PS-00058-2025

1/50  Expediente N.º: EXP202501866 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR...............................................2 ANTECEDENTES..........................................................................................................2 PRIMERO: Reclamación ante la AEPD......................................................................2 SEGUNDO: Actuaciones de traslado conforme al artículo 65.4 LOPDGDD...............5 TERCERO: Admisión a trámite de la reclamación......................................................8 CUARTO: Inicio de procedimiento sancionador..........................................................8 QUINTO: Alegaciones al acuerdo de inicio.................................................................8 SEXTO: Práctica del prueba....................................................................................12 SÉPTIMO: Propuesta de resolución.........................................................................16 OCTAVO: Alegaciones a la propuesta de resolución................................................17 NOVENO: Volumen de negocios..............................................................................18 HECHOS PROBADOS................................................................................................18 PRIMERO:............................................................................................................... 18 SEGUNDO:.............................................................................................................. 18 TERCERO:............................................................................................................... 19 CUARTO:................................................................................................................. 19 QUINTO:.................................................................................................................. 19 SEXTO:.................................................................................................................... 19 SÉPTIMO:................................................................................................................ 19 OCTAVO:.................................................................................................................. 19 NOVENO:................................................................................................................. 20 DÉCIMO:.................................................................................................................. 20 ÚNDECIMO:............................................................................................................. 20 DUODÉCIMO:.......................................................................................................... 20 DÉCIMOTERCERO:................................................................................................20 DÉCIMOCUARTO:...................................................................................................20 FUNDAMENTOS DE DERECHO.................................................................................21 I. Competencia......................................................................................................... 21 II. Cuestiones previas...............................................................................................21 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/50 1.Aspectos básicos desde la perspectiva de protección de datos: responsable, encargado y subencargado del tratamiento..........................................................21 2.Obligaciones del subencargado del tratamiento................................................25 III. Contestación a las alegaciones al acuerdo de inicio...........................................29 IV. Contestación a las alegaciones a la propuesta de resolución.............................32 V. Obligación incumplida del artículo 28.2 del RGPD. Condiciones del subencargo.37 VI. Tipificación de la infracción del artículo 28.2 del RGPD y calificación a efectos de prescripción.............................................................................................................. 41 VII. Obligación incumplida del artículo 28.4 del RGPD. Ausencia de contratos con el subencargado...........................................................................................................41 VIII. Tipificación de la infracción del artículo 28.4 del RGPD y calificación a efectos de prescripción......................................................................................................... 45 IX. Sanciones........................................................................................................... 45 RESUELVE:................................................................................................................. 49 PRIMERO:............................................................................................................... 49 SEGUNDO:.............................................................................................................. 49 TERCERO:............................................................................................................... 49 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación ante la AEPD. El 20 de junio de 2023 tuvo lugar la entrada de una reclamación en la Agencia Española de Protección de Datos. La reclamación, presentada por la parte reclamante ante el Banco de España el 9 de junio de 2023, fue remitida por esta entidad en cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En la reclamación se ponen de manifiesto posibles infracciones imputables a SENDING TRANSPORTE Y COMUNICACIÓN, S.A. con NIF A85508299 (en adelante, SENDING). Los hechos que se ponen en conocimiento de esta autoridad son: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/50 La parte reclamante manifiesta que, en fecha 19 de enero de 2023, intentó darse de alta como cotitular en la cuenta bancaria de su pareja, a través de la página web de ING BANK N.V, sucursal en España (en adelante, ING). Tras varios intentos infructuosos, la parte reclamante se pone en contacto con la mencionada entidad bancaria, que le indica que le enviará un correo electrónico con las instrucciones para realizar la gestión de forma física en lugar de virtual. El 24 de enero de 2023, una vez recibido y cumplimentado el formulario para proceder al alta de nuevo interviniente en una cuenta corriente de ING, la parte reclamante, siguiendo las instrucciones establecidas en el mencionado formulario, llamó al teléfono ***TELÉFONO.1 para contactar con el servicio de recogida. Ese mismo día recibe la etiqueta de identificación del envío de documentación en su correo electrónico. La etiqueta identificativa le es remitida por la empresa de transporte DYNAMIC. El 26 de enero de 2023 un trabajador de la empresa TRANSPORTES AUTORADIO, S.A (en adelante, AUTORADIO) acude al domicilio de la parte reclamante y recoge un sobre en el que se contienen el formulario de alta de nuevo interviniente, fotocopia de su DNI y la etiqueta identificativa del envío cumplimentada. Al no tener noticias, durante los días 2, 6 y 10 de febrero de 2023 la parte reclamante se pone en contacto con ING para preguntar si esta entidad había recibido la documentación enviada. En las tres ocasiones le indican que no se ha recibido y, además, el día 10 le señalan que reclamarán la documentación a la empresa de transporte. El 13 de febrero de 2023 la parte reclamante se pone de nuevo en contacto con ING que le confirma que sigue a la espera de confirmación por parte de las empresas de transporte. Asimismo, la entidad bancaria le recomienda subir a la página web de ING el albarán de recogida de la documentación para reclamar de nuevo el envío y crear una incidencia en la plataforma de ING. Por otra parte, ese mismo día la parte reclamante se pone en contacto con la empresa AUTORADIO, encargada de la recogida de la documentación el 26 de enero de 2023, que le indica un número de seguimiento del envío (...) y le informa de que la documentación ha llegado a SENDING en Madrid. Asimismo, señalan a la parte reclamante que contacte con la empresa SENDING para que esta le informe sobre la situación de la documentación. A continuación, la parte reclamante se pone en contacto con SENDING, que le confirma que la documentación llegó a sus oficinas en Madrid, sin que sepa la razón por la que no ha sido remitida a ING. Desde la empresa SENDING señalan que lo reclamaran a DYNAMIC. El 16 de febrero de 2023 la parte reclamante vuelve a contactar con la empresa SENDING que le comunica por vez primera que desconoce la ubicación de la documentación. Asegura que esta no se encuentra en sus oficinas por lo que podría encontrarse en posesión de la empresa DYNAMIC. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/50 Ese mismo día, la parte reclamante se pone en contacto con DYNAMIC quien asegura no haber recibido el envío por parte de SENDING. Tras volver a contactar con SENDING, esta empresa le confirma que desconoce la ubicación de la documentación. El 18 de febrero de 2023 la parte reclamante recibe un correo electrónico por parte de ING informándole de que no ha recibido la documentación necesaria para realizar la gestión e instándole a que la presente de nuevo. En contestación a esa comunicación, la parte reclamante exige a ING que le aclare qué ha ocurrido con la documentación que contenía sus datos personales y que le fue remitida a ING siguiendo sus instrucciones. Finalmente, el 6 de marzo de 2023 presenta denuncia ante la Guardia Civil por el extravío de documentación. Junto a la reclamación se aporta: - Copia del formulario de alta de nuevo interviniente de ING, cumplimentado por la parte reclamante. En el mismo figuran de manera manuscrita: o Nombre, apellidos, DNI, número de cuenta y rúbrica de la pareja de la parte reclamante. o Nombre, apellidos, DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica de la parte reclamante. Además, figuran las instrucciones para dar de alta a un nuevo interviniente, entre las que destacan: o “Rellene y firme los campos con fondo blanco”; o “Llame al ***TELÉFONO.1 y lo recogeremos gratis” o “El nuevo interviniente personalmente deberá mostrar su DNI y entregar una copia al mensajero”. o “¡MUY IMPORTANTE! Compruebe que su DNI está en vigor (no caducado) y entregue una fotocopia al mensajero. Si no tiene DNI, ver el dorso”. Asimismo, de acuerdo con el documento, el responsable del tratamiento de los datos personales ahí contenidos es ING. - Copia del correo electrónico recibido por la parte reclamante de ***EMAIL.1 el 24 de enero de 2023 a las 11:31 horas con el documento “ING etiqueta identificación.pdf”, así como copia de la etiqueta de recogida cumplimentada por la parte reclamante en la que figuran los logos de ING y de DYNAMIC. En la misma se indica “ATENCIÓN, el cliente debe identificarse con su DNI. La firma del cliente debe ser igual o conforme a la de su DNI”. Se incluyen, además, como datos exigidos para la solicitud de recogida: nombre, apellidos, fecha, nº de DNI, fecha de validez del DNI y rúbrica. Los campos correspondientes a los datos exigidos figuran rellenados con los datos de la parte reclamante. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/50 - Albarán de la orden de recogida de la documentación de 26 de enero de 2023 de AUTORADIO en la que figuran, entre otros, los siguientes datos: o o o o o o o o o o o o “Nº de recogida: (...) Fecha: 26/01/23 Delegación: ***LOCALIDAD.1 Ordenante: (…)- SENDING Recogedor: (...)- A.A.A. Cliente de recogida: B.B.B.. ***DIRECCIÓN.1 Teléfono: ***TELÉFONO.2 Cliente a facturar: (…) Recogidas Sending ***LOCALIDAD.1 Referencia cliente: ***REFERENCIA.1 Referencia colaborador: ***REFERENCIA.2 Destino: ING Direct-Alta interviniente- (…) Portes: (…)” - Copia de documento de seguimiento del envío (...) (***REFERENCIA.1) de 13 de febrero de 2023, en el que figura “TRACKING XX de enero de 2023. 