PS-00066-2023

1/43  Expediente N.º: EXP202212992 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., actuando en su propio nombre (en adelante, reclamante 1 o la parte reclamante) e B.B.B., representada por A.A.A., representación que consta debidamente acreditada en el expediente (en adelante reclamante 2 o la parte reclamante), en fecha 03/11/2022, presentaron sendas reclamaciones ante la Agencia Española de Protección de Datos (AEPD). Las reclamaciones se dirigen contra CIUDAD RESIDENCIAL H.H.H., (...), con NIF ***NIF.1 (en adelante, la parte reclamada o H.H.H.). Los motivos en los que basa su reclamación son los siguientes: En la urbanización H.H.H., en la que residen, existe un servicio de recogida de paquetería destinado a los residentes que utiliza desde el año 2021, como medio de identificación de quien recoge un paquete, la captación de su fotografía. Explica que el sistema “consiste en una cámara alojada en un trípode, conectada un ordenador, que toma una fotografía de la persona que recoge el paquete, cada vez que lo recoge, de forma que se almacena una fotografía del interesado”. Indica, además, que H.H.H., encargado de su gestión, no ha facilitado ninguna información sobre este tratamiento de datos. La parte reclamante explica que la reclamada, antes de implantar en el año 2021 el sistema de toma de fotografía para identificar a la persona que recoge un paquete, gestionó la recogida de paquetería de este modo: Hasta marzo de 2020 el servicio se prestó por el puesto de control de acceso a la urbanización, por su personal, que anotaba de forma manuscrita los datos de la persona que lo recogía -nombre, apellidos, DNI y número de vivienda- quien firmaba en prueba de la recepción. A raíz de la pandemia de Covid-19, en mazo de 2020, la recogida de paquetería se trasladó a nuevas dependencias con un personal dedicado exclusivamente a esos fines realizándose el tratamiento de los datos del mismo modo que se venía haciendo por el puesto de control de acceso. La reclamación que se formula versa, además, sobre el incumplimiento por la parte reclamada de la obligación de atender en tiempo y forma las solicitudes de ejercicio de derechos que le dirigieron los reclamantes 1 y 2. En este sentido, la parte reclamante acredita documentalmente que presentó ante la reclamada, a través de sendos correos electrónicos de fecha 27/09/2022, de los que la reclamada acusó recibo el 28/09/2022, la solicitud de ejercicio de derechos firmada por los reclamantes 1 y 2. La reclamante ha aportado las cabeceras de todos los email. En los escritos que los reclamantes dirigieron a la reclamada solicitaron el acceso a sus datos al amparo del artículo 15 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD); manifestaron su oposición al tratamiento de su imagen para la recogida de paquetería invocando a estos efectos los artículos 21 y 22 del RGPD y solicitaron la supresión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/43 todos los datos relativos a su imagen objeto de tratamiento en virtud del sistema implantado para la recogida de paquetería (artículo 17 RGPD). También solicitaron a la reclamada información sobre el tratamiento efectuado, con arreglo a los artículos 13 y 14 del RGPD. La parte reclamante considera que la conducta de H.H.H. vulnera los artículos 15, 17, 21, 22, 12 y 13, 5.1.

1. a)5.1.b), 5.1.
2. c)5.1.e), 5.1.
3. f)y 6.1. del RGPD y solicita que, al amparo del artículo 69 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales (LOPDGDD), esta Agencia adopte las siguientes medidas cautelares: “i. Que se atienda de manera inmediata la solicitud de ejercicio de derechos que se formuló en fecha de 27 de septiembre de 2022. ii. El bloqueo y supresión inmediatos de los datos de la imagen del interesado, y la cesación de su tratamiento por parte del Responsable del Tratamiento […] prestando el servicio de recogida de paquetería mediante un procedimiento menos lesivo para el derecho a la protección de datos del interesado.” Se aportan con la reclamación estos documentos: -Sendos escritos de solicitud de ejercicio de derechos de acceso, oposición y supresión de los datos personales y dirigidos a la parte reclamada formulados por los reclamantes 1 y 2 firmados por ellos el 27/09/2022. -Copia de los siguientes correos electrónicos y de sus respectivas cabeceras:  Enviado por el reclamante 1 el 27/09/2022 a las 21:41 horas a la dirección <***EMAIL.1> con el siguiente texto: “A la atención del órgano de gestión de Particular Ciudad Residencial H.H.H. (...),Muy Sres. míos, ruego sea atendido el escrito adjunto y las solicitudes que se contienen en él. Ruego me acuse recibo del mismo”.  Enviado desde la dirección <***EMAIL.1> dirigido al reclamante 1 en fecha 28/09/2022 a las 9:59 horas, en el que acusa recibo de la recepción de su correo electrónico e informa que da traslado de él a la Junta Directiva.  Enviado por el reclamante 2 el 27/09/2022 a las 21:42 horas a la dirección <***EMAIL.1> con el mismo texto que el correo enviado por el reclamante 1.  Enviado desde la dirección <***EMAIL.1> dirigido al reclamante 2 en fecha 28/09/2022 a las 9:20 horas, con el mismo texto que el enviado desde esa dirección email al reclamante 1. -Poder de representación otorgado por el reclamante 2 a favor del reclamante 1 y copia de su DNI. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a H.H.H. para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 04/01/2023 se recibe en esta Agencia el escrito de respuesta firmado por el DPD de H.H.H. -***EMPRESA.1- en el que manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/43 1º) Reconoce que la parte reclamante solicitó el ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, así como información en los términos de los artículos 13 y 14 del RGPD, y afirma que sus solicitudes fueron atendidas dentro del plazo legalmente previsto. En prueba de ello el DPD aporta documentación que acredita el contenido del escrito de respuesta de la reclamada a la solicitud de ejercicio de derechos de cada uno de los reclamantes y haberles notificado tal escrito. Además, respecto al reclamante 1, añade que “se le reenvió la contestación por correo electrónico por parte del Delegado de Protección de Datos”. (El subrayado es nuestro). Aporta: 1.1. Copia de sendos escritos de la parte reclamada -firmados el 25/10/2022 por la “Sociedad Civil Particular Residencial H.H.H.”- dirigidos, respectivamente, al reclamante 1 y 2, en los que les informa de qué datos personales que les conciernen son objeto de tratamiento y les facilita -epígrafe 2- la información solicitada al amparo de los artículos 13 y 14 del RGPD. De este epígrafe 2 transcribimos el siguiente párrafo: “
