para la correcta entrega o recogida de mercancía. Por lo tanto, a través de esa llamada, se da la posibilidad al destinatario de que preste su autorización para que el repartidor deje la mercancía a terceras personas como pueden ser un vecino, el conserje, etc. Si el destinatario así lo autoriza, el repartidor marcará esta opción en la PDA pulsando en el botón “Entrega autorizada en otro domicilio”. Toda esta operativa es parte de la formación impartida a los repartidores para el cumplimiento de los protocolos internos de SEUR. Se incluye como Anexo III extracto de la formación en este sentido. Adicionalmente, SEUR imparte a los repartidores otras formaciones periódicas sobre la importancia de que hagan un buen uso y traten de forma diligente los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 personales que gestionan diariamente de los remitentes, destinatarios y/o autorizados. En concreto, una de las últimas acciones de formación realizadas consistió en difundir un video denominado “Buenas prácticas en Privacidad”. Igualmente, como parte de dichas formaciones periódicas, se ha desarrollado un vídeo formativo denominado “Procedimiento de entrega: Cliente ausente” con el objetivo de reforzar la concienciación sobre el protocolo a seguir en estos casos. Se incluye como Anexo IV extracto de dicha formación. Por todo ello, tal y como se ha adelantado, confirmamos que la incidencia se ha producido por una mala praxis puntual del repartidor al no seguir los protocolos internos de la compañía, y por tanto, siguiendo una práctica no autorizada por SEUR. TERCERA.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficia. Como se ha descrito en el apartado anterior, SEUR tiene implantadas medidas adecuadas en los diferentes procedimientos y manuales de reparto para evitar que vuelvan a suceder los hechos denunciados. Asimismo, se realizan formaciones periódicas para concienciar a los repartidores sobre dichas prácticas, con el objetivo de que se respeten los derechos en materia de protección de datos de los destinatarios de mercancías transportadas por SEUR. No obstante, y a consecuencia de la incidencia producida, desde SEUR ha vuelto a reiterar a todos los repartidores la necesidad de cumplir con el protocolo establecido para la entrega en caso de ausencia en el domicilio incidiendo en la obligatoriedad de acordar una nueva forma de entrega y en su caso solicitar autorización para la entrega a terceros. Asimismo, se ha planificado impartir a todos los repartidores la formación incluida en el Anexo IV para reforzar la concienciación sobre los protocolos a seguir. Por último, queremos reiterar nuestro compromiso por garantizar en todo momento la seguridad y confidencialidad de los datos que gestionamos diariamente, así como por cumplir en tiempo y plazo con la prestación del servicio de transporte de mercancía contratado por nuestros clientes.” TERCERO: Con fecha 29 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SEUR GEOPOST realiza, entre otros tratamientos, la conservación y utilización de los siguientes datos personales de personas físicas, tales como: nombre, apellidos y domicilio de sus clientes. SEUR GEOPOST realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” III Adopción de medidas para el cumplimiento de la normativa SEUR GEOPOST manifiesta en el escrito presentado ante la AEPD, en fecha 17 de noviembre de 2023, que “…tiene implantadas medidas adecuadas en los diferentes procedimientos y manuales de reparto para evitar que vuelvan a suceder los hechos denunciados. Asimismo, se realizan formaciones periódicas para concienciar a los repartidores sobre dichas prácticas, con el objetivo de que se respeten los derechos en materia de protección de datos de los destinatarios de mercancías transportadas por SEUR. No obstante, y a consecuencia de la incidencia producida, desde SEUR ha vuelto a reiterar a todos los repartidores la necesidad de cumplir con el protocolo establecido para la entrega en caso de ausencia en el domicilio incidiendo en la obligatoriedad de acordar una nueva forma de entrega y en su caso solicitar autorización para la entrega a terceros. Asimismo, se ha planificado impartir a todos los repartidores la formación incluida en el Anexo IV para reforzar la concienciación sobre los protocolos a seguir. …”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En el Anexo IV de la documentación aportada por SEUR GEOPOST se comprueba que, en la formación impartida a su personal, consta el siguiente mensaje: “Sin la autorización previa del cliente, NO está permitido entregar en una tienda cercana (si no es un pickup), a un vecino o incluso al portero”. En consecuencia, es evidente que SEUR GEOPOST ha adoptado otras medidas adicionales con posterioridad a la presentación de la reclamación; por lo que, procede la aplicación del artículo 65.6 LOPDGDD, que establece expresamente que: “(…) 6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica(…)”. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, y dado que conforme al artículo 65.6 LOPDGDD, concurren circunstancias que aconsejan la adopción de otras soluciones alternativas a la acción correctiva, procede el archivo de la reclamación. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SEUR GEOPOST, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es