PS-00209-2022

1/135  Expediente N.º: PS/00209/2022 IMI Reference: A56 78728- Case Register 89995 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La autoridad de protección de datos de Italia (Garante per la Protezione dei Dati Personali) realizó una investigación a la empresa Foodinho SRL, en la que se descubrió que las actividades involucradas en la entrega de comida u otros ítems por los repartidores (“riders”) con la ayuda de una plataforma técnica específica (utilizada por Foodinho SRL y propiedad de GLOVOAPP23, S.L.) entrañaba el tratamiento de una amplia gama de datos personales: ubicación geográfica (en tiempo real); monitorización de cada paso de la entrega a través de una aplicación móvil que se descargaba en el móvil del repartidor; conservación sistemática de los datos sobre las comunicaciones intercambiadas con el operador de la plataforma a través de correos electrónicos, chats y llamadas de teléfono; tiempo de entrega (tanto estimado como real); rutas seguidas; cumplimiento de las órdenes; valoraciones de los repartidores por los clientes o vendedores; puntuaciones de reputación. Además, durante la citada investigación, se observaron indicios de que los datos de los repartidores que realizaban entregas en Italia podían ser vistos por operadores que se encontraban en otros países fuera de Italia. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió una notificación a esta Agencia el día 19 de septiembre de 2019 a fin de identificar a la autoridad de control principal para investigar las actividades de tratamiento realizadas sobre los repartidores (“riders”) de la compañía italiana Foodinho SRL, que se dedica al transporte y entrega de comida y otros bienes a través de una plataforma informática propiedad de la compañía con sede en España GLOVOAPP23, S.A., con NIF A66362906, anteriormente GLOVOAPP23, S.L., con NIF B66362906 (en adelante, GLOVOAPP) que es la empresa matriz del grupo empresarial del que son filial Foodinho SRL y otras compañías con sede en otros estados dentro y fuera del Espacio Económico Europeo. Por los motivos expuestos, se solicitaba a esta Agencia realizar una investigación respecto a los tratamientos de datos de los repartidores realizado por GLOVOAPP23, S.L. y sus filiales para verificar el cumplimiento del artículo 5.1.

1. a)(licitud, lealtad y transparencia) en relación con el artículo 13 (información que debe facilitarse al interesado) y artículo 88 (tratamiento en el ámbito laboral); del artículo 5.1.c), 5.1e) y 5.2 (minimización de datos, limitación del plazo de conservación y responsabilidad proactiva, respectivamente); del artículo 22 (decisiones individuales automatizadas); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/135 del artículo 32 (seguridad del tratamiento); del artículo 25 (protección de datos desde el diseño y por defecto); del artículo 30 (registro de las actividades de tratamiento); del artículo 35 (evaluación del impacto relativo a la protección de datos); del artículo 37.7 (comunicación a la autoridad de control del delegado de protección de datos) y del artículo 44 y siguientes (transferencias a terceros países) del RGPD. El traslado de esta cuestión a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que GLOVOAPP tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Italia, la autoridad de control de Polonia, en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de esta autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los días 12 de febrero y 4 de marzo de 2020 se realizó una inspección presencial en la sede de GLOVOAPP23 S.L. (en adelante, GLOVOAPP), con domicilio en C/Pallars, 190- 08005 Barcelona (Barcelona) en la que se obtuvo, entre otra, la siguiente información, según se desprende del informe de actuaciones previas de fecha 14/01/2021: 1. Indicación de que “Glovo” es una marca comercial titularidad de GLOVOAPP y que dentro de su objeto social está la gestión y explotación de la plataforma tecnológica, que es un canal de oferta en el que intervienen tres partes: clientes finales, repartidores (denominados “riders”) y tiendas locales. 2. Indicación de que, en el momento de la inspección, el grupo de empresas de Glovo estaba formado por tres principales sociedades limitadas localizadas en España, que son las siguientes: - GlovoApp Latam: para dar cobertura a filiales en Latinoamérica. - GlovoApp Infrastructures: para dar cobertura a empresas que funcionan como tiendas locales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/135 - GlovoApp EMEA: para dar cobertura a filiales de Europa, Oriente Medio y África. 3. También forman parte del grupo Glovo las empresas creadas en cada uno de los países en los que opera Glovo, siendo un total de 9 filiales en GlovoApp Latam y 13 filiales en GlovoApp EMEA. Sobre transparencia e información a los interesados (arts. 12, 13 y 14 del RGPD) 4. Indicación de que GLOVOAPP es la sociedad que establece las políticas del grupo, que se recogen en un documento denominado “Legal Memo”, que es utilizado como documento base para la constitución de las filiales con modificaciones para adaptar el documento a la legalidad de cada Estado. De este modo, existe un contrato madre con repartidores, que puede ser modificado para ajustarse a la legislación de cada país. 5. Indicación de que los repartidores firman el contrato directamente con la empresa filial del Estado en el que el repartidor presta sus servicios, a excepción de Polonia, donde los repartidores son contratados por cada tienda local sin que intervenga el grupo Glovo en esa contratación. 6. Copia del contrato madre con repartidores y copia de contratos con repartidores de España, con fechas de firma el 2 de febrero de 2018, el 2 de diciembre de 2019 y el 3 de febrero de 2020, y de Italia, con fechas de firma el 9 de julio de 2018, el 5 de julio de 2019 y el 12 de febrero de 2020. En los contratos italianos aparecen como partes del contrato el repartidor (denominado “collaboratore autonomo” o “collaboratore”) y Foodinho SRL, como filial de GLOVOAPP. En los contratos españoles aparecen como partes del contrato el repartidor (denominado “Profesional Independiente” o “TRADE”) y GLOVOAPP. En los contratos en italiano de los años 2018 y 2019, aparecen dos cláusulas sobre protección de datos personales: en el primero, únicamente se indica que se cumple con el Decreto Legislativo Italiano n. 196/2003 y con el RGPD; y, en el contrato de 2019, a esto se añade que los datos pueden ser tratados por GLOVOAPP23. S.L., a través de Foodinho SRL, e indica como dirección para ejercitar sus derechos de protección de datos el correo electrónico toktok@glovoapp.com. En el contrato italiano de 2020, aparece una sección entera con información sobre el tratamiento de datos personales en la que se informa sobre: a. que el responsable del tratamiento es Foodinho SRL, b. los datos recogidos y naturaleza del tratamiento, c. la geolocalización, d. la finalidad y base jurídica del tratamiento, basado en la ejecución del contrato y en el interés legítimo, e. el modo en que se tratarán los datos, f. la comunicación de los datos, que incluye a las sociedades controladas, colegiadas o que controlan al responsable del tratamiento, g. la no difusión de los datos, h. el periodo de conservación y anonimización de los datos, que incluye las obligaciones legales de conservar datos hasta la prescripción de posibles delitos (10 años) o documentos fiscales (5 años). Pasados los 10 años, serán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/135 anonimizados. Los datos relativos a la geolocalización serán anonimizados a los 30 días exceptuando el punto de recogida y entrega, que se anonimizarán pasados 10 años, i. descripción de los derechos de protección de datos y contacto para ejercerlos a través de la dirección de correo electrónico glovers@glovoapp.com. En los contratos españoles aparece una cláusula “Decimotercera.- Política de protección de datos”. En esta cláusula, en el contrato de 2018, se indica que se cumple con la legislación en materia de Protección de datos (se menciona la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal), que el responsable del fichero es GLOVOAPP23, S.L. y que los datos no se cederán a terceros sin el permiso del interesado a excepción de terceros subcontratados para la prestación de servicios, cuyo acceso queda autorizado expresamente por las partes. En la cláusula sobre protección de datos del contrato en español de 2019, se añade respecto al contrato de 2018 que el repartidor acepta que pueda ser valorado por los usuarios de la plataforma; también se añade la posibilidad de que los datos de los repartidores puedan ser cedidos a empresas del grupo GLOVO en el país en que presten el servicio y a empresas que presten servicios en nombre de GLOVOAPP; también se incluye como canal para ejercer los derechos de protección de datos la dirección de correo electrónico glovers@glovoapp.com; y se incluye la cesión a los usuarios de la plataforma de los datos de los repartidores para que puedan contactar con ellos durante el servicio. En el contrato en español de 2020, aparece información con un formato similar al del contrato en italiano de 2020, con la siguiente información: a. el responsable del tratamiento, que es GLOVOAPP23, S.L., b. los datos tratados, indicando que son los datos necesarios para la ejecución del contrato, que pueden contener datos relativos a accidentes con el objeto de comunicarlos a compañías aseguradoras, c. la geolocalización, d. las finalidades y base jurídica del tratamiento, que son la gestión de la actividad de GLOVOAPP, cumplir con las obligaciones económicas y fiscales, realizar estadísticas con datos agregados y enviar cuestionarios, encuestas y comunicaciones que sean de interés del repartidor. e. la naturaleza obligatoria del otorgamiento de los datos para desarrollar la actividad del repartidor, f. la modalidad del