4. i)El mecanismo para la obtención del consentimiento en el caso de la autorización para la recepción de correspondencia y paquetería es la suscripción de la correspondiente autorización en la que se recoge de manera expresa dicho consentimiento, sin perjuicio del interés legítimo de la prestadora del servicio de controlar la correcta entrega de la correspondencia y paquetería. “ (El subrayado es nuestro) En dicho escrito la parte reclamada responde también, en estos términos, a las solicitudes de oposición de los reclamantes 1 y 2 a que se tome una fotografía de su imagen cuando recogen un paquete a través del servicio que presta la urbanización: “3. En cuanto al ejercicio del derecho de oposición al tratamiento de la imagen para la recogida de paquetería, se toma nota por parte del responsable del tratamiento, si bien por parte de la Comunidad de Propietarios n se le podrá seguir prestando dicho servicio. Sí que se le debe indicar que la toma de imágenes a modo de acuse de recibo se estableció a los efectos de evitar al máximo el contacto como consecuencia de la pandemia ocasionada por el COVID19.” (El subrayado es nuestro) En cuanto a la solicitud que los reclamantes 1 y 2 dirigen la parte reclamada para que proceda a la supresión de su imagen captada, el DPD de H.H.H. les pide que le informen de la fecha en la que se tomaron las fotografías. 1.2.Copia de un email enviado desde la dirección electrónica ***EMAIL.2 en fecha 28/10/2022 y dirigido al reclamante 1, a la dirección de correo '***EMAIL.3' con el siguiente texto: “Soy […] compañero, nuestro cliente la Urb. H.H.H. nos hizo llegar el escrito en el que solicitabas el derecho de acceso etc…, como Delegados preparamos la contestación que se remitió creo que ayer, no obstante te la remito por esta vía ya que me he dado cuenta de que eres compañero, por si requieres de cualquier otra aclaración. […]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/43 1.3.El DPD aporta también a fin de acreditar el envío del escrito en el que se atendía la solicitud de derechos de los reclamantes 1 y 2 y se facilitaba la información del tratamiento efectuado, sendos documentos de la empresa MRW -entidad que presta un servicio de certificación de correos electrónicos y comunicaciones telemáticas con valor probatorio basado en los servicios de Confirmsign, S.L., y que actúa como custodio de las comunicaciones durante un período mínimo de 5 años- que certifican que el usuario “(…)” -esto es, el DPD de la parte reclamada- “ha enviado una Comunicación que se corresponde con el siguiente resguardo de envío y con el texto que se detalla en la/s páginas siguientes:” 1.3.1. Relativo al reclamante 1. En el resguardo de envío certificado por MRW consta esta información: Además del nombre, dos apellidos y dirección postal completa del reclamante 1, en el apartado “Resguardo de Imposición” figura “26/10/2022 16:37:53 (14:37:53 GMT) IP: ***IP.1- Sistema Operativo: (...) - Navegador: (...) ”. En el apartado “Resguardo de Postal: Id Expedición: 026861581633”; como “Resguardo de Entrega para Impresión: 26/10/2022 16:42:00 - (18:42:00 GMT)”. Como “Resguardo de 1 ª Notificación: 27/10/2022 12:46:00 - (14:46:00 GMT)” “A disposición para Recogida: 27/10/2022 12:46:00 - (14:46:00 GMT)” (El subrayado es nuestro) 1.3.2. Relativo al reclamante 2. En el resguardo de envío certificado por MRW relativo al reclamante 2 consta esta información: Además de su nombre, dos apellidos y dirección postal completa del reclamante 2, en el apartado “Resguardo de Imposición” figura “Resguardo de Imposición: 26/10/2022 16:36:23 - (14:36:23 GMT) IP: ***IP.1Sistema Operativo: (...) - Navegador: (...)”. En el apartado “Resguardo de Postal: Id Expedición: 026861581629”; como “Resguardo de Entrega para Impresión: 26/10/2022 16:42:00 - (18:42:00 GMT)”. Como “Resguardo de 1 ª Notificación: 27/10/2022 12:47:00 - (14:47:00 GMT)”. “A disposición para Recogida: 27/10/2022 12:47:00 - (14:47:00 GMT)”. (El subrayado es nuestro) 1.3.3. El certificado de contenido aportado en relación con cada uno de los reclamantes incorpora, respectivamente, los escritos que la parte reclamada dirigió a los reclamantes 1 y 2 en respuesta a su solicitud de ejercicio de derechos. 2º) En el traslado de la reclamación la Subdirección General de Inspección solicitó a la parte reclamada que aportara los informes técnicos o recomendaciones elaborados por el DPD o por el responsable de seguridad relativos a los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. La parte reclamada respondió: “Con carácter previo al tratamiento, se realizó el correspondiente análisis de riesgo del que resultó la necesidad de recabar el consentimiento expreso por parte de los afectados por el tratamiento, algo que se llevó implantó por parte del responsable del tratamiento con carácter general, y en el caso particular, firmándose la correspondiente autorización para la prestación del servicio de entrega de paquetería.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/43 Aporta el documento titulado “Análisis de Riesgos en materia de Tratamiento de Datos de Carácter Personal Ciudad Residencial H.H.H., (...)”, firmado el 01/09/2020 (páginas 93 a 97) 3º) Preguntada por las decisiones adoptadas a raíz de la reclamación que se le traslada, el DPD de la reclamada responde que a su entender “ha actuado diligentemente atendiendo en tiempo y forma el ejercicio del derecho.” 4º) Solicitada información acerca de las causas que han motivado la incidencia que ha originado la reclamación, el DPD de la reclamada dice: “Al parecer, la falta de recepción de la contestación por parte de la reclamante”. 5º) Solicitada información sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia, se limita a decir: “Que las contestaciones a los ejercicios de derechos se confirme la recepción por parte del destinatario.” TERCERO: En fecha 11/01/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 24 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
5. c)del RGPD, tipificada en el artículo 83.5.
