PS-00118-2024

1/8  Expediente N.º: EXP202318022 RESOLUCIÓN DE ARCHIVO DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de noviembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA (en adelante, CTT EXPRESSO o la parte reclamada), con NIF W1000101D. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinataria de un paquete que contenía un álbum de fotos familiares, cuya gestión de entrega fue realizada por la entidad reclamada. Siguiendo el procedimiento ordinario, se le asignó un número de seguimiento que le permitía tener localizado el envío y, en fecha 6 de noviembre de 2023, constaba como “entregado” a un tercero desconocido para la parte reclamante, sin que ésta hubiera prestado consentimiento para que la entrega se hiciera a otra persona. Señala que ha preguntado a sus vecinos, sin que nadie responda a los datos de la persona a la que se le entregó. Manifiesta haberse puesto en contacto con la entidad reclamada, quienes no le han dado debida respuesta del paradero del paquete, lo que entiende que contraviene la normativa de protección de datos, al haberse expuesto a terceros tanto los datos contenidos en la etiqueta del paquete, como en el álbum de fotos y sin mediar consentimiento. Aporta información de entrega facilitada por la parte reclamada, correos de reclamación planteados por la parte reclamante y respuesta obtenida de la parte reclamada donde afirman no conocer la ubicación del paquete del que era destinataria la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CTT EXPRESSO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19/12/2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 TERCERO: Con fecha 26 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las infracciones de los artículos 5.1.

1. f)y 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en los artículos 83.5.
2. a)y 83.4.
3. a)del RGPD, respectivamente. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en lo que aquí interesa, manifestaba que: - Sobre las causas que han motivado la incidencia que ha originado la reclamación alegan que el reparto del envío origen de la denuncia, fue asignado a un trabajador temporal contratado a través de una ETT que prestó servicio durante 9 días y dado su deficiente rendimiento, se solicitó que se gestionara con la ETT su sustitución. - Manifiestan que el trabajador realizó una serie de entregas y en varias de ellas se identificó a sí mismo como receptor de las entregas, es decir, falseó el estado de los envíos, marcándolos como “entregados”, poniendo sus propios datos personales en el albarán de entrega de la PDA, pero no se entregó a un tercero no autorizado. - Según la parte reclamada, los repartidores de CTT EXPRESSO disponen de unas instrucciones de reparto y también de instrucciones de uso de la PDA muy concretas y detalladas que son de obligado cumplimiento por todo el personal, ya sea interno como externo, por lo que este repartidor conocía perfectamente que no debía entregar a un tercero, estaba debidamente formado y, de hecho, cumplió con tal precepto y no hizo entregas no autorizadas. QUINTO: Con fecha 17 de junio de 2025 se formuló propuesta de resolución, en la que se proponía dictar resolución de archivo de las infracciones de los artículos 5.1
4. f)y 32 del RGPD. No se han recibido alegaciones a la citada propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante realiza una compra por internet a la parte reclamada, siendo CTT EXPRESSO la empresa encargada de su entrega. Se le asigna un número de seguimiento de envío Código ***CÓDIGO.1, según se desprende de la captura de pantalla de la app.cttexpress.com aportada por la parte reclamante junto con la reclamación, en la que podía verse que el 6 de noviembre de 2023 el envío pasó de estar “En tránsito” a “En reparto”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 SEGUNDO: El paquete enviado, que contenía datos identificativos de la parte reclamante, aparece el 6 de noviembre de 2023 como “entregado” a “B.B.B.”, según se desprende de la captura de pantalla de la app.cttexpress.com aportada por la parte reclamante junto con la reclamación, a pesar de que la parte reclamante no lo había recibido y no había dado consentimiento para que la entrega se realizase a otra persona, según ha indicado en su reclamación. TERCERO: El 10 de noviembre de 2023 la parte reclamante envió un correo electrónico desde ***EMAIL.1 con el siguiente contenido: “Buenos días, Me pongo en contacto con ustedes por cuarta vez, con motivo de la reclamación ay pedido con número ***CÓDIGO.2. Ya han pasado 72h desde que la reclamación fue hecha y siguen sin contactarme desde la delegación CTT Express de A Coruña ni por parte de uds. (…) Conste que dejarlo con un vecino sin previo consentimiento incumple dos artículos del Reglamento General de Protección de Datos, en concreto, el 5.1.
