PA-00019-2025

1/7  Expediente N.º: EXP202505402 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CARNICERIAS CAMPOVERDE, S.L. con NIF B85768935 (en adelante, CARNICERIAS CAMPOVERDE). La reclamante manifestó que en fecha 4 de abril de 2024 realizó un pedido de productos a CARNICERIAS CAMPOVERDE a través de su web con número de pedido ***NÚMERO.1 y que, al recibir en su domicilio el pedido, comprobó que se trataba de un pedido cuyo destinatario era otro cliente, incluyendo en el paquete el albarán donde figuraban los datos del legítimo destinatario del pedido recibido en su domicilio. Señaló que, puesta en contacto con dicho cliente, este le afirmó que, a su vez, había recibido el envío con el pedido y datos de quien reclama. Afirma que remitió comunicación a CARNICERIAS CAMPOVERDE informando de los hechos, sin haber obtenido contestación al respecto. Junto al escrito, se aportó: - Imagen del albarán del pedido ***NÚMERO.2 con fecha del pedido de 04 de abril de 2024, donde figuran el nombre, número de teléfono y dirección postal de un tercero distinto a quien reclama, por un importe total de ***CANTIDAD.1. - Copia de documento nacional de identidad de quien reclama por ambas caras. - Copia del email certificado enviado a la dirección ***EMAIL.1 por quien reclama en fecha 15 de abril de 2024, donde se comunican los hechos objeto de la reclamación y se solicita, de conformidad con “el Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias así como el Código Civil se respete el contrato suscrito por las partes -del cual solicito copia- y me remitan el producto comprado al precio pactado”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CARNICERIAS CAMPOVERDE, para que procediese a su análisis e informase a esta Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 15 de julio de 2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó por medios electrónicos, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 16 de julio de 2024. En dicha notificación, se le recordaba a la parte reclamada su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 12 de agosto de 2024 se recibió en esta Agencia escrito de respuesta indicando lo siguiente: "Con relación al expediente de referencia recibido el pasado día 19 de julio de 2024 en el que nos dan traslado de la reclamación y solicitud de información sobre un pedido realizado a través de nuestra página web, adjuntan la copia de un albarán que resulta ilegible debido al tamaño del mismo, por lo que no somos capaces de descifrar los datos (nº de pedido, cliente, etc.) para analizar el posible error e investigar las circunstancias del caso concreto. No obstante, señalarles que siempre seguimos nuestra política de cumplimiento y que aplicamos en todo momento las medidas técnicas y organizativas para que no se produzca ninguna incidencia en relación a protección de datos. Les adjuntamos nuestra certificación de protección de datos" (sic). Junto a su contestación, se aportó: - Certificación firmada por ***CONSULTORIA.1 emitido el 19 de julio de 2024, con fecha de validez del 17/02/20023 hasta el 28/02/2025, y con el siguiente contenido: “CARNICERIAS CAMPOVERDE Dispone de licencia de uso de Plataforma de Protección de Datos de (...), herramienta para el cumplimiento de los requisitos establecidos por el REGLAMENTO (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos). ***CONSULTORIA.1 constata que: CARNICERIAS CAMPOVERDE ha completado el proceso de adecuación a los referidos requisitos y que, en base a la información aportada en la ejecución del proceso de volcado de los datos necesarios, identificativos de los tratamientos, de la estructura de la empresa así como a las medidas técnicas y organizativas: • Dispone la documentación acreditativa de la debida diligencia y proactividad en el cumplimiento del Reglamento de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 • Contiene en su política el principio de responsabilidad proactiva para el tratamiento de datos personales, manteniendo una constante puesta al día y promoción de la mejora continua del sistema de protección de datos. • Debe garantizar un tratamiento de datos basado en el respeto a las libertades y los derechos fundamentales de las personas.” - Certificado “Adaptación a la LSSICE” de fecha 19 de julio de 2024, con el siguiente contenido: “CARNICERIAS CAMPOVERDE, SL La empresa mencionada ha completado el proceso de recogida de datos, cumplimentando el formulario necesario para la obtención de los avisos legales que obliga la Ley de las sociedades de la información y del comercio electrónico 34/2002. Encontrándose disponible en su zona online”, con fecha de validez desde 17/02/2023 hasta el 28/02/2025. En fecha 14 de agosto de 2024 se realizó un nuevo traslado de la reclamación, remitiendo documentación adicional atendiendo la petición de la parte reclamada expresada anteriormente. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015 LPACAP, fue realizada en fecha 20 de agosto de 2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 25 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 1 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 5.1.