6. a)del RGPD. Por otra parte, el acuerdo de apertura (punto “CUARTO” de la parte dispositiva) acordó adoptar, al amparo del artículo 69 de la LOPDGDD, la medida provisional consistente en ordenar a la reclamada que BLOQUEE los datos tratados de los reclamantes, consistentes en las capturas de sus imágenes cuando éstos procedían a recoger los paquetes de mensajería, en el caso de que dichos datos aun no hayan sido suprimidos. Respecto al plazo en que debía adoptarse la medida provisional se acordó: “Dicha medida provisional deberá adoptarse a partir del día en que tenga lugar la notificación del presente acuerdo de inicio de procedimiento sancionador y será mantenida hasta que la resolución del presente procedimiento sancionador sea ejecutiva, sin perjuicio de lo dispuesto en el artículo 56.5 de la LPACAP. En todo caso, deberá informar a esta Agencia Española de Protección de Datos de forma inmediata de la adopción de dicha medida.” QUINTO: La notificación del acuerdo de apertura se efectuó conforme a lo dispuesto en la LPACAP, siendo la fecha de puesta a disposición y de aceptación de la notificación el 24/10/2024, tal y como lo acredita la documentación que obra en el expediente. SEXTO: “Suspensión de términos e interrupción de plazos administrativos” prevista en la Orden PJC/1222/2024. La parte reclamada, en escrito presentado en fecha 07/11/2024, solicitó la suspensión de todos los plazos del expediente administrativo. Manifestó en tal sentido que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/43 -Ciudad Residencial (***PROVINCIA.1) H.H.H., (...), tiene su sede en ***AYUNTAMIENTO.1 -Que “debido al temporal, nuestra sede sufrió daños materiales graves que obstaculizan el desarrollo de nuestras actividades administrativas.” - Que la disposición decimonovena de la Orden PJC/1222/2024, que acuerda la suspensión de términos e interrupción de plazos administrativos, “debe interpretarse como aplicable retroactivamente desde el momento en que se produjeron los daños (esto es, desde el inicio de la DANA el 28 de octubre de 2024). Tal interpretación permite a las entidades y particulares afectados en estas zonas acogerse a la suspensión desde el primer día en que el cumplimiento de los plazos fue imposible o gravoso debido a la situación de emergencia.” - Que, a tenor de tal disposición, solicita formalmente la suspensión “de todos los plazos administrativos en el expediente, incluyendo: El plazo para el pago con descuento. Los plazos para la presentación de recursos y alegaciones, así como cualquier término procesal vinculado.” La Orden PJC/1222/2024, de 6 de noviembre, “por la que se publica el Acuerdo del Consejo de Ministros de 5 de noviembre de 2024, por el que se declara «Zona afectada gravemente por una emergencia de protección civil» el territorio damnificado como consecuencia de la Depresión Aislada en Niveles Altos (DANA) que ha afectado a amplias zonas de la Península y Baleares entre el 28 de octubre y el 4 de noviembre de 2024” (BOE de 07/11/2024) estableció: “Decimonoveno. Suspensión de términos e interrupción de plazos administrativos. 1. En los términos previstos en la disposición adicional novena de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se suspenden los términos y se interrumpen los plazos para la tramitación de los procedimientos administrativos hasta el momento en que se dicte un nuevo acuerdo de Consejo de Ministros decretando la finalización de esta medida. Dicha previsión será de aplicación a los interesados que residan en los términos municipales incluidos en el anexo del Real Decreto-ley 6/2024, de 5 de noviembre, por el que se adoptan medidas urgentes de respuesta ante los daños causados por la Depresión Aislada en Niveles Altos (DANA) en diferentes municipios entre el 28 de octubre y el 4 de noviembre de 2024, así como a aquellos otros interesados que acrediten el carácter imposible o gravoso de su cumplimiento en atención a los efectos de la emergencia. 2. […] 3. La suspensión de términos y la interrupción de plazos se aplicará a todo el sector público definido en la Ley 39/2015, de 1 de octubre.” A su vez, en el “Listado de municipios afectados por la DANA”, Anexo al Real Decretoley 6/2024, de 5 de noviembre, se incluyó -con el número 33- el municipio de ***AYUNTAMIENTO.1 (***PROVINCIA.1). Por otro lado, el BOE de 25/12/2024 publica la resolución de la Secretaría de Estado de la Función Pública que acuerda publicar como Anexo “el Acuerdo del Consejo de Ministros de 23/12/2024 de finalización de la suspensión de términos e interrupción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/43 plazos establecida en el Acuerdo del Consejo de Ministros de 5 de noviembre de 2024 […]”que dispone lo siguiente: “Transcurrido el tiempo mínimo y necesario para la vigencia de esta medida, el Consejo de Ministros, en su reunión del día 23 de diciembre de 2024, acuerda: Establecer la finalización de la suspensión de términos e interrupción de plazos administrativos y, reanudar los plazos suspendidos desde el día siguiente a la publicación de este acuerdo.” SÉPTIMO: En fecha 10/12/2024 la parte reclamada presenta sus alegaciones al acuerdo de inicio en las que solicita el archivo del procedimiento por considerar cumplido el principio de minimización y, subsidiariamente, la reducción del importe de la sanción. Invoca en apoyo de su pretensión estos argumentos: - En su primera alegación, “Contexto y antecedentes del expediente”, sostiene que “Este procedimiento se origina tras la reclamación de un interesado sobre el ejercicio de su derecho de acceso a datos personales, conforme al artículo 15 del Reglamento General de Protección de Datos (RGPD).” La reclamada explica que atendió con diligencia la solicitud de acceso del interesado, alude a la documentación acreditativa de la comunicación a la parte reclamada de la información a través de MRW, que fue aportada con la respuesta al traslado y cuya aportación reitera en este trámite, y dedica también la alegación segunda a esta cuestión. -La reclamada añade: “Adicionalmente, el expediente sancionador aborda aspectos vinculados al principio de minimización de datos, en concreto, la pertinencia de incluir la toma de imágenes en el tratamiento realizado en el marco de nuestro servicio de entrega de paquetería.” Es en la alegación tercera de su escrito en la que hace las siguientes consideraciones acerca del principio de minimización de datos (artículo 5.1.c que fue la infracción imputada en el acuerdo de inicio) que considera que ha sido plenamente respetado en el tratamiento que efectúa. Afirma que, en el presente caso, “la toma de imágenes de los destinatarios como parte del proceso de entrega de paquetería cumple rigurosamente con el principio de minimización de datos.” Que el “tratamiento ha sido diseñado y ejecutado bajo estrictos controles y procedimientos, asegurando que las imágenes recolectadas sean necesarias y proporcionadas para los fines declarados” y que “se han adoptado medidas específicas para limitar el alcance y la conservación de dichas imágenes, reforzando su adecuación al marco legal vigente.” Sustenta la afirmación precedente en estos argumentos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/43 (
