1/15 Expediente N.º: EXP202200460 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de diciembre de 2021 y 14 de marzo de 2022, interponen reclamación ante la Agencia Española de Protección de Datos A.A.A. y B.B.B. (en adelante, la parte reclamante 1 y parte reclamante 2 respectivamente). La reclamación se dirige contra GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 (en adelante, la parte reclamada o GLS). Los motivos en que basa la reclamación son los siguientes: Los reclamantes manifiestan que llevaron a cabo la compra de un terminal móvil en una tienda física del operador de telefonía XFERA MÓVILES, indicando que el terminal sería entregado en su domicilio, pero no lo han recibido, por lo que se pone en contacto con la empresa de transportes, y le indican que su paquete había sido retirado personalmente en su sede, y que dicha persona había facilitado todos sus datos personales para proceder a la retirada. Entienden, por tanto, que se ha llevado a cabo una suplantación de identidad y usurpación de sus datos personales, sin que la reclamada haya realizado una custodia adecuada de sus datos personales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 17 de enero de 2022 se dio traslado a XFERA MÓVILES de dicha reclamación, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En respuesta a dicho requerimiento se recibe la siguiente información: Los terminales de los reclamantes fueron recogidos en la sede de la empresa de GLS. La copia del DNI que se solicita en el momento de la contratación se guarda dentro de un gestor documental cuyo acceso “se encuentra limitado al departamento de fraude (Control de Servicio) y perfiles con facultad de auditoría”. La información sobre los pedidos de terminales se guarda en distintos sistemas de logística dependiendo de la empresa de mensajera que gestione el envío pero, en ningún caso se almacena copia del DNI en estos sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Las personas que tienen acceso a los sistemas de logística (del departamento de logística) no tienen acceso al gestor documental en el que se almacenan las copias de los documentos de identidad. La entidad reclamada manifiesta que “entendemos que es improbable que la usurpación de la personalidad del interesado se deba a un fallo en la seguridad de los sistemas de mi representada que afectara al gestor documental y al sistema de logística, de hecho, no se ha detectado vulneración de las medidas de seguridad de estos aplicativos.” Asimismo señala que “tiene contratados los servicios logísticos asociados al envío y recepción de terminales, router y demás aparatos electrónicos a Interbox Technology, S.L. de 15 de julio de 2015, encargándose esta de la gestión y preparación de los pedidos. Los servicios de mensajería se encuentran subcontratados a su vez por Interbox a ASM, UPS y Correos.” En esta misma línea indica que “Por razones de las que esta Agencia ya es conocedora, relacionadas con el fraude conocido como SIM swapping, una de las medidas implementadas por mi representada a mayores, es la denominada entrega segura, mediante la cual, la entrega de tarjetas SIM y terminales deberá realizarse en el domicilio del interesado con identificación del contratante, sin que se permita la entrega a terceros, ni siquiera convivientes.” Concluye diciendo que “las empresas de mensajería solo disponen de información de la persona a la que se dirige el pedido e instrucción de realizar la entrega segura mediante comprobación del DNI del interesado, no proporcionándoles, por parte de mi representada, acceso a información del continente del paquete transportado.” TERCERO: Con fecha 2 de junio de 2022 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 28 de junio de 2022, se reciben en la AEPD escritos de respuesta a requerimiento de información, presentado en nombre de GLS, en los que se aporta, entre otra, la siguiente información: 1. El remitente de ambos envíos es INTERBOX. 2. Respecto al envío del RECLAMANTE 2, se indica que tiene contratado el servicio de fotocopia del documento de identificación. De este modo, GLS identificó al receptor del envío y realizó una fotografía del documento con el que se identificó la persona que recogió el envío. Y se aporta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 copia por las dos caras del mismo documento de extranjero que había aportado en su reclamación el RECLAMANTE 2. 3. Respecto a las indicaciones que tienen para entregar el paquete del RECLAMANTE 2, indican que “Las instrucciones del cliente en relación al envío se recogen en la sección “Observaciones” del Documento 1. En dicha sección se señalan los últimos 4 dígitos y letra del documento de identidad de la persona a la que se deberá entregar la expedición.”