tratamiento, donde se indica que los datos serán tratados por GLOVOAPP y sus colaboradores como encargados del tratamiento, g. transferencias internacionales, en el caso de que GLOVOAPP elija prestadores de servicios en países fuera del Espacio Económico Europeo que cumplan con los estándares de seguridad establecidos por la Comisión Europea, h. destinatarios, que pueden incluir encargados del tratamiento para asesoramiento y consultoría en actividades contables, fiscales, aseguradoras, legales y técnicas, y que también incluirán a los usuarios de la plataforma y a empresas del grupo GLOVO y prestadores de servicios informáticos, que se pueden encontrar fuera de la Unión Europea respetando la normativa en materia de protección de datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/135 i. plazo de conservación de los datos, que será el plazo legalmente establecido para la formulación o defensa legal. Los datos relativos a la geolocalización serán anonimizados a los 30 días exceptuando el punto de recogida y entregas, que se anonimizarán pasados 12 meses, j. descripción de los derechos de protección de datos y contacto para ejercerlos a través de la dirección de correo electrónico legal@glovoapp.com. 7. Indicación de que los repartidores acceden a la plataforma tecnológica mediante la instalación de una app, que se instala en un dispositivo móvil; el dispositivo lo proporciona el propio repartidor, y la instalación de la app es obligatoria para poder acceder a los pedidos. 8. Indicación de que, durante la realización del servicio de un pedido, la plataforma tecnológica de Glovo obtiene de la app instalada en el dispositivo móvil del repartidor información sobre la ubicación del dispositivo con dos objetivos: facturación del repartidor y que el cliente pueda localizar su pedido sólo desde el momento en que el repartidor recoge el pedido hasta que lo entrega. 9. Indicación de que, desde septiembre de 2019, la información sobre la geolocalización de los repartidores durante el servicio de los pedidos se debe conservar durante un periodo de 10 años porque es el plazo de prescripción de delitos relacionados con accidentes, blanqueo de capitales, delitos fiscales, tráfico de drogas… de los cuales les pueden requerir información las autoridades tributarias y fiscales. Esta es la norma general, que puede ser adaptada para cada país. 10. Captura de pantalla de autenticación de la aplicación web para repartidores de GLOVO, en la que hay un enlace a la política de privacidad. Durante la inspección se clica en ese enlace y se aprecia que aparece un documento de 7 páginas denominado “POLÍTICA DE PRIVACIDAD PARA MANDATARIOS”, que contiene datos como el titular del tratamiento o los datos tratados. Durante la inspección, también se recoge copia de esta “POLÍTICA DE PRIVACIDAD PARA MANDATARIOS” en castellano (para GLOVOAPP23), “INFORMATIVA PRIVACY COLLABORATORI” en italiano (para Foodinho SRL) y “POLITYKA PRYWATNOSCI” en polaco (para Pizza Portal Restaurant). El documento “POLÍTICA DE PRIVACIDAD PARA MANDATARIOS” contiene una versión ampliada de la cláusula “Decimotercera.- Política de protección de datos” que aparecía en el contrato con un repartidor español firmado en 2020, que se amplían especificando los datos que se recogen y los plazos de conservación de cada tipo de dato en función de la norma legal que obliga a ese plazo de conservación. Los documentos en italiano y polaco tienen la apariencia de ser una especificación similar de la política de protección de datos sin el anexo en el que se especifican más los plazos de conservación de los datos en función de la norma legal que obliga a esa conservación. 11. Copia de la Adenda al contrato de tratamiento de datos firmado el 20 de mayo de 2018 entre FOODINHO SRL (filial del grupo Glovo en Italia), que se referencia como responsable de los datos, y GLOVOAPP23, S.L., que se referencia como encargado de los datos. El objeto de esta adenda es adaptar el contrato en Italia a los requisitos del artículo 28 del RGPD, y en él se indica que el encargado es el responsable de mantener las medidas necesarias para que no se expongan los datos obtenidos a terceras partes por el responsable y de cumplir con los requisitos específicos de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/135 protección de datos; mientras que el responsable se encargará de mantener las medidas técnicas y organizativas necesarias para mantener la seguridad de los datos de las partes contratantes. En este contrato, también se indica que el encargado debe publicar los datos de contacto de su delegado de protección de datos en su página web e informarlo a la autoridad de control correspondiente. Del mismo modo, en el contrato se contempla la necesidad de que el encargado apoye al responsable para atender sus responsabilidades según los artículos 12 al 23 y 32 al 36 del RGPD. 12. El día 17 de julio de 2020, tuvo entrada en la AEPD un escrito presentado en nombre de GLOVOAPP23, S.L. con, entre otras, las siguientes observaciones al acta de la inspección presencial: El modelo usado en Polonia en el momento de la compra es que los repartidores son los propios de las tiendas locales. La propuesta de GLOVOAPP23, S.L. y de su filial en Polonia para el año 2020 es ofrecer también a los usuarios el servicio de intermediación en la entrega. 13. En la diligencia capturada en la fecha del 4 de diciembre de 2020 de la página web https://web.archive.org se obtiene la siguiente información: Captura del contenido histórico de la página web https://glovoapp.com/es/glovers, que es la página en la que los repartidores se autentican, a fecha del 27 de marzo de 2019, en la que se observa que hay un enlace a los “Términos y Política de Privacidad”. Sobre decisiones individualizadas automatizadas, incluida la elaboración de perfiles (art. 22 del RGPD) 14. Documento de descripción del sistema de excellence score, en el que se describe que, en la puntuación que reciben los repartidores denominada “excellence score” intervienen, entre otros, los siguientes datos: a. el número de pedidos realizados en franjas horarias de alta demanda en los últimos 28 días, b. el feedback de las tiendas en los últimos 50 pedidos, que puede ser positivo, negativo o no valorado, c. el feedback de los usuarios en los últimos 50 pedidos, que puede ser positivo, negativo o no valorado, d. pedidos rechazados o reasignados en los últimos 50 pedidos, aunque, en España, la reasignación no penaliza, e. histórico de pedidos desde el inicio de la colaboración. 15. Indicación de que los valores utilizados para calcular la excellence score pueden ser modificados manualmente, lo cual solamente se realizará en el caso de que un repartidor presente una queja, normalmente a través de facturación. Durante la inspección se comprueba que un operador accede a la base de datos y, utilizando un cliente gráfico de SQL, es capaz de modificar los valores de la tabla utilizada para calcular el excellence score. 16. Indicación de que la excellence score se utiliza exclusivamente en los casos en que, en una franja horaria, se hubiesen apuntado más repartidores de los que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/135 necesitan, para favorecer a los repartidores con mejor excellence score. Sin embargo, los representantes de GLOVOAPP indican durante la inspección que, en la práctica, el excellence score limitaba la posibilidad de acceder a una franja de una hora en concreto, pero no al resto de horas de ese día; aunque, en la actualidad, de facto, no limita. Durante la inspección se obtiene el historial de ocupación de las franjas horarias en España y se aprecia que las franjas horarias son de una hora y que la ocupación media en 2018 fue del 87% y en 2019 fue del 83%, y que la última franja horaria que se llenó completamente data del 21 de agosto de 2018. 17. Indicación de que el excellence score no se utiliza para seleccionar a qué repartidor se le asigna un pedido de entre los que están apuntados en la franja horaria en que se solicita el pedido; para seleccionar a qué repartidor se asigna el pedido, se utiliza un módulo denominado “Jarvis” que selecciona a qué repartidor se asigna un pedido teniendo en cuenta métricas como el tipo de vehículo, la geolocalización, el peso del pedido y la distancia desde el punto de recogida hasta el de entrega. También se indica que “Jarvis” es un desarrollo propio de GLOVOAPP23, S.L., que toma las decisiones sobre su desarrollo. 18. Verificación durante la inspección presencial de que, al acceder a la plataforma con el perfil de LiveOps Project Manager Global (gerente global del servicio de atención al cliente), se pueden modificar manualmente las franjas de tiempo en las que un repartidor va a aceptar pedidos. También se verifica que, un usuario con perfil de Account Manager no puede modificar esas franjas de tiempo. Sobre el registro de actividades de tratamiento (art. 30 del RGPD) 19. Copia del registro de actividades de tratamiento de GLOVOAPP23, S.L. como responsable 2019-2020 en inglés, en el que aparecen los datos de 10 actividades relacionadas con los usuarios y 13 actividades relacionadas con los repartidores. En cada una de estas actividades aparecen los siguientes datos: entidad responsable, licitud del tratamiento, fines del tratamiento, categorías de datos, categorías de sujetos, destinatarios de los datos, transferencias internacionales, plazo de conservación de los datos y descripción de las medidas de seguridad. Sobre la necesidad de una evaluación de impacto relativa a la protección de datos (art. 35 del RGPD) 20. Indicación de que la plataforma tecnológica, en la que se utilizan los datos de los repartidores, es utilizada por todas las filiales de GLOVOAPP, y es la misma plataforma desde que GLOVOAPP inició su actividad en 2015, si bien ha tenido varias evoluciones desde su inicio. 