21.13 horas. En tránsito. ***LOCALIDAD.1 (…) 18.56 horas. Servicio creado en el sistema. ***LOCALIDAD.1 (…). ENTREGA Remitente: ***DIRECCIÓN.1 ***LOCALIDAD.1. Destinatario: (…)- SENDING. - Intercambio de correos entre la parte reclamante y ***EMAIL.2 de 18 y 20 de febrero de 2023 en la que ING solicita el reenvío de la documentación, al no haberlo recibido, a lo que el reclamante contesta manifestando su disconformidad con la situación, reiterando la cronología de lo ocurrido y solicitando aclaración sobre el extravío de sus datos personales. - Copia del expediente generado a raíz de la reclamación de 24 de abril de 2023 presentada por la parte reclamante contra ING ante la Oficina Municipal de Información al Consumidor (OMIC) del ***LOCALIDAD.1. - Atestado de la Guardia Civil de ***LOCALIDAD.1 por la que se reproduce la denuncia presentada por la parte reclamante “por pérdida de objetos o efectos”. SEGUNDO: Actuaciones de traslado conforme al artículo 65.4 LOPDGDD. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ING para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 15 de septiembre de 2023 ING en contestación al traslado, realiza las siguientes aseveraciones, que confirman la cronología detallada por la parte reclamante: - Que por parte de ING se realizaron varios intentos por localizar la documentación extraviada a raíz de que se recibiera el aviso por parte de la parte reclamante. En concreto, se solicitó información a la empresa por ellos contratada encargada de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/50 escanear toda la documentación recibida por los diferentes canales de entrada. Asimismo, tras instar a la parte reclamante a la subida del albarán de recogida, el 14 de febrero de 2023 se procede a solicitar información a una empresa proveedora de servicios de mensajería con la que trabajaba ING, que no guarda relación con la empresa DYNAMIC, con la que ING tenía un contrato de prestación de servicios y de encargo en materia de protección de datos y que había de ocuparse de la recogida de la documentación extraviada. - A raíz del traslado de la reclamación por la AEPD se verifica por parte de ING que la solicitud de información a la empresa proveedora de servicios de mensajería fue realizada erróneamente, sin solicitarse información a DYNAMIC, empresa a la que ING había encargado la recogida, sobre la documentación extraviada hasta el 1 de septiembre de 2023. - Respecto a la relación entre DYNAMIC e ING se señala: “(…) La empresa de mensajería Dynamic estuvo prestando servicios a ING de forma puntual durante un corto periodo de tiempo. En concreto, hasta que se inició un proceso de RFP para seleccionar a un nuevo proveedor de servicios de mensajería, al haber entrado en concurso de acreedores una de las dos empresas de mensajería con las que ING colaboraba. Se formalizó un contrato con la entidad Dynamic, con fecha 1 de septiembre de 2022 el cual fue finalizado el 28 de febrero de 2023. (…) Desde la empresa Dynamic nos han informado, tras esta solicitud realizada por ING, de que efectivamente dicho documento fue extraviado, entendemos que probablemente debido a un error humano puntual. (…) Desconocemos exactamente lo ocurrido entre las empresas que componen la red de mensajería utilizada por Dynamic, ya que ING es ajena a ella y sus procedimientos y protocolos son definidos y de responsabilidad exclusiva de dichas empresas de mensajería. Sin embargo, entendemos que la causa ha sido un error humano, puntual, ya que el extravío de la documentación que estas empresas deben entregarnos no es un hecho que ocurra habitualmente, teniendo en cuenta que el volumen de documentos que se reciben por esta vía es considerable”. (El subrayado es de la AEPD). Junto a su escrito de respuesta al traslado, se acompañan los siguientes documentos: - Captura de pantalla de la incidencia que figura en el historial de la parte reclamante en el que constan las actuaciones llevadas a cabo por ING tras los diversos avisos realizados por la parte reclamante relativos a la documentación extraviada. Entre las diferentes entradas, figura la correspondiente a la creación de la incidencia el 6 de febrero de 2023 a las 13.23 horas con el siguiente texto: “Cliente llama porque el día 26 de enero le han recogido el formulario de alta de interviniente para la cuenta de C.C.C.. La recogida la hizo por mensajería la empresa AUTORADIO. Los datos que el cliente tiene en el justificante que le dejaron son: número de recogida (...), nombre del mensajero A.A.A., el cliente tiene un código de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/50 seguimiento (...) y cuando entra a consultar en la página de la mensajería le aparece que está en tránsito desde el 26 de enero. Por favor reclamar a mensajería (…)”. - Copia del albarán de recogida de AUTORADIO subido a la plataforma de ING por la parte reclamante el 13 de febrero de 2023, ya aportado por la parte reclamante. - Copia del correo electrónico remitido por ING a DYNAMIC el 1 de septiembre de 2023 solicitando información sobre la documentación extraviada. En esta comunicación se señala: “(…)”. (El subrayado es de la AEPD). - Copia del contrato de prestación de servicios entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023, y, por ende, en vigor en el momento en el que tuvieron lugar los hechos descritos en el antecedente de hecho primero. En el mismo, se incluye un apartado relativo a la protección de datos de carácter personal por el que se identifica a ING como responsable del tratamiento y a DYNAMIC como encargado del tratamiento. Asimismo, se indica que DYNAMIC, en tanto que encargado del tratamiento, no podrá realizar un subencargo del tratamiento salvo que cuente con la autorización previa y expresa de ING. En particular se establece: “(…)”. Además, entre las obligaciones fijadas al encargado del tratamiento de los datos se señala: “(…)”. - Carta de resolución de contrato enviada por ING a DYNAMIC el 13 de febrero de 2023 por la que manifiesta su voluntad de resolución del contrato con efectos del 28 de febrero de 2023. - Carta de 14 de septiembre de 2023 remitida por ING a la parte reclamante por la que le confirman el extravío de la documentación y reiteran sus disculpas ante lo acontecido. - Evaluación de impacto sobre gestión de documentación física y digital (versión reducida y completa). TERCERO: Admisión a trámite de la reclamación. Con fecha 20 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Inicio de procedimiento sancionador. Con fecha 17 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/50 - la presunta infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4

1. a)del RGPD. la presunta infracción del artículo 28.4 RGPD, tipificada en el artículo 83.4
2. a)del RGPD. QUINTO: Alegaciones al acuerdo de inicio. Notificado el 17 de febrero de 2025 el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Primera alegación con título “Cuestión general y preliminar. Prescripción de la infracción” - Asegura SENDING que los hechos habrían prescrito puesto que se produjeron el 24 de enero de 2023, mientras que la fecha del acuerdo de inicio es de 17 de febrero de 2025. - Señala, asimismo, que no se han realizado actuaciones previas de investigación, salvo la solicitud de información de 10 de febrero de 2025. 2. Segunda alegación denominada “Actuación de Sending como subencargado del tratamiento”. - - - Indica SENDING que “era y es ajeno a la relación contractual entre DYNAMIC EXPRESS COURIER, S.L (DYNAMIC) e ING, ya que no es parte del contrato suscrito entre estas dos últimas entidades en fecha 1 de septiembre de 2022 (…) finalizado el 28 de febrero de 2023, sin que SENDING tuviera conocimiento de dicha situación al no ser parte del mismo”. Además, añade que en todo momento cumplió con el contrato y las instrucciones facilitadas por DYNAMIC como encargado del tratamiento y SENDING como subencargado. Señala, asimismo, que es un operador postal tipo A, así como una de las principales redes de transporte urgente en España y “cualquiera puede informarse de que cuenta con una extensa red de distribución y transporte, tal y como se explica en www.sending.es”. A este respecto, aporta copia del Certificado de inscripción en el registro general de empresas prestadoras de servicios postales, conforme a la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal. Afirma, por otra parte, que forma parte de una comisión de la Organización Empresarial Logística y de Transporte y que realiza un papel activo para asegurar el cumplimiento de la normativa de protección de datos. 3. Tercera alegación titulada “En relación con la presunta infracción por recurrir a un nuevo subencargado sin autorización previa y expresa (art. 28.2 del RGPD). - Alega que, cuando SENDING recurrió a AUTORADIO, DYNAMIC no le advirtió de que no podía recurrir a esta última para gestionar los envíos de ING. Además, señala que DYNAMIC conocía de esta relación y que, incluso la autorizó para que pudiera subcontratar. A este respecto añade que la autorización facilitada por C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/50 - - DYNAMIC establece específicamente que en relación con el contrato firmado entre DYANMIC y SENDING, incluidos los prestados a ING por encontrarse dicha autorización en vigor en el momento en que se produjeron los hechos que dieron lugar a la reclamación. Concluye, por tanto, que estaba autorizado para recurrir a otros subencargados del tratamiento y que su actuación, por tanto, no infringe la normativa de protección de datos, más cuando impuso a AUTORADIO las mismas obligaciones que las establecidas en el contrato entre DYNAMIC y SENDING. Entiende que la autorización específica para subencargar establecida en el contrato de ING y DYNAMIC únicamente vinculaba a DYNAMIC por ser esta la que se encuentra en la posición inicial de la cadena de contratación. Entiende, por tanto, que el artículo 28.2 del RGPD únicamente aplica al encargado principal y que no es exigible a SENDING conocer las características del contrato suscrito entre ING y DYNAMIC, en particular, respecto a la prohibición de subcontratación. Concluye, por tanto, que no concurre el principio de culpabilidad, en la medida en que no existió ni dolo ni culpa y que el incumplimiento es únicamente atribuible a DYNAMIC. Lo contrario, asegura, supondría vulnerar el principio de presunción de inocencia respecto a SENDING en los términos señalados en la STC 76/1990. 4. Cuarta alegación “En relación con la presunta infracción por no formalizar la relación con Autoradio (art. 28.4 del RGPD)” - Asegura que no se ha producido dicha infracción puesto que contaba con un contrato de tratamiento de datos personales con AUTORADIO mediante una adenda al contrato de arrendamiento de servicios de 23 de enero de 2009 por el que establecía las mismas obligaciones a AUTORADIO que las impuestas por DYNAMIC a SENDING. Finaliza su escrito de alegaciones solicitando el archivo del procedimiento sancionador. Junto a su escrito de alegaciones, presenta: - - Copia de la escritura (…) de elevación a públicos de acuerdos sociales, otorgada por la entidad SENDING TRANSPORTE y COMUNICACIÓN, S.A.U” ante el notario D.D.D. de 29 de junio de 2020. Copia de la notificación de la inscripción total de la escritura anteriormente señalada en el Registro Mercantil de Madrid. Certificado de inscripción de SENDING en el registro general de empresas prestadoras de servicios postales, conforme a la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal. En el mismo consta como fecha de inscripción el 29 de mayo de 2009 y como fecha de última renovación el 20 de mayo de 2024. Autorización para la subcontratación en protección de datos de 10 de enero de 2022 firmada por DYNAMIC de una parte y SENDING de otra. En esta se identifica a DYNAMIC como “encargado del tratamiento inicial” o “el encargado” y a SENDING como “encargado del tratamiento al que se recurre” o “subencargado”. Asimismo, se determina: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/50 “(…) II. Que las partes tienen firmado un contrato de tratamiento de datos personales, con fecha de 4 de enero de 2022, en virtud del cual el subencargado trata datos personales por cuenta del responsable del tratamiento, con el que el encargado tiene un contrato de tratamiento de datos personales. III. Que para la prestación de los servicios por el subencargado, este puede necesitar recurrir a otros subencargados, por lo que, en virtud del presente documento queda autorizado por el encargado en los siguientes términos: Cláusulas Cláusula 1. Objeto: El objeto del presente documento es, en los términos previstos en la cláusula 3.5 del contrato de tratamiento de datos personales de 4 de enero de 2022, proporcionar la autorización previa necesaria para que el subencargado pueda recurrir a otros subencargados del tratamiento. Cláusula 2. Duración: El presente documento tiene una duración igual a la del contrato de tratamiento de datos personales, de 4 de enero de 2022. Cláusula 3. Alcance de la autorización: En virtud de la presente autorización el subencargado podrá recurrir, con carácter general, a otros subencargados cuando sea necesario para (