7. i)Se refiere en primer término a las “Finalidades específicas del tratamiento de imágenes” y menciona las siguientes: a.- Trazabilidad y seguridad en el proceso de entrega de paquetería b.- Evitar conflictos o disputas relacionadas con la entrega. Dice que el tratamiento de imágenes permite a la entidad resolver rápidamente cualquier incidencia reportada, ya que las imágenes captadas acreditan de manera clara quién recibió el paquete y ofrecen un registro verificable y neutral en caso de disputas. Indica que esta finalidad está alineada con el artículo 6.1.f del RGPD, que permite el tratamiento de datos personales cuando es necesario para los intereses legítimos del responsable, siempre que no prevalezcan los derechos y libertades del interesado. c.- Reducción de riesgos operativos y legales. Sostiene que el uso de imágenes contribuye a mitigar riesgos operativos relacionados con la logística de entrega, como son los errores humanos en la identificación del destinatario; los reclamos infundados de pérdida o entrega incorrecta o la disminución de tiempo y costos asociados a la gestión de disputas. Considera que tales circunstancias “reafirman la necesidad y proporcionalidad del tratamiento en el marco de las operaciones logísticas y de servicio al cliente.” (
8. ii)En relación con la evaluación de la pertinencia y adecuación del tratamiento dice: Que existe una “relación directa” entre las imágenes y la finalidad declarada y que “Las imágenes recolectadas son estrictamente necesarias para los fines mencionados.” Indica que este tratamiento se limita al momento específico de la entrega, captando únicamente al destinatario en el acto de recepción del paquete. Afirma que este tratamiento “No incluye datos innecesarios ni invade la privacidad del interesado más allá de lo requerido para garantizar la trazabilidad.” Afirma que la recolección de imágenes cumple con el artículo 5.1.c del RGPD, ya que existe una conexión clara y directa entre los datos tratados y las finalidades del tratamiento. (iii) Respecto a las posibles alternativas a la captación de la imagen afirma: “El análisis concluyó que el tratamiento de imágenes es la solución más adecuada y proporcional, considerando las necesidades operativas y la minimización de riesgos concluye justificando el tratamiento.” Explica que antes de implementar este tratamiento, la entidad analizó alternativas que podrían cumplir con los mismos fines. Menciona: (
9. a)firmas manuscritas. Dice que presentan limitaciones en cuanto a la seguridad, trazabilidad y dificultad de verificación en caso de disputas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/43 (
10. b)Registros textuales: Dice que resultan insuficientes para identificar de manera inequívoca al destinatario. (
11. c)Capturas parciales (sin imágenes faciales): Dice que se descartó tal opción ya que no garantiza la correcta identificación del destinatario, especialmente en contextos de alta rotación de personal de entrega o múltiples destinatarios en un mismo domicilio. (
12. iv)Sobre la proporcionalidad del tratamiento, afirma que en el presente caso, el tratamiento de imágenes implementado “cumple rigurosamente con este principio, ya que se ha diseñado para equilibrar de manera justa las necesidades operativas con la protección de los derechos de los interesados.” Expone cuáles son los elementos en los que basa su afirmación: 1.- Impacto del tratamiento sobre los derechos y libertades de los interesados. Dice que “El impacto de la captación de imágenes se ha reducido al mínimo necesario para garantizar la finalidad declarada, sin que esta medida suponga una invasión injustificada en la privacidad de los interesados.” Concluye su exposición sobre este punto diciendo que “puede afirmarse que el impacto de este tratamiento sobre los derechos de los interesados es bajo, ya que no se tratan datos sensibles ni se afecta de manera significativa la privacidad de los destinatarios.” Conclusión que, a su vez, se apoya en estos elementos: a. El carácter funcional de las imágenes. Dice: “Las imágenes captadas son estáticas y se limitan al momento preciso de la entrega del paquete. No incluyen grabaciones continuas, en tiempo real o cualquier otro tipo de monitorización que pueda invadir la esfera privada del destinatario.” b. El contexto específico del tratamiento: La captación de imágenes se realiza exclusivamente en el marco del servicio de entrega de paquetería, sin ampliarse a otros ámbitos o finalidades ajenas a las declaradas. c. Ausencia de utilización secundaria: Las imágenes no son reutilizadas ni transferidas para otros fines distintos a los especificados, lo que refuerza el carácter limitado y respetuoso del tratamiento. (
13. v)Menciona el beneficio significativo para la entidad y para los destinatarios que el uso de imágenes en el proceso de entrega de paquetería aporta: Trazabilidad mejorada; la reducción de conflictos y la eficiencia operativa. -Respecto a las medidas adoptadas para reforzar la proporcionalidad del tratamiento y el respecto de los derechos de los interesados, menciona: 1.La limitación de la captación de imágenes evitando grabaciones continuas o invasivas. Solo se captan los datos estrictamente necesarios, evitando el tratamiento de imágenes que incluyan información adicional o irrelevante para la finalidad declarada. 2. La conservación limitada en el tiempo: Las imágenes se conservan únicamente durante el plazo necesario para cumplir su finalidad, que es gestionar la trazabilidad de la entrega y resolver posibles disputas. Dice que “El sistema de eliminación utiliza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/43 técnicas seguras que garantizan la irrecuperabilidad de las imágenes, reforzando la privacidad de los interesados.” 3. Evaluación continua del tratamiento. Dice: “Nuestra entidad revisa periódicamente la necesidad del tratamiento de imágenes y su proporcionalidad en relación con los fines operativos. Estas evaluaciones permiten ajustar los procedimientos conforme evolucione el servicio o las normativas aplicables.” - En relación con la evaluación de riesgos dice: 1. Que realizó una evaluación de riesgos, la cual concluyó que el tratamiento de imágenes presenta un riesgo bajo para los derechos de los interesados. Esta conclusión se basa en: La limitación del alcance del tratamiento; las medidas de seguridad implementadas y la ausencia de reutilización de las imágenes para fines distintos. -Concluye que la toma de imágenes que lleva a cabo cumple el principio de minimización por cuanto: 1. Es adecuada y pertinente para los fines declarados. 2. Es proporcional, ya que no existen alternativas menos intrusivas que garanticen el mismo nivel de trazabilidad y seguridad.3. Cumple con las exigencias del artículo 5.1.c del RGPD, limitándose a lo estrictamente necesario para los fines operativos y de trazabilidad. -Además, la reclamada hace este comentario: “A mayor abundamiento los reclamantes volvieron a presentar sus consentimientos en Mayo del 2.024 tal y como se acredita con el documento que se acompaña, lo cual no es sino sorprendente.” -La alegación cuarta del escrito, bajo el título “Atenuantes y eximentes aplicables al caso”, solicita al amparo del artículo 83.2 del RGPD que, a efectos de determinar el importe de la sanción de multa, se aprecien como atenuantes o, en su caso, eximentes, las circunstancias de los apartados b, a, c, del artículo 83.2. RGPD: 1.Ausencia de intencionalidad o negligencia grave. Alega que ha actuado con diligencia y de buena fe en todo momento cumpliendo la normativa aplicable. Menciona en tal sentido: (
14. i)que el ejercicio del derecho de acceso por parte del interesado fue atendido dentro del plazo estipulado en el artículo 12.3 del RGPD. (