. Y se aporta captura del documento de expedición del envío del RECLAMANTE 2, en el que se puede observar que, en el apartado “Observaciones”, aparece como dato personal del cliente los últimos 4 dígitos y la letra del DNI del RECLAMANTE 2 con, entre otras, la indicación “Entrega exclusiva DNI”; en los datos de “Destino” de ese documento de expedición aparecen los datos de contacto, domicilio y nombre completo del destino del envío pero no aparece el dato del número de DNI. Sí aparece el nombre completo y número del DNI del RECLAMANTE 2 en los datos que se refieren a la recogida del envío realizados el día 15/02/2022 a las 16:24 horas. 4. Respecto al envío del RECLAMANTE 1, se indica que tiene contratado “servicio Identifícate que no requiere de la toma de fotografías de los documentos de identidad, sino que únicamente implica el cotejo por el repartidor de que el documento de identidad mostrado por el destinatario coincide con el indicado por el cliente.” Y se aporta copia del comprobante de entrega, en el que se puede observar que el número de identidad del RECLAMANTE 1 (que coincide con el número de identidad que el reclamante indicó al presentar su reclamación ante la AEPD) solamente aparece, junto con su nombre completo, en la sección “Recibido y conforme” junto con la fecha de recogida del 07/12/2021 a las 9:18 horas. 5. Copia del documento de expedición del envío del RECLAMANTE 1, en el que, en el apartado “Observaciones”, aparece la indicación de “Entrega exclusiva DNI” y se indican los últimos 4 dígitos y la letra del documento de identidad del RECLAMANTE 1; en los datos de “Destino” de ese documento de expedición aparecen los datos de contacto, domicilio y nombre completo del destino del envío pero no aparece el dato del número de DNI. Sí aparece el nombre completo y número del DNI del RECLAMANTE 1 en los datos que se refieren a la recogida del envío realizados el día 07/12/2021 a las 09:18 horas. 6. Respecto a las personas que tuvieron acceso a los datos del envío, se indica lo siguiente: “La actividad de las empresas postales y de transporte de paquetería implica que las expediciones se gestionen por numerosos operarios en las diversas fases de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 logística y transporte (recepción, descarga, clasificación, embalaje, carga….). En consecuencia, pasamos a detallar todas las funciones y proveedores que han accedido a los datos de la etiqueta necesarios para la entrega al destinatario. En primer lugar, un proveedor transporta las expediciones desde las instalaciones de Interbox hasta nuestro hub en Madrid. Posteriormente, los operarios descargan, clasifican y embalan las mercancías en pallets para su transporte por otro proveedor hasta las plataformas de reparto (zona donde se entregará al destinatario). Tras esto, la empresa colaboradora, la cual figura como “Destino: Llica – N20” en el Documento 1, se encarga de repartir las expediciones al destinatario. Además de las funciones ya detalladas, también puede accederse a los datos desde Atención al Cliente para gestionar cualquier incidencia en relación a la expedición. Todos aquellos que tuvieron acceso a los datos personales del reclamante, lo tuvieron o bien para gestionar su transporte, o bien para gestionar las incidencias derivadas del mismo”. Y se aporta una captura de los “Tracking operativos” de ambos envíos en los que se pueden observar todas las actuaciones que se han realizado sobre cada envío desde su salida hasta su entrega; cada una de estas actuaciones tiene indicado un código de quién ha realizado la actuación. 7. Respecto a la recogido de los envíos en las oficinas de la empresa de reparto en lugar de en el domicilio de los reclamantes, se indica que, en ambos casos, se tiene constancia de que los reclamantes lo indicaron así. Y se aportan datos del “tracking” de ambos envíos en los que aparece la siguiente incidencia: - En el envío del RECLAMANTE 1: “FACILITADA SOLUCIÓN POR EL CLIENTE” anotada en la fecha del 04/12/2021 a las 23:10 horas. - En el envío del RECLAMANTE 2: “FACILITADA SOLUCIÓN POR EL DESTINATARIO” anotada en la fecha del 15/02/2022 a las 8:00 horas. El día 30 de junio de 2022, se recibe en la AEPD escrito de respuesta a requerimiento de información, presentado en nombre de XFERA CONSUMER FINANCE, en los que se aporta, entre otra, la siguiente información: 8. Indicación de que no puede facilitar los datos de accesos a los datos de los reclamantes porque “habiendo consultado a las áreas involucradas en la gestión de clientes dentro de Xfera Consumer Finance Establecimiento Financiero de Crédito S.A. y que son las que pueden revisar las Bases de Datos de clientes dentro de los sistemas de mi mandante, mi mandante asegura no tener constancia ni registro de los reclamantes dentro de sus sistemas, ni haber realizado ninguna financiación a estos reclamantes”. 