21. Copia de un informe de análisis previo a la evaluación del impacto relativa a la privacidad, fechado en noviembre de 2019, en el que se examina, primero, si existe un alto riesgo para los derechos y las libertades y, después, si el tratamiento se ajusta a alguno de los que están en la lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos publicada por la AEPD. En este informe, se llega a la conclusión de que el tratamiento de datos de los repartidores no necesita de una evaluación de impacto relativa a la protección de datos porque se usa información profesional relacionada con datos objetivos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/135 servicio y porque los tratamientos de datos no se ajustan con ninguno de los que aparece en la lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos publicada por la AEPD. Sobre la designación y notificación del delegado de protección de datos (art. 37 del RGPD) Esta infracción ya fue resuelta dentro del procedimiento sancionador PS/00417/2019, en el que se consideran los siguientes hechos probados: 22. GLOVOAPP no tenía nombrado un Delegado de Protección de Datos. 23. GLOVOAPP alegó que su actividad de tratamiento de datos personales se encontraba exenta de las obligaciones establecidas en los artículos 37 RGPD y 34 LOPGDD, pero que, no obstante, contaba con un Comité de Protección de Datos, que llevaba a cabo las funciones propias de un Delegado de Protección de Datos descritas en el artículo 39 del RGPD. 24. Se constató que GLOVOAPP, tras iniciarse el 13 de enero de 2020 el citado procedimiento sancionador, comunicó el 31 de enero de 2020 a la Agencia Española de Protección de Datos, el nombramiento de su Delegado de Protección de Datos. En este procedimiento PS/00417/2019, el día 1 de abril de 2020, la directora de la AEPD resolvió imponer a GLOVOAPP23, S.L. una multa de 25.000€ por una infracción del artículo 37 del RGPD. Sobre la protección de datos desde el diseño y por defecto (art. 25 del RGPD), sobre seguridad del tratamiento (art. 32 del RGPD) y sobre transferencias de datos personales a terceros países u organizaciones internacionales (capítulo V del RGPD) 25. Indicación de que los servidores de aplicaciones y de datos que utiliza la plataforma tecnológica de GLOVO están contratados con ***EMPRESA.1. 26. Contrato con ***EMPRESA.1. con fecha de firma el 14 de diciembre de 2016, en el que se indica que los datos serán procesados en servidores que se ubiquen en ***LOCALIDAD.1, ***LOCALIDAD.2 o ***LOCALIDAD.3. 27. Documento con la estrategia de Backup, en el que se aprecia que se realiza dentro del servicio que ofrece ***EMPRESA.1., con su instalación principal y backups en ***PAÍS.1 y copias en ***LOCALIDAD.2, que pueden ser transferidas a un almacenamiento externo en la nube. 28. Copia del contrato entre GLOVOAPP23, S.L., y un repartidor de España con fechas de firma el 2 de febrero de 2018, en el que se indica que los datos pueden ser cedidos a prestadores de servicios de GLOVOAPP23, S.L. sin que se especifique la localización geográfica. 29. Copia de la “POLÍTICA DE PRIVACIDAD PARA MANDATARIOS”, a la que se accede desde la página en la que los repartidores se autentican, que en su apartado “8. Transferencias internacionales de datos” indica la posibilidad de transferir los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/135 del repartidor en el caso de que GLOVOAPP23, S.L. elija prestadores de servicios fuera del Espacio Económico Europeo (y se ponen como ejemplos Estados Unidos y Perú), siempre que cumplan con las cláusulas tipo y estándares fijados por la Comisión Europea y que traten los datos según las indicaciones de GLOVOAPP23, S.L. 30. Indicación de que GLOVOAPP23, S.L. tiene contratos de servicio de atención al cliente (contact center) con once empresas que atienden a distintas zonas geográficas, entre las que se encuentra una empresa localizada en Perú que da servicios a ciudadanos del territorio español. 31. Copia de contrato de tratamiento de datos entre GLOVOAPP23, S.L. y un prestador de servicios que, durante la inspección, se indicó que estaba situado en Perú. En este contrato, se indica que son las cláusulas sobre cómo se tienen que tratar los datos del contrato principal, y se especifica, entre otras, cláusulas que indican que los datos no se podrán transmitir a terceros países ni a terceras personas sin autorización de GLOVO, que los datos tratados son datos de contacto y se indica un cuadro con las medidas de seguridad técnicas y organizativas que se deben aplicar. 32. Calendario de formación, que se indica durante la inspección que es para una empresa de atención al servicio situada en Bosnia-Herzegovina, que incluye tres semanas de formación. También se incluye una copia del texto que se da a los contact center para recibir las llamadas, que está en los idiomas inglés, español, italiano y polaco; el texto en castellano es el siguiente: “Hola, gracias por contactar con Glovo. Te informamos de que, por motivos de seguridad y para mejorar la calidad de nuestros servicios, esta llamada puede ser grabada. Puedes obtener toda la información sobre el tratamiento de tus datos y sus derechos consultando nuestra Política de privacidad en tripe uve doble punto glovoapp punto com.” 33. Copia del mapa de control de accesos en el que se observa que existen varios perfiles de usuario con permisos diferenciados. Estos perfiles de usuario dependen del departamento, subdepartamento y la presencia o no en la Unión Europea. 34. Indicación de que el servicio de atención al cliente utiliza sistemas de otros proveedores: ***APP.1 y ***APP.2, que ofrecen el servicio a GLOVOAPP a través de aplicaciones web; la aplicación ***APP.1 permite a los agentes acceder a las comunicaciones con los clientes (chats, emails y llamadas); las llamadas se realizan a través de la aplicación ***APP.2, que está integrada dentro de ***APP.1; desde ***APP.1, también se puede acceder a la plataforma tecnológica de GLOVO mediante enlaces, siempre que el operador esté autenticado en la plataforma tecnológica de GLOVO. 35. Verificación durante la inspección de que, accediendo a la aplicación ***APP.2 con un usuario con perfil de “manager”, sólo se puede acceder a información de llamadas realizadas en los últimos 92 días. En esta verificación, la información que se puede observar de cada llamada es la siguiente: servicio que atiende la llamada, agente, número de contacto, provincia, fecha, hora, duración, estado y grabación de la llamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/135 36. Indicación de que los agentes del servicio de atención al cliente tienen acceso a cambiar los datos de los pedidos en la plataforma tecnológica de Glovo con el objeto de atender las solicitudes y reclamaciones de los clientes. 37. Verificación durante la inspección presencial de que, con un usuario que se había autenticado previamente a la plataforma tecnológica de Glovo, al acceder a la aplicación ***APP.1 con un perfil de agente de España, dentro de la aplicación ***APP.1 se puede acceder a interacciones mantenidas con clientes de España; se accede a una de las interacciones y se comprueba que, desde un enlace, se puede acceder a la plataforma para realizar cambios en el pedido. 38. Indicación de que, para todos los usuarios de la plataforma tecnológica de Glovo, incluidos los agentes del servicio de atención al cliente, tienen definido un perfil que les permite acceder o bien a los datos de países de la Unión Europea o bien a los países de fuera de la Unión Europea; esto depende de que tengan activado el permiso “EU User Access”. 39. Verificación durante la inspección presencial, con un usuario que había accedido previamente a la plataforma tecnológica de Glovo con un perfil de teleoperador de atención al cliente de fuera de la Unión Europea, que accede a la aplicación ***APP.1 y, desde ella, accede a los datos de un pedido en la plataforma tecnológica de Glovo; accede al listado de los repartidores de la ciudad italiana de Bari y aparece un listado con los siguientes datos: identificador del repartidor, ciudad, tipo de transporte, número de pedidos de hoy y tiempo que ha pasado desde el último pedido; clica en el identificador de uno de los repartidores para acceder a sus datos y aparece el siguiente mensaje de error: “This Courier is based in the EU so additional data privacy protections apply”. 40. Verificación durante la inspección presencial de que usuarios de la plataforma tecnológica de que dos usuarios de Italia y Polonia tienen marcado el permiso de “EU User Access”, y que dos usuarios de Argentina y Perú no tienen marcado ese permiso. 41. Manifestación por parte de los representantes de GLOVOAPP de que está en fase de desarrollo una modificación de la plataforma para establecer los perfiles de acceso estableciendo regiones geográficas por países denominada “city group permissions”. 42. Verificación de que, dentro de la pantalla que se utiliza para gestionar los permisos, existe un apartado denominado “City Groups”. 43. Indicación de que el perfil LiveOps Project Manager Global tiene acceso a la información de todos los países. Y se verifica durante la inspección presencial que puede acceder a los datos de un repartidor de España. 44. Verificación durante la inspección presencial de lo siguiente: Se le quitan los permisos “EU User Access” a un usuario con perfil LiveOps Project Manager Global. Después, se accede de nuevo a la plataforma tecnológica con ese usuario y se verifica que ve la información de pedidos que incluyen la ciudad de Milán (Italia), pero, cuando clica sobre el identificador de un repartidor de un pedido de Milán, aparece el mensaje “This Courier is based in the EU so additional data privacy protections apply” sin mostrar ningún dato del repartidor. Cuando clica sobre el identificador de un usuario, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/135 aparece poca información (fecha de creación de la cuenta, dispositivos usados, ciudad preferida e indicación de si es staff). 