3. i)prestar el servicio objeto del contrato entre el encargado y el responsable del tratamiento y para lo que se requiera recurrir a otros subencargados del tratamiento o (
4. ii)la prestación de los servicios auxiliares necesarios para el normal funcionamiento de los servicios del subencargado. Cláusula 4. Obligaciones del subencargado: (…) 1. Las previstas en el contrato de tratamiento de datos personales de 4 de enero de 2022. 2. Firmar con el subencargado al que recurre un contrato u otro instrumento jurídico que incluya las mismas obligaciones (instrucciones, obligaciones, medidas de seguridad, otros términos previstos en el contrato entre el encargado y el subencargado) que se han establecido contractualmente entre el encargado y el subencargado. 3. Informar al encargado de la lista de subencargados a los que recurra cuando se le solicite su identificación. (…)” - Copia de la “Adenda al contrato de arrendamiento de servicios de 23 de enero de 2009. Contrato de tratamiento de datos personales” de 24 de mayo de 2022, suscrito por SENDING y AUTORADIO. En la misma se define a SENDING como “encargado del tratamiento inicial” o “encargado” y a AUTORADIO como “encargado del tratamiento al que se recurre” o “subencargado”. Asimismo, se señala que la adenda sustituye la cláusula novena incluida en el contrato de arrendamiento de servicios suscrito entre las partes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/50 En la cláusula primera se indica: “el objeto del presente contrato es regular el tratamiento de datos personales por el que el subencargado por cuenta del responsable del tratamiento con el que el encargado tiene un contrato de tratamiento de datos personales (…)”. En la cláusula 2, “Descripción del tratamiento o tratamientos”, se señala: “en el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales. El tratamiento por parte del subencargado solo se realizará durante el periodo especificado en el anexo II”. En el Anexo II se determina que la duración del tratamiento será “durante el plazo de vigencia del contrato de servicios de transporte (…) suscrito entre el encargado y el responsable del tratamiento”. El apartado 3.3 consagra “la seguridad del tratamiento” y determina que “el subencargado aplicará las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales (…). Por su parte, el anexo III establece de manera genérica: “medidas de seudonimización y cifrado de los datos personales; medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; medidas para restaurar la disponibilidad y el acceso a los datos personales de forma rápida (…); procesos de verificación (…) de eficacia; medidas para la autorización e identificación del usuario; medidas para la protección de los datos durante la transmisión; medidas para la protección de los datos durante el almacenamiento; medidas para garantizar la seguridad física(…); medidas para garantizar el registro de incidentes; medidas para garantizar la configuración del sistema, en especial la configuración por defecto; medidas de gobernanza y gestión de la informática (…); medidas para garantizar la calidad de los datos,(…) medidas para garantizar la responsabilidad proactiva (…)”. La cláusula 3.5 “recurso a subencargados” se señala: “el subencargado no podrá recurrir a otro(
5. s)subencargado (
6. s)sin la autorización previa y por escrito del responsable del tratamiento, a través del encargado”. SEXTO: Práctica de prueba. Con fecha 10 de junio de 2025, el instructor del procedimiento acordó la práctica de prueba, de conformidad con el artículo 77 de la LPACAP. A estos efectos, acordó dar por reproducidos la reclamación interpuesta por B.B.B. y su documentación, así como los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación y dar por presentadas las alegaciones y documentos presentados por SENDING en el marco del presente procedimiento sancionador. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/50 Además, acordó incorporar a las presentes actuaciones la siguiente información y/o documentación obtenida en el marco de la instrucción del expediente ***EXPEDIENTE.1: 1. Del asiento con número de registro REGAGE25e00005796118 presentado por DYNAMIC el 27 de enero de 2025, los anexos siguientes: - “Contrato de arrendamiento de servicios de transporte entre SENDING TRANSPORTE Y COMUNICACIÓN, S.A.U Y DYNAMIC EXPRESS COURIER S.L (084 IGUALADA)” suscrito entre SENDING y DYNAMIC de 1 de octubre de 2021. En el mismo, ambas empresas contratan sus servicios de manera mutua. DYNAMIC se centrará en el territorio de Barcelona, mientras que SENDING actúa en cualquier provincia de España, Andorra y Ceuta y Melilla. El contrato tiene una duración de un año, la vigencia inicial se prevé entre el 1 de octubre de 2021 y el 31 de otubre de 2022, sin perjuicio de que prevea una prórroga automática por sucesivos periodos de un año. El punto noveno incluye un apartado específico en materia de protección de datos:  A pesar de que el contrato data de 2021, sigue haciendo referencia a la “LO 15/1999”.  Respecto a los datos que SENDING facilite a DYNAMIC, la primera tendrá la consideración de responsable del tratamiento y la segunda de encargado y a la inversa. Se hacen, por tanto, responsables y encargados mutuos en función del origen de los datos.  No se realiza mención alguna a ING.  En cuanto al contenido: “(…) ambas partes se comprometen a tratar con la máxima confidencialidad cuantos datos de carácter personal le sean facilitados con motivos del presente contrato de servicios, comprometiéndose a tratarlos conforme a la normativa de protección de datos, así como a adoptar en el futuro cuantas medidas de seguridad sean exigidas por las leyes y reglamentos destinadas a preservar el secreto, confidencialidad e integridad en el tratamiento automatizado de datos personales. (…) en consecuencia cada una de las partes, como encargado del tratamiento de los datos titularidad de la contraparte (…) se compromete a adoptar las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos (…). Ambas partes se comprometen a informar a su personal, colaboradores y subcontratistas de las obligaciones establecidas en el presente contrato sobre condifencialidad (…). (…) una vez cumplida la prestación contractual establecida, ambas partes se obligan respecto de la otra a destruir o devolver todos los datos, soportes o documentos (…)C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/50 (…) ambas partes se comprometen a no difundir el contenido de la información, en su caso, facilitada por la contraparte, a personas o entidades ajenas a l empresa (…)”. - “Contrato de tratamiento de datos personales” suscrito entre SENDING y DYNAMIC de 4 de enero de 2022. En el documento se define a DYNAMIC como encargado del tratamiento (sin identificar al responsable) y a SENDING como subencargada del tratamiento. En la cláusula 1, se define el objeto en los siguientes términos: “el objeto del presente contrato es regular el tratamiento de datos personales por el subencargado por cuenta del responsable del tratamiento con el que el encargado tiene un contrato de tratamiento de datos personales en los términos previstos en las siguientes clausulas”. En la cláusula 2, “Descripción del tratamiento o tratamientos”, se señala: “en el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales. El tratamiento por parte del subencargado solo se realizará durante el periodo especificado en el anexo II”. En el Anexo II se determina que la duración del tratamiento será “durante el plazo de vigencia del contrato de servicios de transporte (…) suscrito entre el encargado y el responsable del tratamiento”. El apartado 3.3 consagra “la seguridad del tratamiento” y determina que “el subencargado aplicará las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales (…). Por su parte, el anexo III establece de manera genérica: “medidas de seudonimización y cifrado de los datos personales; medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; medidas para restaurar la disponibilidad y el acceso a los datos personales de forma rápida (…); procesos de verificación (…) de eficacia; medidas para la autorización e identificación del usuario; medidas para la protección de los datos durante la transmisión; medidas para la protección de los datos durante el almacenamiento; medidas para garantizar la seguridad física(…); medidas para garantizar el registro de incidentes; medidas para garantizar la configuración del sistema, en especial la configuración por defecto; medidas de gobernanza y gestión de la informática (…); medidas para garantizar la calidad de los datos,(…) medidas para garantizar la responsabilidad proactiva (…)”. La cláusula 3.5 “recurso a subencargados” se señala: “el subencargado no podrá recurrir a otro(
7. s)subencargado (
8. s)sin la autorización previa y por escrito del responsable del tratamiento, a través del encargado”. - C/ Jorge Juan 6 28001 - Madrid Copia de la “Adenda al contrato de arrendamiento de servicios de 23 de enero de 2009. Contrato de tratamiento de datos personales” de 24 de mayo de 2022, suscrito por SENDING y AUTORADIO. www.aepd.es sedeaepd.gob.es 14/50 El documento, ya descrito, coincide con el presentado, bajo el mismo título, por SENDING y por AUTORADIO en el marco del ***EXPEDIENTE.1, así como por SENDING en contestación al acuerdo de inicio del presente procedimiento 2. Del asiento con número de registro REGAGE25e00012326436 aportado por SENDING el 21 de febrero de 2025, su documento adjunto que contiene: - Copia de la “Adenda al contrato de arrendamiento de servicios de 23 de enero de 2009. Contrato de tratamiento de datos personales” de 24 de mayo de 2022, suscrito por SENDING y AUTORADIO. El documento, ya descrito, coincide con el presentado, bajo el mismo título, por DYNAMIC y por AUTORADIO en el marco del ***EXPEDIENTE.1, así como por SENDING en contestación al acuerdo de inicio del presente procedimiento. Asimismo, en el documento se señala que en virtud de este acuerdo se realizó la recogida en el domicilio de la parte reclamante dirigido a ING: “(…) El acuerdo de entre SENDING y AUTORADIO de fecha 23 de enero de 2009 para la prestación de servicios. En virtud de este acuerdo se realizó la recogida de documentación indicada en el escrito de la AEPD, con destinatario ING(…)”. - Copia del “Contrato de arrendamiento servicios de transporte entre SENDING TRANSPORTE Y COMUNICACIÓN Y AUTORADIO” de 23 de enero de 2009. En el mismo se define a AUTORADIO como corresponsal y se obliga al reparto y recogida de los envíos en la provincia de Galicia. A su vez, SENDING ofrece sus servicios en el resto de la península, Andorra, Ceuta y Melilla. El contrato tiene una duración inicial de un año, hasta el 1 de abril de 2010, sin perjuicio de la previsión de prórrogas automáticas. Se incluye una cláusula novena en el contrato relativa a la protección de datos de carácter personal por la que se reconoce a SENDING como responsable y a AUTORADIO como encargado y a la inversa, en función del origen de los paquetes. - “Certificado de subcontratación”. Se trata de un documento sin firma en el que figura lo siguiente: “(…) a efectos de acreditar la relación con AUTORADIO en materia de protección de datos, SENDING (…) certifica que subcontrató a AUTORADIO y firmó el contrato de fecha de 22 de mayo de 2022 por la que se recurre a eta última como subencargado, extendiendo así las C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/50 obligaciones que, en materia de protección de datos, tiene SENDING cuando trata datos personales como (sub)encargado, siéndolo en el presente caso de DYNAMIC por cuenta de quien actúa. Y como prueba de la existencia del contrato de subencargo entre Sending y Autoradio, se ha adjuntado como documento nº2”. - Detalle de expedición referente al envío con código (...). Se trata de un documento a nombre de la parte reclamante en el que se recoge la cronología de la recogida desde el 26 de enero de 2023 hasta el 25 de febrero de 2023. En el mismo se observa, entre otros aspectos lo siguiente: “(…) 26/01/2023 21.54 Grabada/alta en el sistema 26/01/2023 21.54 Población autocorregida: SF SENDING 27/01/2023 02.54 actualización de cercanías 27/01/2023 03.47 pendiente para entregar hoy 27/01/2023 02/02/2023 03.47 pendiente no entregada con incidencia (…) 13/02/2023 17.24 seguimiento de gestión no visible, llama remitente reclamando esta entrega”. 