15. ii)La “Proporcionalidad y necesidad del tratamiento de imágenes”. Afirma que la toma de imágenes en el contexto del servicio de entrega de paquetería fue implementada para garantizar la trazabilidad del proceso, sin que se persigan fines distintos ni incompatibles con los objetivos declarados. (iii) Que no existen evidencias de que se haya actuado con intencionalidad de infringir los derechos del interesado, ni de que se haya incurrido en negligencia grave. 2.Naturaleza puntual y no sistemática de la incidencia. Sostiene que, en virtud del artículo 83.2.a del RGPD, el impacto limitado de la incidencia debe ser considerado en la evaluación de la sanción. Alega en tal sentido: (i)Que estamos ante un caso aislado. La incidencia objeto del expediente constituye un evento puntual y excepcional dentro de un marco general de cumplimiento normativo. (
16. ii)Que la reclamada no tiene incumplimientos ni infracciones previas, lo que demuestra un compromiso constante con la protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/43 3.-Ausencia de perjuicio significativo para el interesado. Sostiene que conforme al artículo 83.2.a del RGPD, el impacto limitado de la incidencia debe ser considerado en la evaluación de la sanción. Alega en tal sentido que: (
17. i)No se ha generado un daño material o inmaterial significativo a los derechos y libertades del interesado, dado que “La información solicitada fue efectivamente generada y remitida por nuestra entidad en tiempo y forma” y que “No se ha realizado un uso indebido de los datos personales del interesado.” 4.- La colaboración activa con la Agencia Española de Protección de Datos. Sostiene que, en línea con el artículo 83.2.c del RGPD, ha implementado estas medidas proactivas para mitigar cualquier posible daño y reforzar la efectividad de los derechos de los interesados: (
18. i)Suministro de pruebas y explicaciones: se han aportado todos los justificantes necesarios para acreditar que se respondió a la solicitud del interesado en tiempo y forma. (
19. ii)Transparencia y disposición para adoptar medidas correctivas. Dice sobre este particular: “Nuestra entidad ha mostrado su disposición para reforzar los procedimientos internos y garantizar el cumplimiento normativo en el futuro, lo que refuerza nuestro compromiso con la mejora continua. La cooperación con la AEPD es un criterio relevante según el artículo 83.2.f del RGPD, y debe ser valorado como un atenuante significativo.” 5.- Medidas proactivas adoptadas. Sostiene que conforme al artículo 83.2.c del RGPD, ha adoptado estas medidas proactivas: (
20. i)Refuerzo de los procedimientos de respuesta a solicitudes de derechos. Se han introducido nuevos mecanismos para garantizar la recepción de las respuestas por parte de los interesados. Uso de múltiples canales de comunicación (correo certificado, correo electrónico, mensajes de texto). (
21. ii)Optimización del tratamiento de imágenes -El último párrafo del escrito de alegaciones parece referirse a la medida provisional que se adoptó en el acuerdo de inicio que la parte reclamada debió haber cumplido el día siguiente a la notificación de tal acuerdo, el 25/10/2024, pero de la que no ha informado en ningún escrito anterior. Dice la entidad reclamada: “En otro orden de cosas esta parte ha dado cumplimiento a lo previsto en el ACUERDO Cuarto del Acuerdo de inicio de Expediente Sancionador.” Aporta con su escrito estos documentos: 1.- El modelo de “Autorización para la recogida de paquetes” que dice utilizar. No incluye la fecha en la que se elaboró. En el documento consta: “Socios/propietarios”, “Autorización para la recogida de paquetes”. Los campos “Asunto”, “Parcela”, “Promoción” y “Vivienda” deben cumplimentarse. Debajo, destacado en rojo, “Válido 24 meses o pérdida de la condición de socio”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/43 El socio/propietario debe cumplimentar los datos de nombre y apellidos, NIF y teléfono. Debajo del espacio destinado a los datos el documento incluye esta leyenda: “Los abajo firmantes, AUTORIZAMOS al personal (empleado o colaborador) de la (...)P. Ciudad Residencial H.H.H. (en adelante H.H.H.), con CIF nº ***NIF.1, a recoger en nuestro nombre cualquier tipo de paquetería, aceptando las siguientes condiciones:”. Las condiciones incluidas, por las que se rige la recogida, son entre otras, las siguientes: -Se indica el lugar en que se hará entrega de la paquetería añadiendo: “se acreditará la entrega con la toma de la fotografía del destinatario o de la persona suficientemente autorizada para ello.” -Solamente se recogerá paquetería que tengan como destinatarios las personas o empresas inscritas en este documento. - Recibido en las dependencias de la SCP el envío de que se trate, por el personal de H.H.H. se procederá a la remisión de SMS o WhatApp dirigido al destinatario del envío en el teléfono indicado por él mismo en el presente documento, para que dicho interesado quede advertido de la recepción del envío y pase a retirarlo. -Ningún envío recibido en las dependencias de la SCP será conservado durante más de 15 días naturales contados desde el envío del SMS o WhatApp mencionado en el punto anterior. Transcurrido el plazo, el personal se remitirá nuevo SMS o WhatsApp informando de la inmediata destrucción del envío no recogido. -Se prevé la renuncia del socio/propietario “expresa e irrevocable a toda acción para exigir la responsabilidad de H.H.H. y sus empleados o colaboradores por cualesquiera daños que pudieran resultar [...] a raíz de la puesta en práctica y realización de las funciones de recepción, conservación, notificación y entrega descritas en el presente documento.” Las “controversias surgidas entre los firmantes y H.H.H. o sus empleados o colaboradores, resultantes de la puesta en práctica y realización de las funciones de recepción, conservación, notificación y entrega descritas en el presente documento, serán resueltas irrevocablemente y en una única instancia por la Junta Directiva, que actuará como árbitro con arreglo a la legislación vigente.” -Se establece que, de conformidad con el RGPD y la LOPDGDD, los socios/propietarios “prestan, mediante la firma de la presente de manera expresa su consentimiento a los efectos de que sus datos personales (incluida la imagen que podrá serle tomada para acreditar la entrega del paquete), sean tratados por H.H.H. como Responsable del tratamiento, con el objeto de ser empleados para el correcto desarrollo y ejecución de lo dispuesto en la presente autorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/43 -La Base Legal para el tratamiento de los datos personales de los abajo firmantes, es, por tanto, el cumplimiento de lo dispuesto en la presente autorización. -Se establece que los datos se conservarán “por el tiempo que resulte imprescindible a los efectos de garantizar el cumplimiento de cualesquiera obligaciones legales que, en virtud del presente, pudieren en su caso corresponder a los abajo firmantes o H.H.H.. “ -Se establece que los socios/propietarios pueden “revocar el consentimiento otorgado para el tratamiento de sus datos”. Al pie del documento figura: “Y para que conste, firma y adjunta copia del DNI/CIF (según corresponda)”. 2.- Un ejemplar del modelo de “Autorización para la recogida de paquetes” descrito en el punto 1, cumplimentado con los datos de los reclamantes 2 y 1 (nombre y apellidos, NIF y número de teléfono). Al pie del documento figura la fecha de 28/05/2024 y dos firmas, supuestamente de ambos reclamantes. 3.- El documento denominado “Autorización a un tercero para la retirada de paquetería”, (folios 232 a 2333) en el que la parte reclamante 1 autoriza a la parte reclamante 2 a recoger en su nombre los paquetes que se reciban en su nombre en las dependencias de Urbanización H.H.H.. Tiene fecha de 28/05/2024 y está firmado supuestamente por ambos reclamantes. Además, figura anexa la copia de los DNI de ambos reclamantes. 