45. Verificación durante la inspección presencial de que, al acceder a la plataforma tecnológica con un perfil de un usuario de “Marketing” en España, sólo tiene acceso a las opciones relacionadas con promociones, y que no se le presenta ninguna opción de menú desde las que se pueda acceder a información de los repartidores. 46. Verificación durante la inspección presencial de que un usuario con el perfil LiveOps Project Manager Global puede modificar las franjas horarias en que un repartidor tiene asignadas, mientras que un usuario con el perfil Account Manager no puede modificarlas. 47. Verificación durante la inspección presencial de que un usuario con el perfil Account Manager de España puede acceder a datos de un repartidor de España y de otro repartidor de Italia. Los representantes de GLOVOAPP manifiestan que un gestor de cuentas puede manejar cuentas de varias compañías en varios países. 48. Indicación de que GLOVOAPP23, S.L. no dispone de ninguna certificación de seguridad, pero que han tenido que realizar auditorías que incluyen la seguridad debido a que se financia mediante rondas de financiación. Se aporta una copia de una carta, fechada el 30 de abril de 2019, con los resultados de una auditoría en la que se incluyen puntos a mejorar relacionados con la privacidad y la protección de datos. 49. El día 30 de marzo de 2020, tuvo entrada en la AEPD un correo electrónico en nombre de GLOVOAPP23, S.L. en el que se aporta la siguiente documentación: Grabaciones de vídeo aportadas en las que se observa funcionando, en la plataforma tecnológica de Glovo, la funcionalidad que permite administrar los perfiles de acceso mediante regiones geográficas por países y/o ciudades denominada “city group permissions”. 50. El día 18 de mayo de 2020, tuvo entrada en la AEPD un correo electrónico en el que se aporta, entre otra, la siguiente información: Manifestación de que el criterio de acceso a la información de varios países por parte de un usuario ha sido afinado desde la implementación del sistema llamado “city group permissions” limitándose de forma estricta dicho acceso por país; permitiendo el acceso única y exclusivamente por país y por funciones cuando dicho acceso se requiere para la realización de tareas laborales específicas y dependiendo del puesto por lo que quedó sin efecto el sistema “EU User Access” mencionado previamente y sustituido por un acceso país por país, y no EU - no EU. Por último, se comprobó, por los servicios de la Subdirección General de Inspección de Datos, que en el documento en español “Política de Privacidad para Mandatarios” se establece, en la cláusula 4 “Finalidad y base jurídica para el tratamiento”, que “Los Datos serán tratados exclusivamente para dar cumplimiento a la relación contractual instaurada a través del presente Contrato y, en particular: (…) ● Durante el plazo en el que el MANDATARIO preste sus servicios a través de la Plataforma de Glovo, éste acepta que sea valorado por los usuarios y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/135 establecimientos que interactúan con la Plataforma en relación con la prestación de sus servicios. Estas valoraciones serán recogidas por Glovo a efectos de elaborar métricas sobre las valoraciones del MANDATARIO por parte de los usuarios y establecimientos que interactúen con la Plataforma. (…)”. Además, en la cláusula 5 “Naturaleza del otorgamiento de los Datos” de este documento se estipula que: “Los Datos solicitados por GLOVO son obligatorios y necesarios para poder desarrollar la actividad. La negativa del MANDATARIO, total o parcial, a facilitar los datos solicitados conllevará la imposibilidad, para GLOVO, de instaurar la relación contractual para la que los Datos son recabados”. Por su parte, la cláusula 7 “Métricas” de la citada Política dice que: “Se elaboran métricas del servicio para controlar la calidad. Dichas métricas no tienen en cuenta aspectos de la esfera privada de la persona, sino datos objetivos relacionados con la ejecución del contrato. Así mismo se informa de que:
2. a)En relación a perfiles y valoraciones: ● No se elaboran perfiles ni se realizan valoraciones de personas. ● Tanto el usuario como Glovo valora la calidad del servicio. ● Todas las métricas obtenidas por Glovo se refieren al servicio.
3. b)En relación a la toma de decisiones automatizadas con efectos jurídicos: ● No se toman decisiones automatizadas. ● Todos los parámetros a tener en cuenta se han generado de forma manual. ● Todos los parámetros y métricas se refieren al servicio y a la ejecución del contrato. ● No se elaboran perfiles. ● No se tienen en cuenta atributos de la personalidad ni de la esfera no profesional del MANDATARIO. ● Los resultados dependen de acciones previas y voluntarias del MANDATARIO. ● Los resultados son modificables manualmente. ● Los resultados pueden ser corregidos en el caso de haya habido un error. ● No se impide al MANDATARIO el ejercicio de un derecho. ● No se impide al MANDATARIO el acceso a un bien o un servicio. ● No se impide al MANDATARIO formar parte de un contrato. (…)” En términos similares se expresa la Política de Privacidad para Mandatarios en italiano, la cual además incluye una referencia a que el titular del tratamiento de los datos personales es Foodinho SRL. CUARTO: Con fecha 29 de enero de 2021, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 30 de enero de 2021 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/135 Italia y Polonia, presentaron sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. Este proyecto de decisión se notificó a GLOVOAPP conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 10 de febrero de 2021, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 3 de junio de 2021, la Directora de la AEPD adoptó un proyecto revisado de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 4 de junio de 2021 se transmitió a través del sistema IMI este proyecto revisado de decisión y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto revisado de decisión y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SEXTO: Con fecha 24 de junio de 2021, la Directora de la Agencia Española de Protección de Datos dictó acuerdo de inicio de procedimiento sancionador contra GLOVOAPP, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD; por la presunta infracción del artículo 35 del RGPD, tipificada en el artículo 83.4 del RGPD; por la presunta infracción de los artículos 25 y 32 del RGPD, tipificada en el artículo 83.4 del RGPD y por la presunta infracción del artículo 5.1.
4. e)del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 5 de julio de 2021, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 7 de julio de 2021, GLOVOAPP presentó un escrito a través del cual solicitó la ampliación del plazo para aducir alegaciones. OCTAVO: Con fecha 9 de julio de 2021, el órgano instructor acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El acuerdo de ampliación se notificó a GLOVOAPP en fecha 9 de julio de 2021, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 24 de julio de 2021, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aducía alegaciones al acuerdo de inicio y tras manifestar lo que a su derecho convenía, terminaba solicitando que se archivara el procedimiento sancionador incoado en contra de GLOVOAPP. En síntesis, GLOVOAPP alegaba que ponía a disposición de los interesados toda la información establecida por la normativa, que en ningún caso GLOVOAPP tomaba decisiones automatizadas con la información que obtenía de los repartidores en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/135 marco de los tratamientos relacionados con la gestión de los pedidos ni excluía la intervención humana en sus procedimientos ni producía a los repartidores efectos jurídicos para sus derechos y libertades. Manifestaba también que tenía bien implementadas las medidas organizativas y técnicas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y que había implementado severos controles de acceso a los datos de los repartidores de España. A las alegaciones se acompañaban los siguientes documentos: - DOCUMENTO 01: Información sobre el funcionamiento de Glovo a la que accede el repartidor en la fase precontractual. - DOCUMENTO 02 - Formulario de solicitud de alta como repartidor. - DOCUMENTO 03 - Términos y condiciones que acepta el candidato a repartidor en la fase precontractual. - DOCUMENTO 04.1 - Presentación utilizada en la sesión informativa presencial sobre el uso de la APP que se impartía a los candidatos a repartidor hasta mediados de 2019. - DOCUMENTO 04.2 - Captura de pantalla del mensaje que recibe el candidato a ser repartidor desde mediados de 2019. - DOCUMENTO 05 - Captura de pantalla del tutorial obligatorio a realizar en la fase precontractual en el que se explica cómo reservar horas. - DOCUMENTO 06 - Captura de pantalla del tutorial obligatorio a realizar en la fase precontractual en el que se explica cómo funciona un pedido. - DOCUMENTO 07 - Mensaje que aparece en el momento de la finalización del tutorial por parte del candidato a repartidor - DOCUMENTO 08.1 - Mensaje de alta en el tutorial online en el que se presta la información a los candidatos a repartidor. - DOCUMENTO 08.2 - Factura de ***EMPRESA.2, la empresa que gestiona el tutorial online de los candidatos a repartidor. - DOCUMENTO 09 - Fotograma del vídeo del tutorial cuya última versión está disponible en YouTube desde el 28 de agosto de 2019 (https://youtu.be/HZBqOezoeew) en el que se puede ver una pantalla de la aplicación en la que el repartidor está geolocalizado. - DOCUMENTO 10 - Fotograma de otro vídeo del tutorial cuya última versión está disponible en YouTube desde el 28 de agosto de 2019 (https://youtu.be/_Z2LlaVRWVA) en el que también se puede ver una pantalla de la aplicación en la que el repartidor está geolocalizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/135 - DOCUMENTO 11 - Fotograma de otro vídeo del tutorial cuya primera versión es anterior a septiembre de 2019 y cuya última versión está disponible en YouTube desde el 29 de septiembre de 2020 (https://youtu.be/hIAHkN7Kh_Q) en el que se explica el funcionamiento de la reserva de horas. - DOCUMENTO 12 - Fotograma del mismo vídeo del tutorial dedicado a la reserva de horas, en el que se indica que los servicios realizados en horas de alta demanda contribuyen a incrementar el excellence score. - DOCUMENTO 13 - Fotograma del mismo vídeo en el que se indica el proceso de eliminación de una hora reservada, que debe realizarse manualmente dentro del sistema de reserva de franjas horarias, además de la propia reserva. - DOCUMENTO 14 - Fotograma del vídeo que describe el sistema de asignación de pedidos basado en la geolocalización. En este vídeo también se explican los distintos tipos de pedido. https://youtu.be/fHVVJ4GXNyo - DOCUMENTO 15.1 - Transcripción del vídeo del tutorial en el que se explica el funcionamiento de la reserva de horas y el excellence score. - DOCUMENTO 15.2 - Transcripción del vídeo del tutorial en el que se explica el funcionamiento de los pedidos. - DOCUMENTO 16.1 - Información sobre el excellence score a la que se accede desde el tutorial que los repartidores deben realizar de forma obligatoria antes de darse de alta como repartidores de GLOVOAPP. Esta información está disponible en el Centro de Ayuda: https://delivery.glovoapp.com/es/gloveando/que-es-el-sistema-de-excelencia/ y en las FAQS: https://delivery.glovoapp.com/es/faq/el-sistema-de-excelencia - DOCUMENTO 16.2 - Información sobre cómo realizar la reserva de horas. - DOCUMENTO 16.3 - Información adicional sobre la reserva de horas. - DOCUMENTO 16.4 - Información sobre las horas de alta demanda y cómo influyen en el excellence score. - DOCUMENTO 16.5 - Información sobre las áreas con más pedidos de cada ciudad con el fin de que los repartidores puedan conseguir más pedidos y más excellence score. - DOCUMENTO 17 - Información adicional sobre la veracidad o falsedad de los mitos surgidos en relación con excellence score. Incluye un enlace al vídeo sobre mitos del excellence score Parte 1 disponible en https://youtu.be/qRXyZ0S1c_g. - DOCUMENTO 18 - Segunda parte de Información adicional sobre la veracidad o falsedad de los mitos surgidos en relación con excellence score. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/135 - DOCUMENTO 19 - Información detallada sobre el funcionamiento del módulo Jarvis, utilizado en la asignación de pedidos. - DOCUMENTO 20- Capturas de pantalla de la aplicación de GLOVOAPP y del sistema operativo del móvil del repartidor que demuestran que la aplicación informa de la necesidad de acceder a los datos de geolocalización y solicita autorización. También facilita instrucciones para que el repartidor pueda configurar la aplicación y el acceso a los datos de geolocalización. - DOCUMENTO 21 - Ayuda de la aplicación. Este documento contiene capturas de pantalla de las páginas de ayuda de la aplicación de GLOVOAPP en las que se puede ver la información que se suministra sobre el excellence score. También suministra información sobre cómo conseguir más pedidos. - DOCUMENTO 22 - Página principal del Centro de ayuda al repartidor del sitio web de GLOVOAPP. - DOCUMENTO 23 - Capturas de pantalla de la aplicación, en las que se muestran advertencias y textos informativos a lo largo de sus diferentes pantallas y funciones. - DOCUMENTO 24 - Modelo de documento de resolución contractual en el que se informa de los detalles del tratamiento de datos que tendrá lugar una vez finalizada la relación contractual. -DOCUMENTO 25 - Acuerdo sectorial de buenas prácticas con las principales asociaciones de repartidores - DOCUMENTO 26 - Noticia sobre la adopción del Acuerdo sectorial de buenas prácticas con las principales asociaciones de repartidores - DOCUMENTO 26.1- Informe de auditoría de procesos, de A.A.A., con el análisis de los procedimientos internos de GLOVOAPP, con los métodos de gestión tanto de pedidos como de proveedores - DOCUMENTO 27 - Artículo del blog de Glovo en el que se advierte de los riesgos derivados de la reasignación de pedidos - DOCUMENTO 28 - Explicación del proceso de reasignación de pedidos - DOCUMENTO 29 - Certificado firmado por B.B.B., ***PUESTO.1 de GLOVOAPP, en el que puede verse que la relación que guarda el excellence score con el número de pedidos y horas trabajadas de un repartidor - DOCUMENTO 30 - Checklist que utilizó GLOVOAPP para analizar la necesidad de realizar una evaluación de impacto - DOCUMENTO 31 – Copia simple de la información que consta en el Registro Mercantil de Barcelona, sobre GLOVOAPP C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/135 - DOCUMENTO 32 - Listado de resoluciones de la AEPD - DOCUMENTO 33 - Documento de seguridad de 2015, actualizado en 2016 y en 2017, en el que se regula el control de acceso a los datos de los repartidores - DOCUMENTO 34 - Diagrama del ciclo de vida de los datos del repartidor - DOCUMENTO 35 – Artículo firmado por C.C.C. sobre la necesidad de renovar el RGPD DÉCIMO: Con fecha 11 de octubre de 2021, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, que se notificó a GLOVOAPP en fecha 21 de octubre de 2021, en los siguientes términos: “1. Se dan por reproducidos a efectos probatorios la documentación procedente del IMI que ha dado lugar a las actuaciones previas de investigación, los documentos obtenidos y generados por los Servicios de Inspección ante GLOVOAPP23, S.L., el Informe de actuaciones previas de Inspección que forman parte del expediente E/10077/2019 y la documentación procedente del IMI sobre el proyecto de decisión y el proyecto revisado de decisión. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00020/2021 presentadas por GLOVOAPP23, S.L. en fecha 24 de julio de 2021, y la documentación que a ellas acompaña”. DÉCIMO PRIMERO: Con fecha 27 de octubre de 2021, el órgano instructor del procedimiento formuló propuesta de resolución, en la que proponía que por la Directora de la AEPD se dirigiera un apercibimiento a GLOVOAPP23, S.L., con NIF B66362906, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD; que se ordenara a GLOVOAPP23, S.L. a que en el plazo de 30 días procediera a incluir en la política de privacidad para mandatarios, así como en toda la documentación dirigida a los repartidores, que se estaban llevando a cabo decisiones individuales automatizadas; que se ordenara a GLOVOAPP23, S.L. que en el plazo de 60 días procediera a realizar una evaluación de impacto relativa a la protección de datos personales del tratamiento de los datos de los repartidores; y que se sancionara a GLOVOAPP23, S.L. por la presunta infracción de los artículos 32 y 25 del RGPD, tipificada en el artículo 83.4 del RGPD con una multa administrativa de QUINIENTOS CINCUENTA MIL EUROS (550.000 €). Con fecha 5 de noviembre de 2021 se notificó la citada propuesta de resolución, como consta en el acuse de recibo que obra en el expediente. DÉCIMO SEGUNDO: Con fecha 8 de noviembre de 2021, GLOVOAPP presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones a la propuesta de resolución. DÉCIMO TERCERO: Con fecha 17 de noviembre de 2021, el órgano instructor acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/135 El acuerdo de ampliación se notificó a GLOVOAPP en fecha 17 de noviembre de 2021, como consta en el acuse de recibo que obra en el expediente. DÉCIMO CUARTO: Con fecha 26 de noviembre 2021, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aducía alegaciones a la propuesta de resolución y tras manifestar lo que a su derecho convenía, terminaba solicitando que se archivara el procedimiento sancionador incoado en contra de GLOVOAPP. En síntesis, GLOVOAPP alegaba que no tomaba decisiones automatizadas (por lo que no tenía la obligación de informar a los repartidores sobre ellas), que no había quedado probado que existiera un acceso indiscriminado a los datos personales de los repartidores (por lo que las medidas adoptadas por la empresa eran apropiadas), que no había existido dolo o culpa por parte de GLOVOAPP (por lo que desaparecía la posibilidad de imputar infracción a la empresa) y que tampoco había suficientes evidencias de infracción para imputarle a GLOVOAPP. También se indica que las alegaciones se habían referido al sistema de reserva de horas que estaba vigente en el momento de la inspección. Pero que tras la entrada en vigor de la denominada Ley Rider (por medio del Real Decreto-ley 9/2021, de 11 de mayo, por el que se modifica el texto refundido de la Ley del Estatuto de los Trabajadores, aprobado por el Real Decreto Legislativo 2/2015, de 23 de octubre, para garantizar los derechos laborales de las personas dedicadas al reparto en el ámbito de plataformas digitales), el sistema de reserva de horas (excellence score) ha quedado desplazado por otro que está basado en el orden de llegada del repartidor y que aplica el principio “first come, first served”. Junto a las alegaciones se acompañaba - DOCUMENTO 1 - Informe pericial realizado por el perito D.D.D., número de colegiado XXX del Colegio Oficial de Ingeniería en Informática de Cataluña, sobre el porcentaje de intervenciones manuales que GLOVOAPP había realizado en el sistema de reserva de horas “excellence score” en el periodo de tiempo previo a su retirada DÉCIMO QUINTO: Con fecha 03 de diciembre de 2021, la Directora de la AEPD adoptó un proyecto de decisión de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se subió al sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Polonia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. DÉCIMO SEXTO: Con fecha 5 de enero de 2022, la Directora de la AEPD adoptó un proyecto revisado de decisión de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se subió al sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Polonia presentó sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/135 objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. DÉCIMO SÉPTIMO: Con fecha 26 de abril de 2022, la Directora de la AEPD dictó resolución de caducidad del procedimiento sancionador número PS/00020/2021. DÉCIMO OCTAVO: Con fecha 18 de mayo de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 25 de mayo de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a GLOVO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 27 de mayo de 2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO NOVENO: Con fecha 16 de junio de 2022, GLOVOAPP presentó un escrito a través del cual solicitaba que se le facilitara copia del expediente. VIGÉSIMO: Con fecha 22 de junio de 2022, el órgano instructor del procedimiento acordó que se le remitiera a GLOVOAPP la copia del expediente. El citado acuerdo se notificó a GLOVOAPP en fecha 22 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO PRIMERO: Con fecha 10 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GLOVOAPP, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, a fin de dirigirle un apercibimiento por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, e imponerle una multa de 550.000 euros por la presunta infracción de los artículos 25 y 32 del RGPD, tipificada en el artículo 83.4 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a GLOVOAPP conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 21 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO SEGUNDO: Con fecha 21 de octubre de 2022, GLOVOAPP presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/135 VIGÉSIMO TERCERO: Con fecha 25 de octubre de 2022, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a GLOVOAPP en fecha 26 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO CUARTO: Con fecha 14 de noviembre de 2022, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aducía alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que la infracción por vulneración del artículo 13 del RGPD y la infracción por vulneración de los artículos 25 y 32 del RGPD estaban prescritas; que GLOVOAPP no tomaba decisiones individuales automatizadas que debieran ser informadas a los repartidores, por lo que no existió infracción del artículo 13 del RGPD; que no existía un acceso indiscriminado a los datos de los repartidores, por lo que no existió infracción de los artículos 25 y 32 del RGPD; que no existe el elemento subjetivo de la infracción administrativa de los artículos 25 y 32 del RGPD; que aprecia abuso de derecho por parte de esta Agencia y que GLOVOAPP se reserva la posibilidad de reclamar responsabilidad patrimonial de la Administración; que el acto administrativo es nulo porque no existen los elementos subjetivos de la infracción ni hay prueba que desvirtúe la presunción de inocencia de GLOVOAPP, ni se cumple con los principios de tipicidad ni de presunción de inocencia; y acompaña las alegaciones con una serie de compromisos subsidiarios de GLOVOAPP en caso de que las alegaciones anteriores no fueran estimadas. Por su parte, también se ha puesto de manifiesto en las alegaciones al acuerdo de inicio del presente procedimiento sancionador que Glovoapp23, S.L. transformó su forma social a sociedad anónima, según escritura otorgada ante el Notario de Barcelona, Don Rafael de Cordoba Benedicto, el día 21 de diciembre de 2021, núm. 3.993 de su protocolo. VIGÉSIMO QUINTO: Con fecha 20 de diciembre de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propuso que por la Directora de la AEPD se dirigiera un apercibimiento a GLOVOAPP23, S.L., con NIF B66362906, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, y se le sancionara con una multa de 550.000 € (quinientos cincuenta mil euros) por la infracción de los artículos 25 y 32 del RGPD, tipificada en el artículo 83.4 del RGPD. Y se le indicaba que tenía un plazo de diez días para presentar alegaciones. Esta propuesta de resolución, que se notificó a GLOVOAPP conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 30 de diciembre de 2022, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO SEXTO: Con fecha 30 de diciembre de 2022, GLOVOAPP presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/135 VIGÉSIMO SÉPTIMO: Con fecha 9 de enero de 2023, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a GLOVOAPP ese mismo día, como consta en el acuse de recibo que obra en el expediente. VIGÉSIMO OCTAVO: Con fecha 23 de enero de 2023, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aducía alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que la infracción de los artículos 25 y 32 del RGPD estaba prescrita; que GLOVOAPP no adoptaba decisiones automatizadas que debiera informar a los repartidores, por lo que no hubo infringió el artículo 13 del RGPD; que GLOVOAPP no infringió los artículos 25 y 32 del RGPD ni se ha acreditado suficientemente dichas infracciones; que la sanción por la infracción de los artículo 25 y 32 del RGPD es desproporcionada; y acompaña las alegaciones con una serie de compromisos subsidiarios de GLOVOAPP en caso de que las alegaciones anteriores no fueran estimadas. A las alegaciones anteriores se acompañaban los siguientes documentos: - - DOCUMENTO 1: Extracto del informe de auditoría independiente elaborado por la auditora DELOITTE, S.L., con el título “Cuentas Anuales del ejercicio terminado el 31 de diciembre de 2021 e Informe de Gestión, junto con el Informe de Auditoría Independiente”. DOCUMENTO 2: Estados financieros de Glovo cerrados a 31 de diciembre de 2022 DOCUMENTO 3: Acta finalización del período de consultas y de acuerdo en el expediente de suspensión temporal de contratos y reducción de jornada de la empresa GLOVOAPP, S.L. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Durante la inspección presencial en la sede de GLOVOAPP, se indicó que “Glovo” es una marca comercial titularidad de GLOVOAPP y que dentro de su objeto social está la gestión y explotación de la plataforma tecnológica, que es un canal de oferta en el que intervienen tres partes: clientes finales, repartidores (denominados “riders”) y tiendas locales. SEGUNDO: GLOVOAPP es la responsable de los tratamientos de datos de los repartidores ubicados en España toda vez que conforme a la definición del artículo 4.7 del RGPD es quien determina la finalidad y medios de los tratamientos realizados, tal y como informaba su “Política de Privacidad para mandatarios” (https://glovoapp.com/es/ legal/privacy-couriers/): “El titular del tratamiento es Glovoapp23, S.L., con sede en Carrer Pallars 190, 08005 Barcelona, con CIF B66362906, sociedad que a través de su página web (www.glovoapp.com) y/o aplicación móvil ofrece servicios a los usuarios y colaboradores”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/135 Respecto de los datos de los repartidores ubicados en Italia, Foodinho S.r.l. (filial del grupo Glovo en Italia) y GLOVOAPP han firmado una Adenda al contrato de tratamiento de datos, de fecha 25/05/2018, en la que se indica que Foodinho S.r.l. es el responsable del tratamiento de los datos personales y GLOVOAPP se referencia como encargado de los datos. TERCERO: En la copia del contrato con un repartidor de España, con fecha de firma 2 de febrero de 2018, facilitado durante la referida inspección presencial, en la cláusula “Decimotercera.- Política de protección de datos” se indica que : “13.2. De conformidad con el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se informa al/a la Profesional Independiente que los datos de carácter personal que le sean facilitados a efectos de la celebración y ejecución del presente Contrato de TRADE serán objeto de tratamiento automatizado y pasarán a formar parte de los ficheros titularidad de Glovo, siendo el responsable del fichero GLOVOAPP23, S.L., propiamente inscrito en el Registro General de la Agencia Española de Protección de Datos, para las finalidades propias de gestión del servicio ofrecido a través de la plataforma online (esto es, facilitarle a los mensajeros cualquier información que soliciten y gestionar el envío de comunicaciones comercial y promocional que pueda resultar de su interés).” También se indica que los datos no se cederán a terceros sin el permiso del interesado a excepción de terceros subcontratados para la prestación de servicios, cuyo acceso queda autorizado expresamente por las partes. No se proporciona más información respecto al tratamiento de los datos personales de los repartidores. CUARTO: En la copia del contrato con un repartidor de España, con fecha de firma 2 de diciembre de 2019, facilitado durante la referida inspección presencial, además de la información reseñada en el hecho probado tercero, en la cláusula “Decimotercera.Política de protección de datos”, se indica que : “13.1. (…) Asimismo, el TRADE acepta expresamente que pueda ser valorado por los demás usuarios de la Plataforma, esto es por usuarios de la misma así como por los comercios que utilicen la Plataforma. Toda vez que son los usuarios y locales los principales beneficiarios de la prestación de servicios ofrecida por el TRADE a través de la Plataforma”. Asimismo, se añade la posibilidad de que los datos de los repartidores puedan ser cedidos a empresas del grupo GLOVO en el país en que presten el servicio y a empresas que presten servicios en nombre de GLOVOAPP; también se incluye como canal para ejercer los derechos de protección de datos la dirección de correo electrónico glovers@glovoapp.com; y se incluye la cesión a los usuarios de la plataforma de los datos de los repartidores para que puedan contactar con ellos durante el servicio. No se proporciona más información respecto al tratamiento de los datos personales de los repartidores. QUINTO: En la copia del contrato con un repartidor de España, con fecha de firma 3 de febrero de 2020, facilitado durante la referida inspección presencial, en la cláusula “Decimotercera.