3. Del asiento con número de registro REGAGE25e00012164393 presentado por AUTORADIO el 20 de febrero de 2025, los anexos siguientes: - Copia de la “Adenda al contrato de arrendamiento de servicios de 23 de enero de 2009. Contrato de tratamiento de datos personales” de 24 de mayo de 2022, suscrito por SENDING y AUTORADIO. El documento, ya descrito, coincide con el presentado, bajo el mismo título, por DYNAMIC y por SENDING en el marco del ***EXPEDIENTE.1, así como por SENDING en contestación al acuerdo de inicio del presente procedimiento. - Copia del “Contrato de arrendamiento servicios de transporte entre SENDING TRANSPORTE Y COMUNICACIÓN Y AUTORADIO” de 23 de enero de 2009. Idéntico al aportado por SENDING en el marco del ***EXPEDIENTE.1, ya descrito. - Certificación de la recogida (...). Documento firmado por E.E.E. en tanto que (…) de AUTORADIO en el que se señala: (…) CERTIFICA que en referencia a la recogida efectuada el 26/01/2023 no ha sido contratada por DYNAMIC ESPRESS COURIER, según consta en nuestro sistema informático (…)”. En el mismo asegura que el ordenante de la recogida en el domicilio de la parte reclamante fue SENDING: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/50 “(…) Estos son los datos que constan en nuestro sistema informático: Recogida (...) Ordenante (...) Recogidas Sending ***LOCALIDAD.1. Recogida solicitada por Sending. Recogida efectuada 26/01/2023 por Transportes Autoradio (…) Consignatario ING DIRECT (…) Y canalizada por Sending RUTA (...)”. 4. Del asiento con número de registro REGAGE25e00013106061, presentado por ING BANK N.V, sucursal en España, el 25 de febrero de 2025, las páginas 2 a 4 de su documento adjunto. En las mencionadas páginas, ING apunta: “Así mismo, la AEPD solicita documentación de los encargados de ING autorizados en el marco de su contrato por DYNAMIC, si bien dicha información ya consta en el contrato de prestación de servicios formalizado en fecha de septiembre de 2022 (…) En éste, en su página 14, apartado g), se incorpora una tabla en la que se exigía a DYNAMIC incluir e identificar terceras entidades que tuviesen participación en la prestación de servicios de ING, ostentando éstas el rol de subencargados del tratamiento. En la misma, puede verse identificado al único subencargado autorizado por ING en la prestación de servicios con DYNAMIC (…). A excepción de éste, DYNAMIC no ha comunicado a ING la intervención de ningún proveedor adicional (…)” SÉPTIMO: Propuesta de resolución. Con fecha 6 de agosto de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancionara a SENDING TRANSPORTE Y COMUNICACIÓN, S.A., con NIF A85508299, por: una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4.
9. a)del RGPD, con una multa de 40.000 euros. - Una infracción del artículo 28.4 del RGPD, tipificada en el artículo 83.4.
10. a)del RGPD, con una multa de 40.000 euros. Alcanzando lo anterior la cuantía de 80.000 euros. OCTAVO: Alegaciones a la propuesta de resolución. El 20 de agosto de 2025 se recibieron alegaciones a la propuesta de resolución, notificada el 6 de agosto de 2025, en las que se expresaba, en síntesis, lo siguiente: 1. Alegación previa: por la que SENDING reitera las alegaciones formuladas al acuerdo de inicio. Además, añade una nueva alegación por la que señala que debe tenerse en cuenta que la actuación de SENDING no ha causado daño ni perjuicio alguno al derecho fundamental a la protección de datos, dado que el reclamante no ha solicitado indemnización alguna. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/50 2. Primera alegación bajo el título “Sending no es autor de la infracción del artículo 28.2 del RGPD”. Reitera que era ajeno a la relación contractual entre DYNAMIC e ING y que es únicamente a DYNAMIC, en tanto que, encargado de ING, a la que es de aplicación el artículo 28.2 del RGPD en cuanto a la necesidad de recabar autorización por parte del responsable para subencargar, por ser, además, DYNAMIC, la única entidad vinculada contractualmente. 3. Segunda alegación denominada “Vulneración del principio de responsabilidad personal”. Asegura que se ha incumplido el “principio de responsabilidad personal” puesto que, a su juicio, se le está sancionado por una conducta imputable exclusivamente a DYNAMIC. Insiste en que se encontraba en una situación de dependencia de DYNAMIC y que no tenía contacto directo con ING. Considera, por tanto, que es DYNAMIC la entidad que debe ser sancionada por incumplimiento del artículo 28.2 del RGPD. Por otra parte, asegura que en el presente caso faltaría uno de los elementos esenciales para poder imputar una infracción administrativa, puesto que únicamente pueden sancionarse a quienes fueran responsables a título de dolo o culpa. Así, señala que este elemento no existe en este caso puesto que, al no ser parte del contrato entre DYNAMIC e ING, no tenía acceso al mismo ni le fue proporcionado. 4. Tercera alegación bajo el título “Contrato de AUTORADIO. Presunta infracción del artículo 28.4 del RGPD”. Insiste SENDING en que no ha infringido el artículo 28.4 del RGPD puesto que contaba con un contrato con AUTORADIO que cumple los términos y garantías previstos en el artículo 28 del RGPD. Además, reitera, tal y como durante las alegaciones al acuerdo de inicio, que contaba con autorización de DYNAMIC para poder subcontratar, puesto que era la única entidad que tenía que contar con autorización del responsable del tratamiento, puesto que era su encargado. Por otra parte, sostiene que la inclusión de la identidad del responsable o el encargado del tratamiento no es un requisito previsto en el artículo 28 del RGPD, por lo que no tenía por qué incluir a ING en el mismo. Además, asegura que “no es posible saber por cuenta de quién se va a prestar el servicio de mensajería en cada momento” y que “lo que pretende la Agencia daría lugar, en la práctica, a que todos los días, y en varias ocasiones, hubiera que modificar contratos de tratamiento de datos para incluir cambios continuos a lo largo de la cadena de contratación”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/50 NOVENO: Volumen de negocios. SENDING es una empresa constituida en el año 2008, y con un volumen de negocios de 71.765.542 euros en el año 2023. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: ING y DYNAMIC suscribieron un contrato de prestación de servicios de recogida documental, con su correspondiente contrato de encargo, vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. Conforme al mismo, ING, responsable del tratamiento, encomendaba a DYNAMIC, los servicios de recogida de documentación de los clientes de ING, previa concertación de una cita con la empresa de mensajería por parte del cliente. SEGUNDO: En el contrato de encargo entre ING y DYNAMIC se establecía como requisitos acumulativos para realizar un contrato de subencargo por parte del encargado: (
11. i)(…). TERCERO: En la página 14 del mencionado contrato, en su apartado g), se establece el listado de los subencargados autorizados, en el que únicamente figura uno, que no se corresponde ni con SENDING ni con AUTORADIO. CUARTO: Durante la vigencia del contrato entre ING y DYNAMIC, DYNAMIC contó como subcontratado y subencargado a SENDING, tal y como reconocen ambas entidades. La relación entre DYNAMIC y SENDING se amparaba en un Contrato de arrendamiento de servicios de transporte entre suscrito entre ambas el 1 de octubre de 2021 y un Contrato de tratamiento de datos personales de 4 de enero de 2022. QUINTO: Ninguno de los acuerdos suscritos entre DYNAMIC y SENDING hacía mención a ING como responsable. En el Contrato de arrendamiento de servicios de transporte suscrito entre ambas el 1 de octubre de 2021 se reconocen como responsables y encargados mutuos, en función del origen de los paquetes. En el Contrato de tratamiento de datos personales de 4 de enero de 2022 se identifica a DYNAMIC como encargado del tratamiento (sin identificar al responsable) y a SENDING como subencargada del tratamiento. SEXTO: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/50 A su vez, durante la vigencia del contrato entre ING y DYNAMIC, SENDING contó como subcontratado y subencargado con AUTORADIO, tal y como reconocen ambas entidades. La relación SENDING y AUTORADIO se amparaba en un contrato de prestación de servicios suscrito entre SENDING y AUTORADIO el 23 de enero de 2009 y una adenda a esta: Adenda de 24 de mayo de 2022 al contrato de arrendamiento de servicios de 23 de enero de 2009: contrato de tratamiento de datos personales. SÉPTIMO: Ninguno de los acuerdos suscritos entre SENDING y AUTORADIO hacía mención a ING como responsable. En el contrato de prestación de servicios suscrito entre SENDING y AUTORADIO el 23 de enero de 2009 se reconocen como responsables y encargados mutuos, en función del origen de los paquetes. En la adenda de 24 de mayo de 2022 se identifica a SENDING como encargado (sin identificar al responsable) y a AUTORADIO como subencargado. OCTAVO: El 10 de enero de 2022 DYNAMIC y SENDING, como continuación al Contrato de datos personales de 4 de enero de 2022, suscribieron un documento por el que DYNAMIC, en tanto que encargado del tratamiento, “proporciona la autorización previa necesaria para que el subencargado [SENDING] pueda recurrir a otros subencargados del tratamiento”. El documento no cuenta con la firma de ING, al que no se hace mención alguna, ni se identifica al responsable del tratamiento. NOVENO: No consta acreditación documental de que ING autorizara o tuviera conocimiento de la existencia de AUTORADIO como subencargado. Asimismo, ING niega haber autorizado a AUTORADIO como subencargado en el marco del contrato con DYNAMIC, ni tener conocimiento de su existencia. DÉCIMO: En el marco del contrato entre ING y DYNAMIC, el 24 de enero de 2023 la parte reclamante, cliente de ING, siguiendo las instrucciones facilitadas por esta entidad, concertó la recogida de documentación relativa a su alta como nuevo interviniente en una cuenta bancaria. El mismo día, recibe una etiqueta de identificación del envío por parte de DYNAMIC. ÚNDECIMO: El 26 de enero de 2023 la empresa AUTORADIO recoge la documentación en el domicilio de la parte reclamante por encargo de SENDING, que, a su vez, había recibido el encargo de DYANAMIC, tal y como reconocen las tres entidades. El número de seguimiento de la recogida era (...) y el destinatario ING. DUODÉCIMO: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/50 De acuerdo con el detalle de expedición de la recogida con código (...) la documentación, que había de entregarse a ING el 27 de enero de 2023, no llegó a su destinatario. DÉCIMOTERCERO: La documentación extraviada contenía los datos personales de la parte reclamante presentes en el formulario remitido (nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica) y los datos personales de la pareja de la parte reclamante (nombre, apellidos, número de DNI, número de cuenta y rúbrica). Además, entre la documentación extraviada constaba una copia completa del DNI de la parte reclamante, que tenía que ser facilitada al mensajero, de acuerdo con las instrucciones del formulario de alta de nuevo interviniente de ING y los datos personales consignados en la etiqueta. DÉCIMOCUARTO: El 1 de septiembre de 2023 ING contactó por primera vez con DYNAMIC para confirmar si la recogida del 26 de enero de 2023 en el domicilio de la parte reclamante había sido realizada por esta en los siguientes términos: “(…)”. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Cuestiones previas 1. Aspectos básicos desde la perspectiva de protección de datos: responsable, encargado y subencargado del tratamiento. El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/50 un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SENDING ha realizado, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas que remitían documentación a la entidad bancaria ING. Entre los datos tratados por SENDING se encuentran el nombre, apellidos, DNI, fotocopia del DNI, número de teléfono o la dirección postal. Ahora bien, es necesario determinar el papel que ostenta SENDING respecto a ese tratamiento. Para ello, resulta conveniente, con carácter previo, identificar a la figura central del tratamiento, el responsable, y, en su caso, al encargado. En el presente supuesto, ING es el responsable del tratamiento, en tanto que determina los fines y los medios de la actividad de conformidad con el artículo 4.7 del RGPD, mientras que DYNAMIC trata (durante la vigencia del contrato) los datos personales por cuenta del responsable del tratamiento en virtud del artículo 4.8 del RGPD. Como se ha indicado, el RGPD establece que es responsable del tratamiento quien determina los fines y los medios de dicho tratamiento, como aquí realiza ING. En este sentido, el artículo 4.7 del RGPD dispone: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;(…)” (subrayado de la AEPD). Por su parte, las Directrices del CEPD 07/2020 del Comité Europeo de Protección de Datos (CEPD), Versión 2.0, adoptadas el 7 de julio de 2021 (en adelante Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/50 asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” Por su parte, DYNAMIC es encargado del tratamiento, de acuerdo con el artículo 4.8 del RGPD, que establece: “8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” (subrayado del a AEPD). Las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
12. a)ser un ente independiente del responsable del tratamiento; y
13. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Ambas condiciones concurren en el supuesto analizado: Por una parte, DYNAMIC es un ente independiente de ING (responsable del tratamiento). Por otra, DYNAMIC trata los datos de clientes o potenciales clientes de ING y hace llegar a esta última la documentación remitida por aquellos. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/50 Además, los tratamientos de datos personales de clientes o potenciales clientes de ING, los realiza DYNAMIC se llevan a cabo siguiendo los intereses de ING. Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Las referidas Directrices 07/2020 resaltan que nada impide que el encargado del tratamiento (en este caso, DYNAMIC) ofrezca un servicio previamente definido: “84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” (subrayado de la AEPD). En el presente caso, la relación jurídica entre ING y DYNAMIC como responsable y encargado del tratamiento, respectivamente, se concreta en un contrato suscrito entre ambas entidades vigente entre el 1 de septiembre de 2022 hasta el 28 de febrero de 2023. El contrato tiene por objeto la regulación de las condiciones bajo las cuales DYNAMIC prestaría servicios de mensajería, en particular de recogida de documentación previo concierto de la fecha, hora y lugar por los clientes de ING quienes contactarían directamente con DYNAMIC a estos efectos. Asimismo, el contrato establece las obligaciones y responsabilidades de las partes respecto de los datos personales a los que DYNAMIC tendría acceso conforme a los pactos estipulados en el documento. De la misma manera, se reconoce a DYNAMIC como encargado del tratamiento, en tanto que el acceso a los datos personales de los clientes de ING es un elemento necesario para la prestación de servicios. Establecido lo anterior, es necesario delimitar el papel de SENDING en este supuesto, una vez identificados al responsable y al encargado del tratamiento. A estos efectos, el RGPD alude a la posibilidad de que el encargado recurra a “otro encargado” en su artículo 28.2. También se hace referencia a “otro encargado” en el artículo 28.4 del RGPD al determinar que “cuando el encargado del tratamiento recurra a otro encargado para llevar determinadas actividades de tratamiento por cuenta del responsable, se impondrán a ese otro encargado (…) las mismas obligaciones de protección de datos que las estipuladas (…) entre el responsable y el encargado”. A este respecto se pronuncian también las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD que definen a ese “otro encargado” del RGPD como “subencargado” en aquellos supuestos en los que el encargado del tratamiento recurra a otro (u otros) encargados: “75 (…) en el tratamiento de datos personales pueden participar múltiples encargados. Por ejemplo, un responsable del tratamiento puede decidir por su cuenta involucrar directamente a múltiples encargados recurriendo a C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/50 encargados diferentes en distintas fases independientes del tratamiento (en lo sucesivo, «múltiples encargados»). Un responsable del tratamiento también puede decidir recurrir a un encargado, que, a su vez, recurra ―con la autorización del responsable― a otro u otros encargados (en lo sucesivo, «subencargados») (…)”. (El subrayado es de la AEPD). Establecido este concepto, las mencionadas Directrices señalan que para determinar si una entidad actúa como subencargada, debe hacerse el mismo análisis que se ha reflejado en párrafos anteriores respecto al encargado, esto es, determinar si cumplen las dos condiciones básicas de independencia y de tratar por cuenta de otro: “151. En las actividades de tratamiento de datos suele intervenir un gran número de participantes y la cadena de subcontrataciones es cada vez más compleja. (…) Para analizar si el prestador de servicios actúa como subencargado, debe tenerse en cuenta lo descrito previamente en relación con el concepto de encargado”. (El subrayado es de la AEPD) Sin olvidar que quien determinará los fines y medios será, en cualquier caso, el responsable: “152. A pesar de que la cadena puede ser bastante larga, el responsable del tratamiento conserva su papel central en la determinación de los fines y medios del tratamiento (…)” En definitiva, de acuerdo con las Directrices 07/2020 el subencargado es aquel que ha sido contratado para realizar actividades de tratamiento específicas por alguien (el encargado) que, a su vez, ha sido contratado para tratar datos personales por cuenta de un tercero y conforme a las instrucciones de este tercero. En el supuesto que nos ocupa, SENDING es una entidad independiente de DYNAMIC subcontratada por ésta para realizar operaciones de tratamiento de datos personales en el marco del contrato que DYNAMIC mantiene con el responsable del tratamiento (ING). Por tanto, SENDING trata los datos de clientes o potenciales clientes de ING y ostenta la condición de “encargado del encargado” del tratamiento. En conclusión, SENDING es, en consecuencia, el subencargado del tratamiento. 2. Obligaciones del subencargado del tratamiento. Una de las principales novedades del RGPD supone el reconocimiento de obligaciones propias y específicas a los encargados del tratamiento, entre las que destacan, por ejemplo, que tienen que mantener un registro de actividades de tratamiento, o que tienen que designar un delegado de protección de datos, en los casos en que así lo prevé el RGPD o cumplir con determinadas exigencias establecidas por el artículo 28. En este sentido se ha pronuncia el CEPD en las mencionadas Directrices al señalar: “93. Un nuevo rasgo característico del RGPD son las disposiciones que imponen obligaciones directamente a los encargados del tratamiento. Por ejemplo, el encargado del tratamiento debe garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad (artículo 28, apartado 3), debe llevar un registro de todas las categorías de actividades de tratamiento (artículo 30, apartado 2) y debe C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/50 aplicar medidas técnicas y organizativas apropiadas (artículo 32). También debe designar un delegado de protección de datos cuando se den determinadas condiciones (artículo 37) y tiene el deber de notificar sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento (artículo 33, apartado 2). Además, las reglas sobre las transferencias de datos a terceros países (capítulo V) no solo se aplican a los responsables del tratamiento, sino también a los encargados. En este sentido, el CEPD considera que el artículo 28, apartado 3, del RGPD, pese a prescribir la inclusión de un contenido concreto en el contrato necesario entre el responsable y el encargado del tratamiento, impone obligaciones directas a los encargados, incluido el deber de ayudar al responsable del tratamiento a garantizar el cumplimiento de las obligaciones”. El incumplimiento de las obligaciones específicas que el RGPD establece al encargado del tratamiento, permiten la exigencia de responsabilidades directas a este, sin olvidar, además, que, en línea con el carácter funcional del concepto de responsable y encargado del tratamiento, el artículo 28.10 del RGPD prevé que, si “un encargado infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Las previsiones respecto a los encargados y subencargados (recordemos que el RGPD hace referencia a estos como “otros encargados”) del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
14. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/50
15. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
16. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
17. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
18. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
19. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
20. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
21. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
22. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/50 apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." Conviene resaltar, llegados a este punto, dos cuestiones: Primera, que el encargado recurra a un subencargado requiere una autorización previa y por escrito del responsable del tratamiento, de acuerdo con el artículo 28.2 del RGPD. Esa autorización podrá ser general o específica. Segunda, de acuerdo con el artículo 28.4 del RGPD cuando un encargado recurre a un subencargado para llevar a cabo determinadas actividades por cuenta del responsable, al subencargado se le imponen las mismas obligaciones en materia de protección de datos que tenga el encargado. Es decir, el subencargado estará sujeto a las mismas limitaciones, restricciones y obligaciones que las aplicables al encargado, ya vengan impuestas por el RGPD o por el contrato que regule la relación el responsable y el encargado. Además, esta nueva relación jurídica entre el encargado y subencargado para realizar tratamiento de datos por cuenta del responsable debe quedar recogida en un contrato o acto jurídico que rija el tratamiento en los términos previstos por el artículo 28.3 del RGPD. En consecuencia, de la interrelación entre el artículo 28.4 y el 28.2 del RGPD, se desprende que, en aquellos supuestos en los que un subencargado inicial del tratamiento quiera recurrir a otro participante (un nuevo subencargado), habrá de regirse por las mismas normas aplicables al encargado inicial para hacerlo. En este sentido se pronuncian las Directrices 07/2020 cuando afirman: “151. (…) El RGPD introduce unas obligaciones específicas que se aplican cuando un (sub)encargado del tratamiento desea recurrir a otro participante al encomendarle actividades que requieren el tratamiento de datos personales, añadiendo así otro eslabón a la cadena (…)”. (El subrayado es de la AEPD). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/50 De lo anterior se deriva que para que el subencargado inicial pueda recurrir a un nuevo subencargado será necesario que cuente con autorización previa y por escrito del responsable del tratamiento, conforme al artículo 28.2 del RGPD. Esa autorización podrá ser general o especifica en función del contrato que rija el tratamiento. Además, el subencargado inicial deberá plasmar la nueva relación jurídica con el nuevo subencargado en un contrato o acto jurídico que recoja las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado (y, por ende, entre el encargado y el subencargado inicial) conforme a lo previsto en el artículo 28.3, al que remite el artículo 28.4 del RGPD. Así lo señalan también las mencionadas Directrices 07/2020: “100. Todo tratamiento de datos personales por un encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros celebrado entre el responsable y el encargado, tal como se estipula en el artículo 28, apartado 3, del RGPD”. Conviene señalar, asimismo que el cumplimiento de las obligaciones previstas en el artículo 28 del RGPD por parte de los diferentes participantes del tratamiento no es una obligación meramente formal, sino que tiene un contenido material que debe materializarse a través de los contratos celebrados entre los diferentes participantes del tratamiento. Así lo recuerda el CEPD: “112. (…) Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento. De hecho, la «protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento [...] requieren una atribución clara de las responsabilidades» en virtud del RGPD”. De lo anterior se concluye que cuando un subencargado inicial del tratamiento (como SENDING) quiera recurrir a otro participante (un nuevo subencargado, como AUTORADIO), habrá de regirse por las mismas normas aplicables al encargado para hacerlo, siéndole plenamente aplicables las estipulaciones previstas en los artículos 28.2 (autorización previa por escrito del responsable del tratamiento) y 28.4 (contrato de subencargo) del RGPD. III. Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio se debe señalar lo siguiente: 1. En relación con la primera alegación con título “Cuestión general y preliminar. Prescripción de la infracción” En cuanto a la prescripción de las infracciones alegada por SENDING, se subraya que la prescripción de las infracciones del artículo 28.2 del RGPD se establece en el artículo 73
23. l)de la LOPDGDD, mientras que la prescripción de las infracciones del artículo 28.4 del RGPD viene marcada por el 73
24. k)de la misma norma. En ambos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/50 casos, la prescripción se establece en el plazo de 2 años desde que se produjeran los hechos que dieron lugar a la infracción. Señala SENDING que los hechos se produjeron el 24 de enero de 2023, fecha en la que la parte reclamante contactó con DYNAMIC y esta le remitió la etiqueta identificativa para su envío. Por tanto, considera que las infracciones habrían prescrito el 24 de enero de 2025, mientras que el acuerdo de inicio se dictó el 17 de febrero de 2025. No obstante, las infracciones, que se enmarcan en el contrato suscrito entre ING y DYNAMIC el 1 de septiembre de 2022, se mantuvieron en el tiempo hasta el fin de vigencia de este. Tienen, por tanto, la condición de continuadas. Las infracciones continuadas son, en palabras del Tribunal Supremo (TS) en su STS de 7 de marzo de 2006 “aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes”. En el caso que nos ocupa, las infracciones consistentes en contar con un subencargado sin autorización previa y por escrito de ING o sin contar con el correspondiente contrato de subencargo, se remontan al inicio de la relación contractual entre ING y DYNAMIC, manteniéndose en el tiempo hasta el fin de este contrato el 28 de febrero de 2023. En consecuencia, la fecha de prescripción de las infracciones sería el 28 de febrero de 2025. El acuerdo de inicio fue dictado el 17 de febrero de 2025 y notificado a SENDING el ese mismo día, por lo que no se aprecia la prescripción alegada por SENDING. Por otra parte, se señala que las actuaciones previas de investigación reguladas en el artículo 67 de la LOPDGDD tienen carácter potestativo y no obligatorio. En el presente supuesto, no se han llevado a cabo actuaciones previas de investigación en el marco del presente expediente. 2. En relación con la segunda alegación denominada “Actuación de Sending como subencargado del tratamiento”. - Respecto a la afirmación de que SENDING no formaba parte de la relación contractual entre ING y DYNAMIC, por lo que desconocía su existencia y no le era aplicable, no es admisible, y conviene precisar lo siguiente: No debe confundirse un contrato de prestación de servicios con un contrato de encargo. No todo servicio implica el tratamiento de datos personales y, por tanto, no todo contrato de servicios llevará aparejado un contrato en materia de protección de datos. Existen servicios cuyo objeto principal es el tratamiento de datos personales y otros, como en el presente caso, en que se tratan datos personales sólo como consecuencia de la actividad que se presta por cuenta del responsable del tratamiento. Cuando el objeto de un contrato de servicios implique tratamiento de datos personales, se requiere la celebración de un contrato u otro acto jurídico de encargo en los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/50 términos del RGPD, que es el objeto del presente procedimiento sancionador. En estos casos, las diferentes subcontrataciones realizadas, siempre que conlleven el tratamiento de datos personales, suponen nuevos eslabones en la cadena de participantes del tratamiento de datos personales y han de contar con el correspondiente contrato de (sub)encargo. La figura principal en nombre de la que se actúa y que determina los fines y medios de los datos personales seguirá siendo el responsable. En el presente caso, ING contrató a DYNAMIC para la prestación de un servicio que implicaba el tratamiento de datos personales, por lo que le realizó el correspondiente contrato de encargo. A su vez, SENDING era subcontratado de DYNAMIC, mientras que AUTORADIO lo era de SENDING. Fue AUTORADIO quien realizó la recogida en el domicilio de la parte reclamante. Desde la perspectiva de protección de datos, tal y como se ha detallado en las cuestiones previas, ING era el responsable; DYNAMIC, el encargado y SENDING, el subencargado. Esas relaciones deben quedar debidamente plasmadas en los términos previstos por el RGPD. Señala SENDING que cumplió en todo momento las instrucciones facilitadas por DYNAMIC en tanto que encargado. No obstante, SENDING obvia que las instrucciones eran determinadas por ING en tanto que responsable. En este sentido, el propio documento “Contrato de datos personales” de 4 de enero de 2022 suscrito entre DYNAMIC y SENDING, que regía la relación entre ambos, se identifica al primero como encargado y al segundo como subencargado y se especifica como objeto: “el objeto del presente contrato es regular el tratamiento de datos personales por el subencargado por cuenta del responsable del tratamiento con el que el encargado tiene un contrato de tratamiento de datos personales (…)”. Asimismo, en el mencionado documento, se incluye una cláusula 3.5 en la que se especifica que el subencargado “no podrá subencargar a otros subencargados sin la autorización por escrito del responsable de tratamiento (…)”. En cualquier caso, es obligación de SENDING conocer la identidad del responsable del tratamiento en cuyo nombre actúa. - Por otra parte, el hecho de que SENDING sea un operador postal tipo A no le exime de sus obligaciones en materia de protección de datos, en función del papel que ocupe en el tratamiento ya sea como responsable, encargado o subencargado. - En cuanto a su participación en una comisión de la Organización Empresarial Logística y de Transporte, no procede dar respuesta a esta alegación en tanto que escapa del objeto del presente expediente. 3. Tercera alegación titulada “En relación con la presunta infracción por recurrir a un nuevo subencargado sin autorización previa y expresa (art. 28.2 del RGPD). - En cuanto a la validez de la supuesta autorización para realizar subencargos de 10 de enero de 2022, se señala que el mencionado documento no puede tener la consideración de autorización previa del responsable en los términos exigidos por el artículo 28.2 del RGPD, y, en concreto, de ING, tal y como se desarrollará en el fundamento jurídico correspondiente al incumplimiento de esta obligación. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 31/50 - Respecto a la afirmación relativa a que la autorización específica para subencargar establecida en el contrato entre ING y DYNAMIC únicamente vinculaba a este último por ser este el encargado principal, se remite a lo señalado en las cuestiones previas de esta propuesta de resolución, en concreto en el apartado correspondiente a las obligaciones del subencargado del tratamiento, en el que se establece que, de acuerdo con el RGPD, cuando un subencargado recurre a un nuevo partícipe en la cadena de tratamiento habrá de regirse por las mismas normas aplicables al encargado inicial para hacerlo. - En lo referente a la inexistencia del principio de culpabilidad y la necesaria aplicación del principio de presunción de inocencia en favor de SENDING, se remarca que en el presente caso, existen elementos suficientes, para la tramitación del correspondiente procedimiento sancionador por incumplimiento por parte de SENDING de la normativa en materia de protección de datos en los términos señalados en los fundamentos de derecho correspondientes a las obligaciones incumplidas de los artículos 28.2 y 28.4 del RGPD. 4. Cuarta alegación “En relación con la presunta infracción por no formalizar la relación con Autoradio (art. 28.4 del RGPD)” Alega SENDING que no cabe la imputación de la ausencia de contrato de subencargo con AUTORADIO puesto que existía una adenda al contrato de 2009 de prestación de servicios entre SENDING y AUTORADIO en materia de datos personales suscrita el 22 de mayo de 2022. Se señala al respecto que tal adenda no puede tener la consideración de contrato de (sub)encargo en los términos exigidos por el artículo 28.4 del RGPD, tal y como se desarrolla en el fundamento jurídico correspondiente al incumplimiento de esta obligación. Por todo lo anterior, no procede el archivo del procedimiento sancionador como solicita SENDING. Cuestión distinta es que es que por parte de esta instrucción no se aprecie la existencia de una especial negligencia en las infracciones, lo que deberá tenerse en cuenta a la hora de valorar las circunstancias previas determinantes para fijar la cuantía de la multa, de acuerdo con el artículo 83 del RGPD. Asimismo, se considera que debe valorarse e incluirse en esta propuesta a efectos de determinar la cuantía de la multa a imponer en los parámetros de las circunstancias previstas en el artículo 83.2
