AI-00339-2023

1/9  Expediente N.º: EXP202311688 (AI/00339/2023) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de julio de 2023, se presentó reclamación con número de registro de entrada REGAGE(…) ante la Agencia Española de Protección de Datos contra CTT EXPRESSO-SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA con NIF W1000101D (en adelante, CTT EXPRESSO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la entidad reclamada era la entidad encargada de la gestión de entrega de un paquete del que la parte reclamante era destinataria y señala que en fecha 24 de mayo de 2023 le fue notificada la entrega del paquete, si bien este no fue entregado en su domicilio, ni le constaba que hubiera sido entregado a vecinos, figurando referencia en el albarán de entrega de dicho paquete un DNI de la persona que supuestamente recogió el paquete, distinto al de la parte reclamante, así como una rúbrica que no es la de la parte reclamante, por lo que entiende que se ha entregado a un tercero, desconocido por la parte reclamante, suponiendo una ineficaz adopción de medidas de seguridad en el tratamiento de sus datos, incluidos en la etiqueta del paquete. Junto a la notificación se aporta imagen del albarán de entrega del paquete del que era destinario. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 5 de septiembre de 2023 se dio traslado de dicha reclamación a CTT EXPRESSO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 4 de octubre de 2023 se recibe en esta Agencia escrito de respuesta indicando que el Delegado de Protección de Datos de CTT tras el análisis de la resolución sancionadora de la AEPD dirigida contra una empresa del sector logístico (Expediente N.º: PS/00280/2022) procedió, en Noviembre de 2022, a elaborar un Informe Técnico. Como consecuencia de este, se creó un equipo de trabajo con los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 diferentes responsables que participan en la operativa diaria de entrega de mercancías a clientes, al objeto de que se adaptaran los procesos de trabajo a las recomendaciones del informe. En sustancia se daban instrucciones para que, en la operativa de entrega de mercancía a los clientes, se informe a los mismos sobre la posibilidad que tienen de no autorizar la entrega de su paquete a un tercero en caso de ausencia en su domicilio y, en consecuencia, no hacer la entrega si el cliente ha manifestado su negativa al respecto. A propósito de esta reclamación, por parte de CTT se ha procedido a revisar el caso de la parte reclamante y se ha podido comprobar que se hizo la entrega a la persona que estaba en el domicilio indicado a la que tan sólo se identificó por su DNI. Por otro lado, la firma/rúbrica que aparece en el justificante de entrega no es tal. Es una mera línea. No tiene ninguna grafía que se asemeje a una rúbrica. Según CTT, la parte reclamante fue informada en todo momento del proceso de entrega, y el repartidor que hizo la entrega nos confirma que hizo la entrega en el domicilio indicado por la parte reclamante. En cualquier caso, nuestro departamento de Atención al cliente ha intentado ponerse en contacto telefónico con la reclamante, en numerosas ocasiones, sin que esta responda al teléfono. TERCERO: Con fecha 9 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN - La reclamante aporta, junto al escrito de reclamación, una imagen del justificante de entrega de la mercancía, que manifiesta que la ha sido facilitada por el vendedor, en el que se comprueba que consta como datos del destinatario del envío los datos de la reclamante y en el espacio destinado a la firma consta en el campo “Fdo:” el nombre y primer apellido de la reclamante y en el campo “DNI” consta un número de DNI que no se corresponde con el número de DNI de ésta y como firma figura una pintada una raya. - Con fecha 4 de octubre de 2023 tuvo entrada en la AEPD, escrito de CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA (en adelante CTTE) de respuesta al traslado, y con fecha de 3/3/2024 tuvo entrada un escrito de respuesta a la solicitud de información de la Inspección de Datos en los que pone de manifiesto lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid Aportan un informe del Delegado de Protección de Datos de la compañía (DPD) que fue elaborado con el objetivo de dar instrucciones y propuesta de cambios en la operativa de poder entregar los envíos a otra persona www.aepd.es sedeagpd.gob.es 3/9 distinta del destinatario, en caso de no estar este localizable en su domicilio. Se daban instrucciones para que, en la operativa de entrega de mercancía a los clientes, se informe a los mismos sobre la posibilidad que tienen de no autorizar la entrega de su paquete a un tercero en caso de ausencia en su domicilio y, en consecuencia, no hacer la entrega si el cliente ha manifestado su negativa al respecto, la cual entró en funcionamiento en el mes de diciembre de 2022. Manifiestan que se ha puesto a disposición del destinatario la posibilidad de desistir la entrega del paquete mediante dos notificaciones enviadas a su email en las que se indica la opción de desistir pinchando en un enlace que dirige al formulario de desistimiento en la web de CTTE. Este formulario debidamente cumplimentado