- Política de protección de datos”, se indica que : “Las partes declaran conocer y se obligan a cumplir con la legislación española y europea aplicable en cada momento a lo largo de la relación contractual. Respecto a los datos del TRADE tratados por GLOVO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/135 1. Titular del tratamiento El titular del tratamiento es Glovoapp23, S.L., con sede en Carrer Pallars 190, 08005 Barcelona, con CIF B66362906, sociedad que a través de su página web (www.glovoapp.com) y/o aplicación móvil ofrece servicios a los usuarios y colaboradores. 2. Datos tratados Los datos del TRADE recabados a través del presente contrato y de las herramientas informáticas que GLOVO facilita al TRADE previas a la suscripción del mismo, están limitados a los datos necesarios para dar ejecución a la relación contractual entre las Partes y son necesarios para poderla desarrollar de forma correcta, en adelante, los Datos. En el tratamiento de los datos del TRADE podrían encontrarse datos considerados sensibles, como los relativos a accidentes sufridos en el desarrollo de la actividad, para que sean comunicados a las compañías aseguradoras que GLOVO pudiera haber contratado. 3. Geolocalización Al usar la aplicación facilitada por GLOVO para la ejecución de la relación contractual y, por lo tanto, para poder desarrollar la actividad, GLOVO podrá recibir los datos de la geolocalización del TRADE en el supuesto de que éste haya activado dicha función directamente desde su teléfono móvil. GLOVO utilizará los Datos obtenidos únicamente para poder dar ejecución a la relación contractual y para compartirla con el usuario cuyo pedido haya aceptado realizar el TRADE con la finalidad que el usuario pueda contactar con el TRADE en caso de existir alguna incidencia con el mismo. 4. Finalidad y base jurídica para el tratamiento Los Datos serán tratados exclusivamente para dar cumplimiento a la relación contractual instaurada a través del presente Contrato y, en particular: ●Gestionar la actividad de GLOVO ●Dar cumplimiento a las obligaciones retributivas, contables, fiscales, económicas así como para cumplir con el resto de obligaciones inherentes a la relación entre las Partes ●Realizar cálculos estadísticos y económicos en base a datos agregados y no identificables ●Envío de cuestionarios, anónimos y voluntarios, así como encuestas, concursos y comunicaciones de interés para el TRADE, destinados a valorar la calidad de la relación y las opiniones que el TRADE pueda tener 5. Naturaleza del otorgamiento de los Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/135 Los Datos solicitados por GLOVO son obligatorios y necesarios para poder desarrollar la actividad. La negativa del TRADE, total o parcial, a facilitar los datos solicitados conllevará la imposibilidad, para GLOVO, de instaurar la relación contractual para la que los Datos son recabados. 6. Modalidades del tratamiento Los Datos serán tratados por GLOVO y sus colaboradores externos, como encargados del tratamiento, para la realización, entre otras, de actividades relativas a administración y gestión de los sistemas informáticos, así como por el administrador de los sistemas y de la base de datos de GLOVO. (…) 10. Derechos de los interesados EL TRADE podrá: 1) Obtener confirmación acerca de la existencia o no de sus Datos en los sistemas de GLOVO 2) Conocer las finalidades del tratamiento y sus modalidades, los destinatarios y el período de conservación 3) Obtener la rectificación o cancelación de los Datos y, cuando aplique, la limitación del tratamiento 4) Oponerse al tratamiento 5) Cuando aplique, recibir los Datos en formato estructurado y legible en un dispositivo automático y transmitirlos a otro titular del tratamiento 6) presentar una reclamación directamente ante la autoridad de control pertinente Los derechos antes mencionados podrán ser ejercitados mediante el envío de correo electrónico a la dirección legal@glovoapp.com. En relación con los datos personales que el TRADE pudiera recibir por parte de GLOVO, como responsable del tratamiento, en el desarrollo de la relación contractual establecida, el TRADE, como encargado del tratamiento, se compromete a: ●No tratar los datos para otra finalidad que no sea la de cumplir con las obligaciones adquiridas por el presente Contrato (i.e. contacto del usuario para la entrega de los pedidos, contacto con el personal de GLOVO para la gestión de incidencias, …) ●Respetar, en todo momento, la confidencialidad de los datos a los cuales accede, sin que puedan ser revelados a terceras partes o utilizados para finalidades no previstas en el presente Contrato sin la autorización previa y escrita de GLOVO ●Aplicar las medidas de seguridad adecuadas a los datos tratados y a los sistemas utilizados para su tratamiento y almacenamiento (i.e, protección mediante contraseña, controles de acceso a los sistemas según necesidad de tratamiento, …) ●No recurrir a subencargados del tratamiento sin la autorización previa por escrito de GLOVO, habiendo probado, de forma previa que los subencargados cumplen con la normativa de aplicación y demostrando que existe un contrato entre las partes que proteja de igual o mejor forma los datos que vayas a tratarse por el subencargado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/135 ●Cooperar con GLOVO en el supuesto que reciba de los usuarios del responsable solicitudes para el ejercicio de los derechos de los afectados reconocidos en la normativa de aplicación en cada momento. A tal efecto, el TRADE comunicará, en un plazo máximo de 12 horas, cualquier solicitud que reciba de los usuarios y que afecta a GLOVO ●Cooperar con GLOVO a efectos de demostrar que se cumplen las medidas de seguridad necesarias, facilitando a GLOVO la realización de auditorías en los sistemas utilizados por el TRADE a primera solicitud de GLOVO o colaborando en caso que la autoridad de control realice actuaciones en los sistemas de GLOVO ●Comunicar por escrito, en un plazo máximo de 12 horas, la existencia de una violación de seguridad en los sistemas utilizados por el TRADE ●Suprimir y/o devolver, según solicite GLOVO, todos los datos facilitados por GLOVO en el momento que finalice la relación contractual entre las Partes”. SEXTO: Durante la inspección presencial realizada por esta Agencia, GLOVOAPP indicó que los repartidores acceden a la plataforma tecnológica mediante la instalación de una app, que se instala en un dispositivo móvil; el dispositivo lo proporciona el propio repartidor, y la instalación de la app es obligatoria para poder acceder a los pedidos. SÉPTIMO: Durante la inspección presencial realizada por esta Agencia, GLOVOAPP indicó que, durante la realización del servicio de un pedido, la plataforma tecnológica de Glovo obtiene de la app instalada en el dispositivo móvil del repartidor información sobre la ubicación del dispositivo con dos objetivos: facturación del repartidor y que el cliente pueda localizar su pedido sólo desde el momento en que el repartidor recoge el pedido hasta que lo entrega. OCTAVO: Durante la inspección presencial realizada por esta Agencia, GLOVOAPP indicó que, desde septiembre de 2019, la información sobre la geolocalización de los repartidores durante el servicio de los pedidos se debe conservar durante un período de 10 años porque es el plazo de prescripción de delitos relacionados con accidentes, blanqueo de capitales, delitos fiscales, tráfico de drogas… de los cuales les pueden requerir información las autoridades tributarias y fiscales. NOVENO: Durante la inspección presencial realizada por esta Agencia, se comprueba que al abrir la aplicación web para repartidores de GLOVOAPP había un enlace a la política de privacidad, en el que se mostraba un documento de 7 páginas denominado “POLÍTICA DE PRIVACIDAD PARA MANDATARIOS”. En este documento, además de los datos que figuran en el citado contrato con un repartidor de España, de fecha 3 de febrero de 2020, entre otra información, se añade que: “7. Métricas Se elaboran métricas del servicio para controlar la calidad. Dichas métricas no tienen en cuenta aspectos de la esfera privada de la persona, sino datos objetivos relacionados con la ejecución del contrato. Así mismo se informa de que:
5. a)En relación a perfiles y valoraciones: ● No se elaboran perfiles ni se realizan valoraciones de personas. ● Tanto el usuario como Glovo valora la calidad del servicio. ● Todas las métricas obtenidas por Glovo se refieren al servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/135 ● No se recogen datos relativos a la vida privada, la personalidad o los hábitos del MANDATARIO
6. b)En relación a la toma de decisiones automatizadas con efectos jurídicos: ● No se toman decisiones automatizadas. ● Todos los parámetros a tener en cuenta se han generado de forma manual. ● Todos los parámetros y métricas se refieren al servicio y a la ejecución del contrato. ● No se elaboran perfiles. ● No se tienen en cuenta atributos de la personalidad ni de la esfera no profesional del MANDATARIO. ● Los resultados dependen de acciones previas y voluntarias del MANDATARIO. ● Los resultados son modificables manualmente. ● Los resultados pueden ser corregidos en el caso de haya habido un error. ● No se impide al MANDATARIO el ejercicio de un derecho. ● No se impide al MANDATARIO el acceso a un bien o un servicio. ● No se impide al MANDATARIO formar parte de un contrato.
7. c)En relación a la observación, monitorización, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva: ● La geolocalización es temporal. ● Está directamente asociada al servicio. ● La finalidad no es el control del MANDATARIO, sino informar al cliente de la evolución de la entrega. ● La geolocalización no es exhaustiva, sino que se limita a una ruta corta, entre dos puntos obligatorios que el MANDATARIO no puede escoger y temporal.