25. a)del RGPD, lo relativo a la duración de la infracción, en la medida en que la relación contractual entre ING y DYNAMIC no superó los 6 meses. IV. Contestación a las alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada a la propuesta de resolución se debe señalar, con carácter previo, que estas suponen, en esencia, una reiteración de las alegaciones efectuadas al acuerdo de inicio. En consecuencia, se remite a la contestación a las alegaciones contenidas en el epígrafe anterior. Sin perjuicio de lo anterior: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 32/50 1. En relación con la alegación previa, relativa a que no se ha producido daño ni perjuicio alguno en materia de derecho de protección de datos, puesto que el reclamante no ha solicitado indemnización alguna, debe señalarse lo siguiente: En primer lugar, debe precisarse que el derecho a la protección de datos es un derecho fundamental previsto en el artículo 18.4 de la Constitución Española. Asimismo, la finalidad del RGPD, tal y como se prevé en el considerando 10 del mismo, es garantizar un nivel uniforme y elevado de protección de las personas físicas en lo que a la protección de sus datos personales se refiere. Para ello, entre otros aspectos, el RGPD ha desarrollado obligaciones específicas para los (sub)encargados del tratamiento en su artículo 28. Las infracciones objeto del presente procedimiento son las relativas al incumplimiento por parte de SENDING de los artículos 28.2 y 28.4 del RGPD, que, lejos de entenderse como obligaciones meramente formales, han de entenderse como obligaciones materiales cuyo objetivo es garantizar el control del responsable de todos aquellos que actúan en su nombre, asegurando una adecuada protección de los datos personales durante todo su ciclo de vida. Así, el incumplimiento de estos preceptos afecta, en último término, al control que ejercen las personas físicas sobre sus datos personales y, por tanto, repercute de manera negativa en la esfera de su derecho fundamental a la protección de datos. Además, tal y como se recoge en la valoración de las circunstancias del artículo 83.2
26. a)del RGPD en el fundamento de derecho IX, sin perjuicio de que este procedimiento se haya iniciado como consecuencia de una única reclamación, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, es necesario tener en cuenta no solo a los afectados efectivos, de los que se tiene conocimiento, sino también de los afectados potenciales. En este caso, se trataría de la totalidad de los clientes de ING que previeran una recogida o remisión de documentación a esta entidad bancaria y que fuera recogida por AUTORADIO entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. Por otra parte, no debe confundirse la interposición de una reclamación prevista en el artículo 77 del RGPD con el derecho a indemnización previsto por el artículo 82 del RGPD. Esta autoridad no tiene atribuida la competencia para determinar la existencia de una indemnización ni tampoco para, en su caso, la cuantía o alcance de la misma. La competencia recae, conforme al mencionado artículo 82 del RGPD, en los órganos judiciales competentes. 2. En relación con la primera alegación por la que SENDING reitera que no es autor de la infracción del artículo 28.2 RGPD puesto que era ajeno a la relación contractual entre DYNAMIC e ING y este precepto únicamente es de aplicación a los “encargados” del tratamiento: Conviene remitir a la diferenciación entre el contrato de prestación y el contrato de encargo a la que se hizo referencia en la contestación a las alegaciones (en concreto al segunda) al acuerdo de inicio, así como todo lo allí expresado. Asimismo, se reitera que, desde la perspectiva de protección de datos personales, todo tratamiento debe contar con un responsable y que es obligación de los participantes de la cadena de tratamiento conocer la identidad de este, puesto que lo contrario supondría admitir que un subencargado del tratamiento no tiene por qué C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 33/50 saber por cuenta de quién actúa, esto es, en nombre de quién y conforme a qué instrucciones, lo que carece de toda lógica, más si, en el caso de que un (sub)encargado del tratamiento actúe determinando sus propios fines y medios tendrá la consideración de responsable del tratamiento conforme al artículo 28.10 del RGPD. Además, se subraya que cuando SENDING accede a actuar como encargado de DYNAMIC, lo hace respecto a aquellos tratamientos de datos de los que un tercero es responsable, por cuenta de este, estos elementos se recogen en el “Contrato de datos personales” de 4 de enero de 2022 suscrito entre DYNAMIC y SENDING, que regía su relación (“el objeto del presente contrato es regular el tratamiento de datos personales por el subencargado por cuenta del responsable del tratamiento con el que el encargado tiene un contrato de tratamiento de datos personales (…)”) . Por tanto, no cabe entender, como asegura SENDING que, desde la perspectiva de protección de datos el mencionado contrato suscrito entre ING y DYNAMIC no le fuera de aplicación y que una actuación diligente por parte de SENDING hubiese ido encaminada a conocer, en lo que a protección de datos se refiere, los elementos del mencionado contrato que le fueran de aplicación. Por otra parte, se reitera, de nuevo, en que las obligaciones previstas en el artículo 28.2 del RGPD son de aplicación tanto al encargado principal (en este caso DYNAMIC), como al resto de encargados del encargado principal (en este caso SENDING) que participen en la cadena de tratamiento y que reciben el nombre de subencargados. Así, tal y como detalle el CEPD en sus Directrices 7/2020, y como se desarrolla en las cuestiones previas del presente documento: “151. (…) El RGPD introduce unas obligaciones específicas que se aplican cuando un (sub)encargado del tratamiento desea recurrir a otro participante al encomendarle actividades que requieren el tratamiento de datos personales, añadiendo así otro eslabón a la cadena (…)”. (El subrayado es de la AEPD). Así, el objetivo último es garantizar la protección de los datos personales a lo largo de todo el tratamiento y aun cuando este se lleve a cabo por diferentes participantes en la cadena. A la vista de lo anterior, se insiste en la necesidad de que todo subencargo por parte de SENDING contara con autorización por parte de ING y se remite a lo señalado en las cuestiones previas de esta resolución, en concreto en el apartado correspondiente a las obligaciones del subencargado del tratamiento. 3. En lo referente a la segunda alegación relativa a que la propuesta de resolución incumple, según SENDING, el “principio de responsabilidad personal”, puesto que, a su juicio, se le atribuye una infracción imputable a DYNAMIC han de precisarse algunos aspectos: En primer lugar, el razonamiento realizado por SENDING; parte de la falacia de que no le resulta a esta de aplicación lo previsto en el artículo 28.2 del RGPD, en tanto que no era encargado principal del tratamiento. Tal y como se ha repetido a lo largo de las diferentes fases de este procedimiento sancionador y se contiene en este documento, las obligaciones previstas en el artículo 28.2 del RGPD, tal y como se deriva del propio artículo 28.4 del RGPD, se aplican a todos los (sub)encargados que formen parte de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 34/50 una cadena de tratamiento. Así, la obligación de contar con una autorización del responsable del tratamiento para subencargar es extensible a todos y cada uno de los (sub)encargados que formen parte de la misma. Así, el objeto del presente procedimiento sanciona no es, como indica SENDING, que DYNAMIC contratara a SENDING sin autorización de ING, sino que SENDING, en tanto que subencargado de ING, tal y como ha quedado más que acreditado en las cuestiones previas de este documento, así como en el fundamento jurídico relativo a la infracción del artículo 28.2 del RGPD, subencargó a AUTORADIO sin autorización de ING y sin que esta entidad tuviera conocimiento. Señala, por otra parte, que la imputación efectuada incumpliría el principio de culpabilidad, puesto que únicamente pueden sancionarse a quienes fueran responsables a título de dolo o culpa. Así, a su juicio, este elemento no existe en este caso puesto que, al no ser parte del contrato entre DYNAMIC e ING, no tenía acceso al mismo ni le fue proporcionado. No obstante, tales afirmaciones, obvian, de nuevo, el hecho de que el artículo 28.2 le impone obligaciones directas a SENDING en tanto que subencargado del tratamiento. El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 35/50 Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Sin perjuicio de lo anterior, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991: " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 36/50 protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el presente caso, la conducta imputada, se ha producido, como poco, de manera negligente, en la medida en que SENDING asegura desconocer el responsable en nombre del cual realizaba el tratamiento de los datos y que la única autorización válida para subencargar un nuevo eslabón en la cadena de tratamiento debía ser autorizado exclusivamente por ING. Por tanto, como se ha señalado previamente, una actuación diligente por parte de SENDING hubiese ido encaminada a conocer, en lo que a protección de datos se refiere, los elementos del mencionado contrato entre ING y DYNAMIC que le fueran de aplicación, como, por ejemplo, la identidad del responsable del tratamiento, o el tipo de autorización para realizar subencargos prevista por este. Pero, además, no debe olvidarse que el mencionado acuerdo “Contrato de datos personales” de 4 de enero de 2022 que regía la relación entre DYNAMIC y SENDING, era anterior al encargo realizado por ING a DYNAMIC y pretendía servir de manera universal para cualquier tratamiento realizado por SENDING en nombre de un responsable del que DYNAMIC fuera encargado, vulnerando, así, la normativa en materia de protección de datos. 4. Respecto a la tercera alegación por la que SENDING sostiene que no existe infracción por su parte del artículo 28.4 del RGPD puesto que contaba con un contrato válido con AUTORADIO, autorización de DYNAMIC para realizar el subencargo, se remite, una vez, a lo señalado durante las contestaciones al acuerdo de inicio respecto a estos dos puntos: Primero, el supuesto contrato con AUTORADIO que asegura SENDING, no puede tener consideración de contrato de (sub)encargo en los términos exigidos por el artículo 28.4 del RGPD, tal y como se desarrolla en el fundamento jurídico correspondiente al incumplimiento de esta obligación. Segundo, en cuanto a la afirmación de que la inclusión de las identidades del responsable y del encargado del tratamiento no se incluye entre los requisitos previstos por el artículo 28 del RGPD, debe precisarse que la inclusión de estos elementos es esencial para alcanzar el propósito y los aspectos previstos en el mencionado artículo. Así, cuando el artículo 28.3 del RGPD habla de un contrato o un acto jurídico vinculante entre las partes, se presupone, como es evidente, y como en cualquier contrato, la identificación de estas. Además, en materia de protección de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 37/50 datos, no debe olvidarse que el responsable es quien define fines y medios y, por tanto, el encargado y el subencargado actúan por cuenta de este, siguiendo sus instrucciones, por lo que es una figura central del contrato. Asimismo, el propio desarrollo de lo previsto en el artículo 28 del RGPD: determinación del tipo de autorización, definición de las instrucciones del responsable, mecanismo para atender las solicitudes de derechos, o la propia determinación del objeto del contrato de encargo entre otros, supone irremediablemente que deban conocerse las partes. Por último, en referencia a la imposibilidad de conocer por cuenta de quién se va prestar un servicio de mensajería y que la inclusión de los responsables del tratamiento en los contratos supondría la