y enviado por el destinatario hace que se informe al conductor que únicamente podrá realizar la entrega en la dirección destino, garantizando de esta manera el derecho del destinatario a desistir la entrega en un vecino, buzón o portería. Aportan copia del procedimiento de Gestión de los envíos a los clientes establecido por CTT que describe la operativa de actuación. En el mismo no se incluye operativa de actuación en el caso de que la entrega la recoja una persona distinta del titular cuando esta no se encuentra en el domicilio. Entienden que la persona que recoge el envío tiene un vínculo de relación, parentesco, amistad, matrimonio, etc. con la persona destinataria. Si no quisiera el destinatario que la entrega la recogiese otra persona que está en su domicilio siempre tiene la opción de cambiar la dirección de entrega (ej: en el trabajo) y así tendría acceso solo el destinatario. El domicilio de entrega lo indica el cliente con los datos que le ha facilitado el propio destinatario, siendo este quien puede modificarlo con la opción de “Gestiona tu envío”. o Respecto a la decisión adoptada a propósito de esta reclamación, manifiestan que por parte de CTTE se ha procedido a revisar el caso y se ha podido comprobar que se hizo la entrega a la persona que estaba en el domicilio indicado a la que se identificó por su DNI. o Respecto a las causas que han motivado la incidencia que ha originado la reclamación, manifiestan que tras analizar el caso concreto de la reclamante se ha comprobado que la entrega de mercancía a la reclamante se corresponde con el contrato firmado con la empresa PAGONE TYCHE S.L. Aportan copia del contrato de prestación de servicios de fecha 12 de mayo de 2023 entre CTTE y PAGONE TYCHE S.L., comprobando que incluye la siguiente cláusula: “DECIMOTERCERA Protección de datos de carácter personal. El Prestador se compromete a tratar los datos de carácter personal a los que tenga acceso y que le sean facilitados por CTET únicamente para la prestación del servicio contratado, en la forma que exija el desempeño de sus obligaciones derivadas de este contrato, no disponer de ella de ninguna otra forma o con otra finalidad y siempre de acuerdo a las instrucciones que esta le transmita en cada momento. El Prestador no utilizará en forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 alguna cualquier otra información que hubiese podido obtener y que no sea necesaria para el desempeño de los servicios. El Prestador se compromete y obliga al cumplimiento de la normativa existente en materia de protección de datos de carácter personal, haciendo compatible el respeto de la referida normativa, con el cumplimiento de lo establecido en el presente contrato. En particular se obliga a: Utilizar las herramientas, soportes, plataformas y documentación que CTTE ponga a su disposición para recabar el referido consentimiento de los clientes finales. Cumplir con las medidas de seguridad establecidas por el Reglamento General de Protección de Datos (RGPD) así como supervisando el cumplimiento de sus trabajadores y colaboradores. Adoptar las medidas de índole técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal que eviten su alteración, pérdida, tratamiento o acceso no autorizado, en cumplimento con lo establecido por el RGPD. Cumplir con las obligaciones y cláusulas establecidas en el anexo V de tratamiento de datos de carácter personal. El Prestador se compromete a que todo el personal que acceda a los datos de carácter personal estará obligado a conocer y observar las medidas, normas, procedimientos, reglas y estándares de seguridad y de protección de los datos que trate en función de las tareas que tenga asignadas. El Prestador puede ejercitar sus derechos de acceso, rectificación, cancelación, oposición, portabilidad y limitación del tratamiento por mail, así como reclamar ante la competente Autoridad de Control.” o Manifiestan que a la reclamante fue informada de la próxima entrega del paquete y también en el mismo día sin que, en ningún momento, hiciera uso de la justificación de desistimiento de entrega en caso de ausencia del domicilio. Aportan copia del contenido de los avisos que, según manifiesta la parte reclamada, fueron enviados a la reclamante, en los que se informa de la fecha de entrega del envío y de lo siguiente: “Para facilitar la entrega de tu envío te informamos de que, en el supuesto de que no haya respuesta en el domicilio de entrega, nuestro repartidor intentará contactar telefónicamente contigo para acordar una entrega en un lugar o fecha alternativos. Si, finalmente, no conseguimos entregar en el domicilio o lugar alternativo, ni contactar contigo, depositaremos el envío en el punto de entrega CTT Express más cercano para que puedas recogerlo posteriormente. En el caso de que no desees la entrega alternativa al domicilio indicado, antes de depositarlo en el Punto CTT Express, por favor haz clic AQUÍ”. Se ha comprobado por el Subinspector actuante, que pinchando en el enlace “AQUÍ” se redirige a una página de CTT titulada “Desestimar política de entrega”, la cual solicita los datos del envío y dispone de un botón para solicitar desistimiento de entrega en domicilio alternativo. Aportan detalle de las