5. f)y el 32. Y peor en este caso, porque según la persona que me atendió el martes por teléfono de CTT Express el nombre de la persona que recogió el paquete no corresponde a ningún vecino inmediato. Nadie conoce al supuesto. (…)”. CUARTO: El 14 de noviembre de 2023 la parte reclamante envió un correo electrónico desde ***EMAIL.1 con el siguiente contenido: “Buenas noches, Ya han pasado 96h desde el anterior email (72 h y un día más) y literalmente 8 días desde que el paquete fue entregado a una persona desconocida. Desde la delegación CTT en Coruña nunca se han puesto en comunicación conmigo. Ayer les llamé yo y la empleada que me atendió excusó su tardanza con el repartidor está de baja, enfermo. (…)” QUINTO: El 20 de noviembre de 2023 la parte reclamante recibió un correo electrónico desde “Servicio al Cliente” con el siguiente contenido: “Buenos días, Tal como le informamos el envío Nº ***CÓDIGO.2 no ha sido localizado. Estamos trabajando en las averiguaciones pertinentes. (…)”. SEXTO: CTT EXPRESSO manifestó en su escrito de 1 de agosto de 2024 que el repartidor que había realizado ese servicio, contratado temporalmente y que solo prestó servicio laboral durante nueve días en la empresa, B.B.B., se identificó a sí mismo como receptor de los envíos en el albarán de entrega de la PDA, motivo por el cual figuraba como “entregado” pero que no hizo entregas no autorizadas a terceros desconocidos. SÉPTIMO: En junio de 2020 CTT EXPRESSO adoptó una primera versión de las instrucciones de reparto, aportadas como Anexo VII de su escrito de alegaciones de 1 de agosto de 2024. En diciembre de 2022 se actualizaron tales condiciones, aportadas como Anexo VIII del citado escrito. Según ha manifestado CTT EXPRESSO en su escrito de 1 de agosto de 2024, dicha documentación se facilita conjuntamente junto con el manual de uso de la PDA. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, consta la realización de un tratamiento de datos personales por parte de CTT EXPRESSO en su actividad de negocio, según lo establecido en el artículo 4.2 del RGPD: «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; CTT EXPRESSO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio del presente procedimiento se debe señalar lo siguiente: Por una parte, alegan que el reparto del envío origen de la denuncia era un trabajador temporal, que prestó servicio durante nueve días y solo dos de ellos lo realizó en solitario. Y era este trabajador el que se identificaba como receptor de las entregas que realmente no realizaba, haciendo constar sus datos, tales como nombre, apellidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 y DNI en el albarán de entrega de la PDA. Por este hecho, el estado de los envíos cambiaba a “entregados”, dando lugar a confusión a los verdaderos destinatarios de las entregas que no habían recibido nada. Alega también la parte reclamada que sus repartidores disponen de instrucciones concretas de reparto de obligado cumplimiento en el sentido de no realizar entregas a terceros sin estar autorizado. Este repartidor en cuestión era conocedor de que no debía efectuar el depósito de los paquetes a un tercero y cumplió con tal precepto al no hacer entregas no autorizadas, independientemente de que su labor profesional no fuera adecuada. Analizadas las alegaciones presentadas, en el caso que nos ocupa no puede decirse que se hubiera producido una pérdida de confidencialidad propiamente dicha, ya que era el propio trabajador el que realizaba la recepción del paquete que contenía los datos identificativos de la parte reclamante y, en realidad, él ya había tenido acceso a esos datos para poder proceder a su entrega, aunque finalmente no la hubiera realizado al verdadero destinatario. Tampoco consta que no existieran medidas de seguridad no apropiadas por parte de CTT EXPRESSO para evitar que se produjera un incidente como el que ha dado lugar a la reclamación origen del presente procedimiento. Por lo tanto, y a la vista de lo anterior y del resto de documentación obrante en el expediente, se procede a la estimación de las alegaciones presentadas. IV Obligación incumplida. Artículo 5.1
6. f)El artículo 5.1.
7. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El principio de confidencialidad atribuye a CTT EXPRESSO, como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas y organizativas apropiadas. En este supuesto, no se puede afirmar que haya habido una pérdida de confidencialidad en sentido estricto, ya que fue el propio trabajador el receptor del paquete con los datos identificativos de la parte reclamante. De hecho, él ya había accedido a esos datos para poder efectuar la entrega, aunque al final no la realizó al destinatario correcto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 Por otra parte, el hecho de no haberse realizado la entrega a una persona ajena desconocida supone que no se ha realizado una exposición de los datos a un tercero no autorizado, que no han sido susceptibles de manipulación, acceso o divulgación ni han podido ser utilizados para usos no conocidos o fraudulentos. Para que se produzca una vulneración del art. 5.1.
9. f)del RGPD, debe de haberse producido una pérdida de confidencialidad o de integridad y a la vista de lo anterior, no queda acreditado que los hechos conocidos sean constitutivos de una infracción del artículo anteriormente transcrito. Por tanto, en este momento de resolución de procedimiento sancionador se considera que no hay evidencias de una infracción, imputable a CTT EXPRESSO, por vulneración del artículo 5.1.
10. f)del RGPD. V Archivo de la infracción del artículo 5.1
11. f)Revisada la documentación obrante en el expediente administrativo, se considera que no hay evidencias de una conculcación del artículo 5.1
12. f)del RGPD, al no quedar acreditado que se haya producido una pérdida de confidencialidad o de integridad de los datos de la parte reclamante. VI Obligación incumplida. Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
13. a)la seudonimización y el cifrado de datos personales;
14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencias permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De acuerdo con este precepto, el responsable del tratamiento está obligado a establecer y aplicar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Revisada la documentación obrante en el expediente administrativo, se comprueba que no hay evidencias de que se hubiera producido una infracción del artículo 32 de RGPD, anteriormente referenciado. VII Archivo de la infracción del artículo 32 del RGPD En el presente caso, a la vista de todos los elementos concurrentes, se considera que no hay evidencias de que se hubiera conculcado lo dispuesto en el artículo 32 del RGPD, al no haberse acreditado la ausencia de las medidas técnicas y organizativas de seguridad requeridas para garantizar la protección de los datos personales de la parte reclamante. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador contra CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA, con NIF W1000101D, por las infracciones de los artículos 5.1
15. f)y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
16. a)y 83.4.
17. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CTT EXPRESSO - SERVIÇOS POSTAIS E LOGISTICA SA SUCURSAL EN ESPAÑA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
18. c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es