modificación constante de estos, se recuerda que el RGPD permite la adopción de autorizaciones generales que, a diferencia de las autorizaciones específicas, supone la autorización de varios subencargados por parte del responsable del tratamiento, por medio del contrato, incluyendo, según el CEPD, un listado de los mismos. Esta manera de actuar puede considerarse “más operativa” en algunos sectores, ya que tal y como señalan las mencionadas Directrices 7/2020 “157. Por tanto, la principal diferencia entre la autorización específica y la autorización general radica en el sentido que se otorga al silencio del responsable del tratamiento: en el caso de la autorización general, la ausencia de oposición del responsable del tratamiento en el plazo establecido puede interpretarse como una autorización”. En cualquier caso, se recuerda la obligatoriedad de la aplicación del RGPD en todos sus elementos en aquellos sectores en los que se produzcan tratamientos de datos personales. V. Obligación incumplida del artículo 28.2 del RGPD. Condiciones del subencargo. El apartado segundo del artículo 28 del RGPD determina: “2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios”. Por su parte, las Directrices 07/2020 desarrollan lo contenido en este precepto. Tal y como se ha señalado, en la medida en que las obligaciones del encargado son aplicables al subencargado, en aquellos casos en los que se hace referencia al encargado, debe entenderse también aplicable al subencargado (el subrayado es de la AEPD): “152. A pesar de que la cadena puede ser bastante larga, el responsable del tratamiento conserva su papel central en la determinación de los fines y medios del tratamiento. El artículo 28, apartado 2, estipula que el encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 38/50 específica o general, del responsable (inclusive en formato electrónico). En el caso de la autorización general por escrito, el encargado del tratamiento debe informar al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. En ambos casos, el encargado debe obtener la autorización por escrito del responsable antes de encomendar el tratamiento de datos personales al subencargado. A fin de que el responsable del tratamiento pueda realizar la evaluación y decidir si autoriza la subcontratación, el encargado deberá presentarle una lista de los subencargados previstos (incluyendo, en relación con cada uno de ellos, su ubicación, la actividad que se le asignará y la prueba de las salvaguardias aplicadas). 153. La autorización previa por escrito puede ser específica, es decir, puede hacer referencia a un subencargado concreto para una operación de tratamiento concreta y en un momento concreto, o general. Esta circunstancia debe especificarse en el contrato u otro acto jurídico que rija el tratamiento”. Como se ha señalado durante las cuestiones previas, de acuerdo con el 28.2 del RGPD, para que un subencargado pueda recurrir a otro subencargado, ha de contar con una autorización previa y por escrito del responsable del tratamiento. Esa autorización podrá ser general o específica. El objetivo fundamental es asegurar que el responsable mantenga un control sobre los datos tratados y asegure, por tanto, la protección de estos durante todo el tratamiento, esto es, durante la totalidad del ciclo de vida de los datos personales. Por otra parte, el RGPD permite dos opciones de autorización: Una más estricta, la específica, por la que el responsable aprueba a un subencargado concreto, del que conoce su identidad y determina de manera tasada para qué actividad de tratamiento se permite su subcontratación. En este caso, el subencargado no podrá proceder con el segundo subencargo hasta que no reciba respuesta por parte del responsable. Cabe también la posibilidad llevar a cabo una autorización general, de carácter más abierta, que puede incluirse en el contrato de subencargo y que requiere, en palabras del CEPD, de ciertas orientaciones añadidas respecto a la elección del segundo subencargado. Aun cuando parezca más flexible, esta alternativa ha de permitir al responsable del tratamiento oponerse a la inclusión del nuevo subencargado en la cadena de tratamiento. Con independencia de que se opte por autorización específica o general, el artículo 28.2 exige que las autorizaciones previas a lo largo de la cadena de tratamiento se realicen por escrito, en consonancia con el principio de responsabilidad proactiva reconocido en el artículo 5.2 del RGPD y desarrollado por el artículo 24.1 del RGPD. El principio de responsabilidad proactiva se configura como eje vertebrador del RGPD por el que el responsable del tratamiento no solo tendrá que adoptar medidas y cumplir con las obligaciones de hacer o no hacer que le imponga expresa o tácitamente el RGPD, sino que tendrá que ser capaz de demostrar en todo momento que el tratamiento efectuado es acorde a la normativa. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 39/50 Lo anterior debe ponerse en relación con la prescripción del artículo 28.1 del RGPD que exige al responsable contar con encargados y subencargados que presenten las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme a los requisitos del RGPD. Esto es, en palabras del CEPD: “el responsable del tratamiento es responsable de evaluar la suficiencia de las garantías ofrecidas por el encargado y debe poder probar que ha tenido debidamente en cuenta todos los elementos previstos en el RGPD”. El que los encargados y subencargados hayan de contar con una autorización previa por parte del responsable para la inclusión de sucesivos participantes en la cadena de tratamiento, está alineado con esta obligación del responsable, que, no podrá cumplirla adecuadamente si desconoce los participantes en la cadena del tratamiento y, en consecuencia, pierde el control y el poder de decisión sobre aquellos que actúan en su nombre. Por último, debe señalarse que el RGPD consciente de la importancia de lo contenido en el artículo 28.2 del RGPD, la consagra entre los elementos obligatorios que debe contener todo contrato de encargo (y, en consecuencia, de subencargo) en el artículo 28.3 d). En el supuesto que nos ocupa, la recogida de documentación en el domicilio de la parte reclamante el 26 de enero de 2026 fue encargada por ING a DYNAMIC, en el marco del contrato suscrito entre ambos. No obstante, la recogida efectiva se llevó a cabo por otra entidad, AUTORADIO, por subencargo de SENDING, subencargada, a su vez, de DYNAMIC. Esto ha sido confirmado tanto por SENDING como por AUTORADIO en los certificados remitidos a la Agencia los días 21 y 20 de febrero de 2025, respectivamente. El contrato suscrito entre ING y DYNAMIC, que constituye el marco referencial para los sucesivos contratos de subencargo, recogía dos requisitos acumulativos respecto a los subencargos: (…). De esta manera, en virtud del contrato de 1 de enero de 2022, ING, en tanto que responsable, estableció un modelo de autorización específico para el tratamiento de datos personales objeto del contrato. Por tanto, los sucesivos subencargos -incluidos los realizados por SENDING, en tanto que subencargado de ING- se encontraban sujetos al sistema de autorización específica por parte de ING. El mencionado contrato entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023, en el marco del cual fue realizada la recogida, contenía un listado de los subencargados autorizados en la cadena de tratamiento. No obstante, este listado figuraba un único subencargado autorizado, que no coincide con AUTORADIO. Asimismo, ING en su escrito de 25 de febrero de 2025 ha negado que facilitara autorización de ningún tipo en favor de AUTORADIO. En su escrito a esta Agencia de 7 de marzo de 2025, SENDING reconoce que no contaba con autorización de ING, pero asegura que contaba con una autorización C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 40/50 válida, a efectos del artículo 28.2 del RGPD, del encargado del tratamiento, DYNAMIC. A este respecto, presenta un documento suscrito por DYNAMIC y SENDING fechado el 10 de enero de 2022, por el que se proporciona autorización a SENDING de manera general para recurrir a otros subencargados del tratamiento. No obstante, el mencionado documento no hace mención alguna a ING, ni lo identifica como responsable del tratamiento; tampoco está firmada por el responsable del tratamiento, como exige el artículo 28.2 del RGPD, ni consta la conformidad de este; establece un tipo de autorización general, cuando ING había determinado un sistema de autorización específico, y, además, es anterior a la firma del contrato marco suscrito entre el responsable y el encargado del tratamiento, ya que la supuesta autorización data de 10 de enero de 2022, mientras que el contrato de encargo entre ING y DYNAMIC es de 1 de septiembre de 2022. Por todo lo anterior, no puede considerarse que el mencionado documento cumpla con las condiciones exigidas por el artículo 28.2 del RGPD, de acuerdo con el cual SENDING requería la autorización previa por escrito de ING para subencargar a AUTORADIO. A mayores, se subraya que en el “objeto” de la supuesta autorización tal y como figura en la misma es “proporcionar la autorización previa necesaria” en los “términos previstos en la cláusula 3.5 del contrato de tratamiento de datos personales de 4 de enero de 2022” suscrito entre DYNAMIC y SENDING. Sin embargo, la cláusula a la que se hace referencia especifica que “el subencargado no podrá recurrir a otro(
27. s)subencargado (
28. s)sin la autorización previa y por escrito del responsable del tratamiento, a través del encargado”. Por tanto, el mencionado contrato entre DYNAMIC y SENDING de 4 de enero de 2022, exigía que la autorización fuera específica, por escrito y otorgada por el responsable del tratamiento (aun cuando no identificara a este). Así las cosas, la supuesta autorización incumpliría, incluso, lo consagrado en el contrato que asegura desarrollar. Atendiendo a lo anterior, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción imputable a SENDING por vulneración del artículo 28.2 del RGPD por contar con AUTORADIO como subencargado, sin autorización previa y por escrito del responsable del tratamiento durante la vigencia del contrato en el que se enmarcaba el tratamiento. VI. Tipificación de la infracción del artículo 28.2 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
29. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 41/50 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
30. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles." VII. Obligación incumplida del artículo 28.4 del RGPD. Ausencia de contratos con el subencargado. El artículo 28.4 del RGPD señala: “4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado”. Así se pronuncian las mencionadas Directrices 07/2020: “160. Por otra parte, cuando un encargado tenga intención de contratar a un subencargado (autorizado), deberá celebrar un contrato con este en el que se le impongan las mismas obligaciones que el responsable del tratamiento impuso al encargado original o dichas obligaciones se impondrán en virtud de otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros. Toda la cadena de actividades de tratamiento debe regularse mediante acuerdos por escrito. La imposición de las «mismas» obligaciones no debe interpretarse en sentido formal, sino funcional: no es necesario que el contrato reproduzca exactamente las mismas fórmulas que se utilizaron en el contrato entre el responsable y el encargado del tratamiento, pero debe garantizar que las obligaciones sean sustancialmente las mismas”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 42/50 De esta manera, los diferentes eslabones de la cadena de tratamiento deben regularse por un contrato que contará como elementos básicos con lo señalado en el artículo 28.3 del RGPD, al que remite el artículo 28.4, y en el que deben quedar plasmados todos los aspectos del tratamiento, así como el papel de cada uno de los actores, tomando como base siempre el