4. La copia del documento “Análisis de Riesgos en materia de Tratamiento de Datos de Carácter Personal Ciudad Residencial H.H.H., (...)”. El documento que tiene fecha de 01/09/2020, obra en el expediente aportado por la parte reclamada anexo a la respuesta al traslado y a las alegaciones al acuerdo de inicio (folios 93 a 97, 107 a 110 del expediente y 207 a 210). En el epígrafe 3, “Factores con incidencia en el riesgo”, punto 3.1., “Actividad analizada”, dice: “La actividad analizada que no es otra que el tratamiento de datos para el control en la entrega de paquetería, servicio pensado para en beneficio de todos los vecinos de la Urbanización.” Sobre el tipo de datos tratados (punto 3.2.) y los tratamientos llevados a cabo (punto 3.3.) dice: “Los datos se limitan, al nombre, teléfono, dirección e imagen que se toma como acuse de recibo. La toma de imagen está justificada para reducir el contacto y posibles contagios derivados de la crisis del COVID 19.” “La Empresa realiza el tratamiento descrito con las finalidades que se indican a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/43 Fichero de Control entrega Paquetería: Control de las recepciones de correspondencia y paquetería en el marco de la Autorización firmada con dicha finalidad.” El documento citado indica haber identificado un riesgo bajo para los derechos y libertades de las personas cuyos datos son objeto de tratamiento. En el punto “3.4 Específicas situaciones de riesgo para los derechos y libertades de las personas”, consta: “Se han identificado las siguientes situaciones específicas de riesgo bajo para los derechos y libertades de las personas cuyos datos son tratados por la Empresa, tales como la vulneración de la confidencialidad o la integridad de los datos podría producir daños y perjuicios, materiales o inmateriales, […]” En el punto 4. “Probabilidad y gravedad de lo riesgos detectados”, dice: “De conformidad con ello, se estima que el tratamiento de datos personales llevado a cabo por la Empresa tiene los siguientes riesgos: Riesgo Escaso, en relación con el tratamiento del resto de datos personales en la Empresa, puesto que ni de la tipología de datos, ni de las finalidades de los tratamientos llevados a cabo, ni de otras circunstancias se deduce la existencia de un riesgo superior El punto 5, relativo a las “medidas técnicas y organizativas que se recomienda adoptar en base a los riesgos detectados”, menciona: “Actualización de dispositivos y ordenadores”. “Se dispondrá de un sistema de antivirus en los ordenadores y dispositivos donde se realice el tratamiento automatizado de los datos personales que garantice la protección de la información y datos personales. Este sistema deberá actualizarse periódicamente.” “Deberá existir de un firewall activado en aquellos ordenadores y dispositivos en los que se realice el almacenamiento y/o tratamiento de datos personales para evitar accesos remotos indebidos a esos datos.” “Cifrado de datos: En caso de que sea necesario sacar los datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se deberá valorar la posibilidad de usar un proceso de encriptación para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la información.” OCTAVO: En fecha 25/04/2025 el instructor acuerda la apertura en el procedimiento de una fase probatoria y la práctica de las siguientes pruebas: 1.Dar por reproducidos a efectos de prueba: 1.1. La reclamación presentada por los reclamantes 1 y 2 y su documentación anexa. 1.2. Toda la documentación generada y recibida con ocasión del traslado efectuado a la parte reclamada de las reclamaciones presentadas. 1.3. El escrito presentado por la reclamada en fecha 07/11/2024 relativo a la suspensión de plazos. 1.4.Las alegaciones de la reclamada al acuerdo de inicio y su documentación anexa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/43 2.Se solicita a la parte reclamada que aporte a esta Agencia la información y la documentación que se detalla: 2.1. Que informe -acreditando documentalmente su respuesta- cuál es la base jurídica del tratamiento que ha venido efectuando, consistente en la captación mediante fotografía de la imagen del residente en la urbanización que hace uso del servicio de recogida de paquetes/cartas que ofrece H.H.H.. Se le recuerda que en el escrito que dirigió a los reclamantes respondiendo al acceso solicitado y en su respuesta al traslado ha mencionado como supuestas bases jurídicas del tratamiento el consentimiento y el interés de la empresa/servicio prestado. En relación con esos fundamentos de licitud invocados deberá aportar: -Documento en el que conste el consentimiento expreso e informado de cada uno de los reclamantes para tratar el dato de su imagen con la finalidad de acusar recibo de la recogida de paquetería/cartería en la urbanización en la que residen. -Documento con la ponderación que hubiera realizado antes del inicio del tratamiento de datos objeto de este procedimiento entre los intereses legítimos que invoca, de una parte, y los intereses, derechos y libertades fundamentales de los residentes, de otra, de la que hubiera concluido la necesidad de llevar a cabo el tratamiento controvertido y la prevalencia de sus intereses legítimos. Asimismo, deberá precisar cuál o cuáles son los intereses legítimos sobre cuya supuesta prevalencia pretende fundar la licitud del tratamiento. 2.2. Que acredite haber cumplido la obligación de informar a los residentes -cuya imagen es objeto de tratamiento cuando hacen uso del servicio de paquetería/cartería de la urbanización- en los términos del artículo 13 del RGPD. 2.3. Que informe si el tratamiento del dato de la imagen de los residentes se efectúa exclusivamente por H.H.H. o si interviene un encargado de tratamiento. En tal caso, deberá facilitar la identidad del encargado de tratamiento y aportar copia del contrato de encargo de tratamiento suscrito. 2.4. Que informe, acreditando documentalmente su respuesta, cuál es el valor económico del patrimonio que gestiona la sociedad civil particular H.H.H.. 2.5. Que informe, acreditando documentalmente su respuesta, del número de socios que integran la sociedad civil particular H.H.H. y de las rentas, derivadas de la gestión que realiza la sociedad, que se imputaron a cada uno de los socios en los ejercicios 2022, 2023 y 2024. 2.6. Que informe, acreditando documentalmente su respuesta, qué daños ha experimentado H.H.H. como consecuencia de la DANA sufrida en otoño de 2024. En caso de que hubiera sufrido daños deberá acreditar documentalmente el valor económico. NOVENO: En fecha 14/05/2025 la parte reclamada presenta su escrito de respuesta a las pruebas solicitadas en el que expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/43 -Respecto a la base jurídica que ampara el tratamiento de la imagen de los residentes al hacer uso del servicio de recogida de paquetería: “Se adjuntan copias de los consentimientos expresos prestados por los residentes reclamantes, así como la plantilla del modelo de consentimiento utilizado por la entidad para todos los usuarios del servicio, como prueba representativa del procedimiento implantado.” Aclara que “la recogida de paquetería no es un servicio propio ni retribuido y que los vecinos pueden perfectamente recibir sus paquetes en sus domicilios”. Aporta “el documento de ponderación del interés legítimo, elaborado conforme al artículo 6.1.