9. Hilo de correos en los que el Director de Operaciones de XFERA CONSUMER FINANCE indica que “Os confirmo que estos clientes nunca lo han sido de Xfera CF y nunca hemos recibido ninguna solicitud a nombre de ninguno de ellos (que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 pudiéramos rechazar, por ejemplo). Por lo que se puede confirmar que ninguna persona de Xfera CF ha tenido acceso a sus datos.”. 10. Impresiones de pantalla de dos búsquedas en la base de datos de clientes de XFERA CONSUMER FINANCE en las que se observa el resultado “El cliente no existe”. En estas búsquedas se observa que se han realizado introduciendo en el campo “NIF/CIF” dos números de identidad parecidos a los de los reclamantes pero que no son exactamente iguales. De este modo, en una búsqueda se realiza con un número que es el del RECLAMANTE 2 incluyendo un cero delante; y la otra búsqueda se realiza con un número que es el del RECLAMANTE 1 incluyendo un cero entre la primera letra y el primer número de su número de identificación. El día 4 de julio de 2022, se reciben en la AEPD escritos de respuesta a requerimiento de información, presentados en nombre de INTERBOX, en los que se aporta, entre otra, la siguiente información: 11. Indicación de que “INTERBOX dispone de una plataforma logística (en adelante, “Plataforma”) para la gestión de los pedidos del Xfera Móviles, S.A., al que se accede mediante usuario y contraseña. No obstante, dicha Plataforma no tiene un registro de accesos que permita acreditar qué usuarios en concreto accedieron a los datos personales del reclamante en el rango de fechas indicado.” 12. Indicación de las personas que tenían permisos para acceder a la plataforma de logística en el momento de los envíos indicados en las reclamaciones. Se indica los perfiles que tenían acceso y la justificación para que tuvieran acceso, siendo estos perfiles los siguientes: - Con acceso a todos los módulos: - Directora de Operaciones para Grupo Más Móvil: Acceso para revisión y control de problemas o incidencias y para reporte de datos. - Área de Control de gestión: Acceso para revisión y control de problemas o incidencias y para reporte de datos. - Área de Facturación y Liquidaciones Acceso para seguimiento de pedidos, estado de los mismos, comprobación de liquidaciones, cruces de pedidos, estados de pedido y facturación con Más Móvil. - Área de Compras: Acceso para creación de referencias nuevas, órdenes de compra, registro de las entradas de mercancía en el almacén, integración a stock de la mercancía. - Área de Logística: Acceso para el control de stock de los distintos almacenes virtuales, traspasos entre almacenes físicos y gestión de entregas de pedidos con las distintas agencias de mensajería. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 - Área de Logística Inversa: Acceso para la gestión de las incidencias en las recogidas y reclamaciones del centro de atención de Más Móvil. - Con acceso restringido a la información necesaria para el desarrollo de sus funciones: - Departamento de Contabilidad: Accede a datos de clientes, compras, pedidos, facturación y devoluciones para revisar o comprobar algún dato para confirmar que si está registrado de forma correcta en nuestro ERP de gestión la información. - Departamento de Postventa: Accede a datos de stock valorado, pedidos y devoluciones para tramitar los pedidos siniestrados con las agencias de transporte. - Responsable Almacén Canarias: Accede a datos de traspaso de stock entre almacenes físicos, para que cuando se traspasa la mercancía a Canarias, pueda darle entrada. 13. Copia de Anexo a contrato entre GLS e INTERBOX, fechado el 23 de abril de 2019 y con apariencia de firma, con el título “ANEXO I. CONTRATACIÓN DEL SERVICIO “DNI+Foto” PARA CLIENTES DE GENERAL LOGISTICS SYSTEMS SPAIN S.A.”. En este anexo se indica, entre otras, las siguientes cláusulas: - “CUARTO. – El mensajero o repartidor, en el momento de la entrega de la mercancía realizará una fotografía del DNI, con la finalidad de aportarla junto con el POD (Prueba de Entrega) al Cliente y dejar acreditado que existe una correcta correlación entre identidad del destinatario y la persona indicada por el Cliente del sujeto a realizar la entrega, debiendo remitir ambos documentos al Cliente que requiere dicho servicio.” - “QUINTO. - El Cliente, manifiesta con la firma del presente Anexo I, su conformidad respecto la solicitud de que el repartidor o mensajero realice la Foto del DNI al destinatario del paquete, el cual, en caso de negarse a la exhibición del mismo, no le será entregada la mercancía. Quedando informado el consumidor final de este extremo”. El día 6 de julio de 2022, se recibe en la AEPD escrito de respuesta a requerimiento de información, presentado en nombre de XFERA, en el que se aporta, entre otra, la siguiente información: 14. Indicación de que “En Qvantel es donde se registra la contratación del terminal, la financiación, la información de contratación, etc. y desde donde sale la orden de pedido que se gestiona en Lola. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 En Qvantel no se recoge información del envío, ni de la empresa de logística, ni seguimiento del envío, ni de la central de distribución a la que se va a enviar el paquete.” 15. Indicación de que “En Lola solo se tratan los datos necesarios para gestionar el pedido y envío del terminal, la cual es proporcionada a Interbox (Orderbox) para su gestión, lo que incluye destinatario, dirección, DNI, teléfono y código de terminal a enviar, etc, no se puede acceder a través de Lola a, por ejemplo, la copia del DNI del cliente. Los terminales salen del almacén de Interbox y los pedidos son preparados desde ahí. Lola también permite hacer un seguimiento con la información que reporta Interbox con el tracking del pedido.” 16. Indicación de que “Los accesos a los datos, tanto en Qvantel como en Lola, se guardan en logs, los cuales, debido al gran número de accesos y operaciones realizados diariamente, se conservan durante un período de tiempo determinado, salvo en caso de detectar algún incidente, supuesto en el que se preservan con fines de investigación por el tiempo necesario. El plazo de conservación de logs en Qvantel es de 6 meses, y en Lola de 3 meses. Estos plazos se han establecido en base a la tipología de datos tratados y proceso en el que intervienen.” 17. Indicación de que no se conservan las trazas del sistema Lola por haber transcurrido más de 3 meses de los envíos en la fecha en que se recibió el requerimiento de información. Sin embargo, los destinatarios únicamente pueden realizar cambios del lugar de entrega a través de la página web de GLS6 mediante la introducción de la siguiente información del envío: el número de identificación del envío y el código postal. Los cambios sobre el lugar de entrega pueden realizarse exclusivamente entre los puntos ofrecidos por GLS esto es, ParcelShop o Agencias. En los casos que nos ocupan, las personas que solicitaron el cambio de lugar de entrega conocían necesariamente el número de identificación del envío y el código postal relativo a ambos reclamantes. Esta información es conocida por Interbox y los propios destinatarios (y estos últimos, precisamente porque Interbox, y no GLS, se lo habría facilitado), así como por otros implicados en el envío como la empresa que a su vez es cliente de Interbox y está sujeta a la normativa de telecomunicaciones, por ejemplo, Xfera Móviles (Yoigo). La entidad reclamada indica que nunca envió ninguna comunicación a los reclamantes, lo que refuerza las medidas de seguridad que impiden que se haya podido obtener el número de identificación del envío o el código postal a través de GLS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 Los sistemas de cambio del lugar de entrega están dotados de las garantías adecuadas en cumplimiento de la normativa de protección de datos y no consta en los sistemas de GLS ningún indicio de la falta de legitimidad de la solicitud de los cambios. Por lo tanto, cualquier cambio de lugar de entrega no consentido por los destinatarios ha ocurrido fuera de la esfera de GLS y de sus entidades colaboradoras y es ajeno a los sistemas de GLS, que se reitera, no han sido comprometidos. Todo lo anterior asevera que tanto el cambio sobre el lugar de entrega como el tratamiento de datos derivado de dicho cambio fue lícito y legítimo para GLS, así como para sus entidades colaboradoras. No se produjo ningún tratamiento ilícito en el contexto de GLS, quien recibió una orden de modificación legítima, habiendo personas fuera de la organización de GLS con capacidad de ejecutar esos cambios QUINTO: Con fecha 3 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que los sistemas de GLS permiten la realización de cambios en el lugar de la entrega por parte del destinatario. SEPTIMO: Con fecha 8 de mayo de 2023, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y B.B.B., y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por GENERAL LOGISTICS SYSTEMS SPAIN, S.A., y la documentación que a ellas acompaña. OCTAVO: Con fecha 26 de mayo de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a GENERAL LOGISTICS SYSTEMS SPAIN, S.A., con NIF A61441523, por una primera infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.