1. d)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 5 de mayo de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 19 de mayo de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: 1.- Comienzan su escrito reconociendo los hechos que afirman, se corresponden con un error puntual. 2.- A continuación, se describen medidas que han adoptado para que no se vuelva a producir un incidente como el que ha dado lugar al presente expediente. En concreto aluden a la realización de una auditoría interna de los procesos de pedidos y envíos, la identificación del error de software que dio lugar al problema, la formación del personal de logística y atención al cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 3.- Asimismo, describen las medidas que van a adoptar, las cuales se concretan en la revisión y actualización de sus tratamientos, llevando a cabo un análisis de riesgos con el fin de reforzar la aplicación del principio de minimización de datos y la trazabilidad de los mismos; la implementación de controles automáticos en el software de forma que se impida el cierre de un pedido si hay discrepancia entre nombre, dirección y contenido; la creación de un registro interno en el que se documente cualquier incidente que pueda suponer una brecha de seguridad; y la revisión de los contratos con empresas de mensajería para garantizar que disponen de protocolos adecuados en caso de tratamiento accidental de datos personales de terceros. 4.- Finaliza su escrito solicitando que se tenga en cuenta el esfuerzo de cumplimiento activo demostrado y se valore el archivo del procedimiento sin imposición de sanción, o en su defecto, la confirmación del apercibimiento sin otras consecuencias adicionales. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: CARNICERIAS CAMPOVERDE remitió un pedido a la reclamante en el que constaban los datos de un tercero (nombre y apellido, dirección y nº de telefono). Según afirma el reclamante sus datos fueron, a su vez, proporcionados a dicho tercero. SEGUNDO: La parte reclamada ha reconocido los hechos y ha informado de las medidas que, con posterioridad a la incidencia objeto de reclamación, ha implementado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 II Contestación a las alegaciones presentadas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento de apercibimiento, descritas en el antecedente de hecho SEXTO, esta Agencia valora positivamente que la parte reclamada reconozca los hechos y haya procedido a adoptar medidas tendentes a subsanar la situación a la normativa de Protección de Datos. Sin embargo, ello no invalida el hecho de que se ha producido una vulneración del derecho a la protección de datos personales del reclamante y, en concreto, del principio que exige garantizar que los datos objeto de tratamiento por el responsable sean exactos. III Obligación incumplida. Exactitud La letra
2. d)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
3. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);" En el presente caso, CARNICERIAS CAMPOVERDE ha llevado a cabo una incorrecta asignación de pedidos que desvela que los datos personales objeto de tratamiento no eran correcto y que ha supuesto el intercambio de datos personales de ambos clientes, en concreto, los nombres, direcciones y teléfonos que figuraban en el albarán con la consiguiente exposición de los mismos. Este error habría generado una vulneración del principio de exactitud, ya que los datos no se han gestionado de manera precisa, lo que derivó en una exposición indebida de información personal. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CARNICERIAS CAMPOVERDE, por vulneración del artículo transcrito anteriormente. IV Tipificación de la infracción del artículo 5.1.
4. d)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
5. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
7. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a CARNICERIAS CAMPOVERDE, S.L. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a CARNICERIAS CAMPOVERDE, S.L., con NIF B85768935, por una infracción del artículo 5.1.
8. d)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CARNICERIAS CAMPOVERDE, S.L.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
9. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es