22. f)del Reglamento General de Protección de Datos (RGPD), en el que se analiza la finalidad del tratamiento, su necesidad, la proporcionalidad de los medios empleados y el impacto limitado sobre los derechos de los interesados. Esta ponderación ya fue incluida en el escrito de alegaciones de fecha 2 de diciembre de 2024, en sus apartados tercero y cuarto, donde se desarrolló el razonamiento jurídico y operativo correspondiente. No obstante, y a efectos probatorios, se aporta nuevamente como documento independiente y específico en esta fase de práctica de prueba.” -Indica que “con carácter previo a la implantación del sistema, la entidad elaboró un análisis de riesgos del tratamiento, en cumplimiento de lo previsto en los artículos 24 y 32 del RGPD. Dicho documento fue igualmente aportado con las alegaciones del 2 de diciembre de 2024 y consta en el expediente. En este análisis se valoraron los posibles escenarios de riesgo derivados del tratamiento de datos personales en el contexto de la entrega de paquetería y correspondencia, concluyéndose que: El nivel de riesgo era bajo, dada la naturaleza limitada, puntual y no sistemática del tratamiento. Los datos tratados eran los mínimos imprescindibles para alcanzar la finalidad: nombre, dirección de entrega y una imagen capturada únicamente en el momento de la recogida. Se habían implementado medidas técnicas y organizativas adecuadas, entre ellas: Acceso restringido mediante credenciales individuales. -En cuanto a la información facilitada a los residentes de acuerdo con el artículo 13 del RGPD dice: “Se da por reproducido el documento informativo al que se ha hecho referencia en el anterior número, donde consta: Identidad y datos del responsable. Finalidades y base jurídica del tratamiento. Conservación, destinatarios y derechos. Contactó del DPD.” - Que el tratamiento de imágenes es realizado exclusivamente por el personal propio de la esa sociedad, sin intervención de encargados de tratamiento externos. - Que la sociedad civil H.H.H. es una entidad instrumental cuyo objeto exclusivo es la gestión comunitaria de los servicios e infraestructuras comunes de una urbanización privada, actuando como una comunidad de propietarios. No desarrolla actividad empresarial ni económica en el sentido mercantil del término. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/43 -Que sus ingresos proceden de las cuotas periódicas que los socios-residentes aportan para el mantenimiento común, sin que exista prestación de servicios a terceros, comercialización de bienes o actividades retribuidas por el exterior. No obtiene beneficios, ni reparte rendimientos, ni presenta cuentas de pérdidas y ganancias comerciales, sino que recauda lo necesario para sufragar los gastos corrientes (seguridad, mantenimiento, zonas comunes, etc.). En cuanto al patrimonio, indica que la sociedad no dispone de patrimonio privativo con finalidad de explotación, sino que administra y mantiene bienes que pertenecen funcional o jurídicamente a todos los copropietarios de la urbanización. Bienes que están afectos al uso común y no destinados a generar. -Que el número de socios coincide con los propietarios de las viviendas de la urbanización. Aunque sujeto a variaciones, actualmente el número estimado es de 792. -Que, respecto a los daños derivados de la DANA, como ya expuso en sus alegaciones al acuerdo de inicio, la urbanización se vio gravemente afectada por el temporal que dio lugar al reconocimiento oficial de la zona como “afectada gravemente por una emergencia de protección civil”. Añade: “En propiedades particulares situadas dentro de la urbanización se produjeron daños cuantiosos y generalizados, si bien no es posible precisar su distribución ni la cuantía exacta por parcela, al tratarse de bienes de titularidad individual. En cuanto a las infraestructuras públicas y municipales existentes dentro del perímetro de la urbanización (puentes, viales, caminos, colectores de aguas pluviales y residuales), un informe técnico emitido por el Colegio de Ingenieros de***PROVINCIA.1, encargado por la Consellería y comentado por el Ayuntamiento de ***AYUNTAMIENTO.1, estimó el coste de reparación de los daños sufridos en aproximadamente 4,2 millones de euros. Cabe destacar que, pese a la magnitud de los daños, ninguna administración competente asumió inicialmente las tareas de reparación, por lo que los propios vecinos, con sus medios humanos y económicos, acometieron: Retirada de árboles caídos sobre los viales. Eliminación de barro, limpieza de restos y acondicionamiento viario. Reparación urgente de puentes colapsados, que habían dejado incomunicadas a más de 80 viviendas.” Aporta estos documentos: 1.- El modelo de “Autorización para la recogida de paquetes” que dice utilizar. No incluye la fecha en la que se elaboró. Damos por reproducida la descripción que de este documento se hace en el Antecedente octavo, habida cuenta de que se aportó por la parte reclamada con sus alegaciones al acuerdo de inicio. 2.- Un ejemplar del modelo de “Autorización para la recogida de paquetes” descrito en el punto 1, cumplimentado con los datos de los reclamantes 2 y 1 (nombre y apellidos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/43 NIF y número de teléfono). Al pie del documento figura la fecha de 28/05/2024 y dos firmas, supuestamente de ambos reclamantes. 3.Una copia de los Estatutos de (...)P. Ciudad Residencial H.H.H. (que incluyen el “Reglamento sobre Régimen Jurídico de las Parcelas de la zona residencial) de los que extraemos esta información: El objeto de la sociedad, que tiene plena personalidad jurídica, es (artículo 3 de los Estatutos) “el constituir un instrumento jurídicamente adecuado para aunar criterios y voluntades, resolver conflictos, facilitar el disfrute de los bienes comunes y lograr la adecuada y pacífica convivencia en” la urbanización. La condición de socio” viene determinada por la adquisición de una participación social como consecuencia de la necesaria adquisición de una parcela edificable o vivienda en” la urbanización y tal condición es “irrenunciable e inseparable de la condición de propietario”. La sociedad no persigue un fin de lucro. 4.Un certificado expedido por la Agencia Estatal de Administración Tributaria, Delegación Especial de***PROVINCIA.1, firmado electrónicamente el 08/05/2025, en el que se certifica que la (...)P. H.H.H. “No figura en el censo de Actividades Económicas de la AEAT correspondiente al ejercicio 2024”. 5.El documento denominado “Análisis Intereses Legítimos”, que tiene fecha de 01/09/2020. El epígrafe 1 del documento, “Identificación del tratamiento”, dice que se “pretende implantar un procedimiento interno de control de entregas de paquetería y correspondencia, limitado al ámbito vecinal. El sistema consiste en la captación de una imagen puntual del residente en el momento de recoger el paquete, con el fin de disponer de una prueba visual de la entrega. Este tratamiento se ha diseñado y aplicado exclusivamente en beneficio de los propios residentes, sin cesión a terceros, sin difusión y con pleno control técnico y organizativo por parte del responsable.” En el epígrafe 2, “Finalidad del tratamiento”, consta que “es: Asegurar la correcta identificación del receptor del paquete. Garantizar la trazabilidad del proceso de entrega, especialmente ante reclamaciones por errores o extravíos. Proteger a la persona encargada del servicio ante posibles conflictos o malentendidos El epígrafe 3, “Interés Legítimo”, dice que la “base jurídica del tratamiento se encuentra en el artículo 6.1.