notificaciones enviadas a la reclamante que constan en sus sistemas que se corresponden con la siguiente secuencia: • El día 23 de mayo a las 17:42:36 se envió la entrega a la carta al correo ***USUARIO.1@gmail.com C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 • El día 24 de mayo a las 07:25:47 se envió la entrega hoy (puesta en reparto) al correo ***USUARIO.1@gmail.com • El día 24 de mayo a las 09:22:54 se envió el entregado al correo ***USUARIO.1@gmail.com Adjuntamos evidencia de los correos enviados disponibles en nuestros sistemas o No les consta reclamación alguna por parte de la reclamante en relación con la entrega de este servicio. o Respecto a las medidas tomadas para evitar que se produzcan incidencias similares, manifiestan que se ha procedido a revisar las operativas de entrega para que asegurar que este tipo de casuísticas no se repitan, insistiendo en la importancia de que todos los conductores marquen correctamente la opción que corresponda sobre los envíos que tienen diariamente planificados. o Aportan copia del Anexo de Protección de datos al contrato que mantiene CTT con la entidad en la que la reclamante hizo su compra, Infinity Stiyles Ecommerce, bajo la marca comercial SHEIN, en lengua inglesa. Contiene entre otras las siguientes clausulas, traducidas al español por el firmante de este informe:  2. Relación entre las Partes 2.1 SHEIN es el Responsable y el Proveedor es el Encargado del Tratamiento, tal y como se definen dichos términos en las Leyes de Privacidad Aplicables.  El Proveedor garantiza y se compromete con respecto a todos los Datos de SHEIN y/o Datos de Clientes que Trate durante la realización de Actividades de Tratamiento de Datos para SHEIN (o sus clientes):  (

1. a)no tratará los Datos de SHEIN y/o los Datos del Cliente para ningún otro fin que no sea la realización de las Actividades de Tratamiento de Datos, salvo que la legislación aplicable exija lo contrario, en cuyo caso el Proveedor informará a SHEIN de dicho(
2. s)requisito(
3. s)legal(es), a menos que se lo prohíba expresamente dicho(
4. s)requisito(
5. s)legal(es);  (
6. b)se asegurará de que todas las Personas Autorizadas que accedan a los Datos de SHEIN y/o a los Datos de los Clientes se hayan comprometido por escrito a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada; FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 De acuerdo con las funciones que el artículo 57.1 a),
7. f)y
8. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CTT EXPRESSO realiza, entre otros tratamientos, la conservación y utilización de los siguientes datos personales de personas físicas, tales como: nombre, apellidos, número de identificación y datos de localización. CTT EXPRESSO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 III Presunción de inocencia En el presente caso, la parte reclamante manifiesta que le fue notificada la entrega de un paquete, si bien este no fue entregado en su domicilio, ni le constaba que hubiera sido entregado a algún vecino, figurando en el albarán de entrega de dicho paquete un DNI de la persona que supuestamente recogió el paquete, el cual es desconocido por la parte reclamante, así como una rúbrica, que no es la de la parte reclamante. Por otra parte, según la respuesta de CTT EXPRESO al requerimiento de información formulado por esta Agencia, su operativa de entrega de mercancía a los clientes, es la entrega a un tercero en caso de ausencia en su domicilio o no hacer la entrega si el cliente ha manifestado su negativa al respecto, para lo cual se informa en dos ocasiones del envío del paquete y de la opción de desistimiento de entrega en caso de ausencia. Además, CTT EXPRESO manifiesta que la parte reclamante fue informada del proceso de envío, y que el repartidor afirmó haber hecho entrega de la mercancía a una persona que se encontraba en el domicilio de la parte reclamante. Entiende esta Agencia que la confidencialidad de los datos del remitente de un envío solo se verá afectada cuando se posibilite el acceso por parte de un tercero a datos personales que no sean públicos o que no fueran conocidos previamente por dicho tercero. El examen de los documentos obrantes en el expediente, pone de relieve la ausencia de evidencias capaces de justificar la apertura de un procedimiento sancionador, al no haber quedado acreditado que datos personales de la parte reclamante que no sean públicos o que no fueran conocidos previamente por un tercero, hayan quedado expuestos, debido a que no hay constancia de que el paquete fuera entregado en un domicilio distinto del de la parte reclamante, sin que el error en el número del DNI en el justificante de entrega constituya prueba suficiente para acreditar tal circunstancia. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 “
9. a)(…)
10. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
11. a)La prueba indiciaria ha de partir de hechos plenamente probados.
12. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a la parte reclamada la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Así pues, al no haber sido posible atribuir responsabilidad alguna por una exposición de los datos personales de la parte reclamante, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es