23. f)del RGPD: interés legítimo del responsable. Se ha considerado que el interés legítimo es: Real y concreto, ya que responde a un problema recurrente de identificación y trazabilidad en la gestión de entregas. Lícito, pues no implica intromisión desproporcionada en derechos fundamentales. Compatibilizado con los derechos de los interesados, quienes han sido informados previamente y han aceptado voluntariamente el uso del servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/43 En el epígrafe 4, “Análisis de riesgo y necesidad del tratamiento”, se indica que “con carácter previo a la implantación del tratamiento, se ha realizado un análisis de riesgos, en el que se evaluaron: Las categorías de datos tratadas (imagen puntual, nombre y dirección). El contexto limitado y controlado del tratamiento. La inexistencia de perfiles, cesiones, decisiones automatizadas o tecnologías invasivas. El carácter manual del proceso, sin videovigilancia ni tratamiento masivo. El análisis ha concluido que el riesgo es bajo, en línea con lo previsto por el RGPD y sin necesidad de evaluación de impacto adicional. En cuanto a la necesidad del tratamiento, se descartan alternativas como: Firma manuscrita: poco fiable, falsificable. Registro manual: ineficaz como prueba objetiva. Captura sin rostro: inservible para la finalidad perseguida. Se considera que la imagen puntual es el dato mínimo imprescindible para cumplir el objetivo de identificación visual inequívoca. En el epígrafe 5, “Medida técnicas y organizativas adoptadas” se indica que: “De acuerdo con el análisis de riesgos: Las imágenes se conservan 10 días, tras lo cual se eliminan. El acceso está restringido al personal autorizado, mediante credenciales personales. No existe posibilidad de cesión o acceso externo. La infraestructura técnica está protegida mediante cifrado, antivirus actualizado y copias de seguridad. Se ha entregado a los usuarios una cláusula informativa completa, conforme al artículo 13 del RGPD. El procedimiento ha sido registrado en el registro de actividades de tratamiento.” En el epígrafe 6 “Evaluación de impacto en los derechos de los interesados”, se recoge: “El impacto sobre los interesados se considera muy limitado: El tratamiento no afecta a datos sensibles. Se realiza con consentimiento informado de los usuarios del servicio. No implica vigilancia, videograbación ni interconexión con otros tratamientos. No tiene consecuencias jurídicas ni decisiones automatizadas. Además, al tratarse de una comunidad cerrada y gestionada internamente, el tratamiento queda restringido al ámbito organizativo, sin implicaciones externas. En el epígrafe 7, “Conclusión final de la ponderación” consta que, “De acuerdo con el artículo 6.1.
24. f)del RGPD, y habiendo ponderado adecuadamente los intereses del responsable y los derechos de los interesados, se concluye que: El tratamiento es proporcionado y adecuado a la finalidad perseguida. El interés legítimo invocado es prevalente y compatible con el RGPD. Se han adoptado todas las medidas necesarias para minimizar el riesgo y garantizar los derechos. Por todo ello, el tratamiento está debidamente justificado y cumple con las exigencias de legalidad, necesidad y proporcionalidad impuestas por la normativa de protección de datos.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/43 DÉCIMO: Con fecha 19 de agosto de 2025 se formuló propuesta de resolución, con el siguiente sentido: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a PARTICULAR CIUDAD RESIDENCIAL H.H.H., (...), con NIF ***NIF.1, por una infracción del artículo 5.1.
25. c)del RGPD, tipificada en el artículo 83.5.
26. a)del RGPD, con una sanción de multa administrativa por importe de 2.000 € (dos mil euros). Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a PARTICULAR CIUDAD RESIDENCIAL H.H.H. (...), con NIF ***NIF.1, que en virtud del artículo 58.2.
27. d)del RGPD, en el plazo máximo de cinco días hábiles, acredite haber procedido al cese del tratamiento de datos que realiza -captación y conservación de la fotografía de la persona a la que se hace entrega de un paquete a modo de acuse de recibo- y al borrado de todas las imágenes obtenidas en el curso de este tratamiento. DÉCIMO PRIMERO: Con fecha 1 de septiembre de 2025, tiene entrada escrito de alegaciones de la parte reclamada a la propuesta de resolución en el que, esencialmente, reiteran los argumentos ya vertidos con ocasión de las alegaciones al acuerdo de inicio. Así, la parte reclamada insiste en que el sistema de captación de fotografías al retirar paquetería se implantó hace unos años, con base en el incremento exponencial del número de envíos y recogidas en comunidades residenciales, especialmente tras la pandemia, lo que generó riesgos evidentes de fraude y suplantación en la entrega de paquetes y la necesidad de garantizar la trazabilidad y seguridad en el servicio de recogida centralizada, evitando conflictos vecinales y reclamaciones frente a la administración de la finca. De igual forma, recuerdan que es fundamental precisar que no se trata de un sistema de videovigilancia continua, sino de una captación puntual y limitada al momento de la entrega. La fotografía se tomaba únicamente en el acto de la recogida. La imagen se vinculaba al registro de la entrega. No existía grabación continua de zonas comunes ni almacenamiento de imágenes masivo Respecto de la legitimación del tratamiento aluden de nuevo al consentimiento expreso de los interesados (art. 6.1.a RGPD) ya que Los residentes que utilizaban el servicio de recogida firmaban un documento de consentimiento informado, en el que se explicaba la finalidad de captación de imágenes y al interés legítimo del responsable (art. 6.1.f RGPD) ya que la comunidad de propietarios tiene un interés legítimo en garantizar la seguridad y correcta entrega de los paquetes, evitando suplantaciones. Tras la ponderación realizada concluyeron que el impacto era reducido y que existían medidas de mitigación (captación puntual, información previa, limitación de finalidad). Justifican la proporcionalidad de la medida y realiza una comparativa con otros tratamientos admitidos por la AEPD, en su Guía sobre Videovigilancia