8. d)En relación al tratamiento de categorías especiales de datos: ● Este tratamiento se limita a los datos relativos a accidentes de los MANDATARIOS. La comunicación a las aseguradoras se hará mediante formulario al efecto o directamente por el MANDATARIO, salvo que la única forma de realizar la comunicación sea por la Compañía por tratar datos de salud derivados del accidente” DÉCIMO: En fecha 4 de diciembre de 2020, al acceder a la web https://web.archive.org, podía comprobarse que en la página web https://glovoapp.com/es/glovers, página en la que los repartidores se autentican, a fecha 27 de marzo de 2019 se observaba que había un enlace a los “Términos y Política de Privacidad”. DÉCIMO PRIMERO: En el documento de descripción del sistema de excellence score, aportado durante la inspección presencial realizada por esta Agencia, se describe que, en la puntuación que reciben los repartidores denominada “excellence score” intervienen, entre otros, los siguientes datos: a. el número de pedidos realizados en franjas horarias de alta demanda en los últimos 28 días, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/135 b. el feedback de las tiendas en los últimos 50 pedidos, que puede ser positivo, negativo o no valorado, c. el feedback de los usuarios en los últimos 50 pedidos, que puede ser positivo, negativo o no valorado, d. pedidos rechazados o reasignados en los últimos 50 pedidos, aunque, en España, la reasignación no penaliza, e. histórico de pedidos desde el inicio de la colaboración. DÉCIMO SEGUNDO: Durante la inspección presencial realizada por esta Agencia, se indicó que los valores utilizados para calcular la excellence score pueden ser modificados manualmente, lo cual solamente se realizará en el caso de que un repartidor presente una queja, normalmente a través de facturación. Durante la citada inspección se comprueba que un operador accede a la base de datos y, utilizando un cliente gráfico de SQL, es capaz de modificar los valores de la tabla utilizada para calcular el excellence score. DÉCIMO TERCERO: Durante la inspección presencial realizada por esta Agencia, se indicó que la excellence score se utiliza exclusivamente en los casos en que, en una franja horaria, se hubiesen apuntado más repartidores de los que se necesitan, para favorecer a los repartidores con mejor excellence score. Sin embargo, los representantes de GLOVOAPP indicaron durante la inspección que, en la práctica, el excellence score limitaba la posibilidad de acceder a una franja de una hora en concreto, pero no al resto de horas de ese día; aunque, en la actualidad, de facto, no limita. Durante la inspección se obtiene el historial de ocupación de las franjas horarias en España y se aprecia que las franjas horarias son de una hora y que la ocupación media en 2018 fue del 87% y en 2019 fue del 83%, y que la última franja horaria que se llenó completamente data del 21 de agosto de 2018. En el documento de alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se indica que sólo hubo un día en los años 2018 y 2019 en el que la ocupación llegó al 100%. DÉCIMO CUARTO: Durante la inspección presencial realizada por esta Agencia, se indicó que el excellence score no se utiliza para seleccionar a qué repartidor se le asigna un pedido de entre los que están apuntados en la franja horaria en que se solicita el pedido; para seleccionar a qué repartidor se asigna el pedido, se utiliza un módulo denominado “Jarvis” que selecciona a qué repartidor se asigna un pedido teniendo en cuenta métricas como el tipo de vehículo, la geolocalización, el peso del pedido y la distancia desde el punto de recogida hasta el de entrega. También se indica que “Jarvis” es un desarrollo propio de GLOVOAPP23, S.L., que toma las decisiones sobre su desarrollo. DÉCIMO QUINTO: Durante la inspección presencial se comprobó que, al acceder a la plataforma con el perfil de LiveOps Project Manager Global (gerente global del servicio de atención al cliente), se podían modificar manualmente las franjas de tiempo en las que un repartidor va a aceptar pedidos. También se verificó que, un usuario con perfil de Account Manager no podía modificar esas franjas de tiempo. DÉCIMO SEXTO: En el “DOCUMENTO 01- Información sobre el funcionamiento de Glovo a la que accede el repartidor en la fase precontractual”, que acompaña a las alegaciones presentada por GLOVOAPP al acuerdo de inicio del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/135 sancionador PS/00020/2021, se observa una captura de pantalla de “Glovo Blog” en el que puede verse un artículo con el título “¿Cómo funciona Glovo? La respuesta a todas tus dudas”. En este artículo se proporciona información dirigida a clientes finales, en el que se explica que la aplicación ofrece un servicio no solo de comida a domicilio sino que “ofrece un exclusivo servicio de entregas a domicilio, de lo que se te ocurra”. También se da información sobre la posibilidad de acudir a “Envíos Express” dentro de una misma ciudad y se explica el funcionamiento de la aplicación para hacer pedidos. Por último, se informa sobre cómo contactar con Glovo. DÉCIMO SÉPTIMO: En el “DOCUMENTO 02 - Formulario de solicitud de alta como repartidor”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se observa una captura de pantalla de la web de Glovo con un formulario con el título “Regístrate y empieza a colaborar como repartidor en menos de 24 horas”, en el que se recoge nombre y apellidos, E-mail, Ciudad y teléfono. Debajo del formulario, puede verse un botón “Continuar”, debajo del cual se lee el siguiente mensaje: “Al hacer clic en el botón, aceptas nuestros Términos y Condiciones Política de Privacidad”. DÉCIMO OCTAVO: En el “DOCUMENTO 03 - Términos y condiciones que acepta el candidato a repartidor en la fase precontractual”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se adjuntan los “Términos y Condiciones del uso de la plataforma de Glovo para los repartidores autónomos”, con fecha de actualización 12 de julio 2021. En el encabezado del documento se establece: “Al aceptar los presentes términos y condiciones, Usted reconoce haber leído y aceptado expresamente nuestras Políticas de privacidad, que forman parte de los presentes términos y condiciones. Además, le informamos de que podemos actualizar nuestras Políticas de Privacidad y cookies oportunamente directamente en nuestro sitio web y Usted acepta que las versiones más actualizadas le serán aplicables en todo momento”. En la cláusula 9 “Política de protección de datos” del citado documento, en el punto 9.3 “Geolocalización”, se dispone: “Al usar la aplicación facilitada por GLOVO para la ejecución de la relación contractual y, por lo tanto, para poder desarrollar la actividad, GLOVO podrá recibir los datos de la geolocalización del Repartidor en el supuesto de que éste haya activado dicha función directamente desde su teléfono móvil. GLOVO utilizará los Datos obtenidos únicamente para poder prestar el servicio al repartidor y para compartirla con el consumidor y el comercio cuyo pedido haya aceptado realizar el Repartidor con la finalidad que el consumidor y el comercio puedan contactar con el Repartidor en caso de existir alguna incidencia con el mismo”. DÉCIMO NOVENO: En el “DOCUMENTO 04.1 - Presentación utilizada en la sesión informativa presencial sobre el uso de la APP que se impartía a los candidatos a repartidor hasta mediados de 2019”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, en la diapositiva que lleva por título “Calendario”, se indica que “El calendario se abre cada Lunes y Jueves, entre las 16 y 20 hs. La puntuación de excelencia (otorgada por todos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/135 los usuarios de la plataforma) determina el orden de acceso al calendario, dependiendo de la oferta y la demanda”. En la diapositiva de la presentación que lleva por título “Excellence score” se indica que: “El 65% depende de: Alta Demanda: Pedidos completados durante horas de alta demanda que han informado los Partners. Histórico de Pedidos: Cantidad histórica de pedidos, y comparación con el promedio de tu ciudad. Clientes 7 / 15% Partners / 5% Y el 35% de la eficiencia en la plataforma: Cantidad de pedidos completados: hacer el check-in en las horas que has elegido y AA ayudan a elevar la eficiencia”. VIGÉSIMO: En el “DOCUMENTO 04.2 - Captura de pantalla del mensaje que recibe el candidato a ser repartidor desde mediados de 2019”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, puede leerse como título “PASO 1: Bienvenido a Glovo” y el texto “Para continuar el proceso de inscripción deberás completar un tutorial haciendo click en el botón de abajo. Ahí te mostraremos unos vídeos explicativos con información que te servirá para poder colaborar con nosotros. La sesión es fácil, corta y totalmente online. (…)”. VIGÉSIMO PRIMERO: En el “DOCUMENTO 05 - Captura de pantalla del tutorial obligatorio a realizar en la fase precontractual en el que se explica cómo reservar horas y en las que se acredita la necesidad de la acción por parte del repartidor”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, puede verse: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/135 No se acompaña enlace alguno para poder acceder al contenido de tal vídeo. VIGÉSIMO SEGUNDO: En el “DOCUMENTO 06 - Captura de pantalla del tutorial obligatorio a realizar en la fase precontractual en el que se explica cómo funciona un pedido”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, puede verse: GLOVOAPP en las citadas alegaciones indica que a la izquierda se puede apreciar la tabla de contenidos online. Y que los repartidores interesados en prestar servicios para Glovo deben realizar un tutorial antes de continuar el proceso de selección. También afirma que este vídeo contiene los detalles del funcionamiento de Glovo, de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/135 plataforma, del excellence score, de la geolocalización y de todos los detalles del tratamiento. No obstante, no se acompaña enlace alguno para poder acceder al contenido de tal vídeo. VIGÉSIMO TERCERO: En el “DOCUMENTO 07 - Mensaje que aparece en el momento de la finalización del tutorial por parte del candidato a repartidor”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, en el apartado “¿Cómo funciona el sistema de excelencia?” se dice “Si tienes alguna duda sobre el funcionamiento del Sistema de Excelencia consulta aquí para toda la información”. Si se clica en el enlace proporcionado (https://delivery.glovoapp.com/es/faq/el-sistema-de-excelencia) se redirecciona a una página no encontrada: VIGÉSIMO CUARTO: En el “DOCUMENTO 08.1 - Mensaje de alta en el tutorial online en el que se presta la información a los candidatos a repartidor”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, consta un correo electrónico de fecha 19 de julio de 2021 con el asunto “Fwd: Acquisition e-learning tool” en el que se reenvía un intercambio de correos electrónicos del mes de mayo de 2019, en los cuales se acuerda la compra de una herramienta online para dar la bienvenida a los repartidores. VIGÉSIMO QUINTO: En el “DOCUMENTO 08.2 - Factura de ***EMPRESA.2, la empresa que gestiona el tutorial online de los candidatos a repartidor”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se observa una factura de ***EMPRESA.2 a nombre de GLOVOAPP por 89€ bajo la descripción “Corporate Owl”. VIGÉSIMO SEXTO: En el “DOCUMENTO 09 - Fotograma del vídeo del tutorial cuya última versión está disponible en YouTube desde el 28 de agosto de 2019 (https://youtu.be/HZBqOezoeew)”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se puede ver una pantalla de la aplicación en la que el repartidor está geolocalizado. Al acceder al vídeo, se observa que se explica de qué se trata la aplicación de GLOVOAPP. Del minuto 0:56 al 0:59 se puede apreciar la posición del repartidor en el mapa activo de pedidos. VIGÉSIMO SÉPTIMO: En el “DOCUMENTO 10 - Fotograma de otro vídeo del tutorial cuya última versión está disponible en YouTube desde el 28 de agosto de 2019 (https://youtu.be/_Z2LlaVRWVA)”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/135 también se puede ver una pantalla de la aplicación en la que el repartidor está geolocalizado. Al acceder al vídeo, se observa que se contesta a “¿Qué necesitas para registrarte en Glovo?” y se advierte que el repartidor necesita disponer de un smartphone con conexión a Internet para poder prestar servicios a Glovo, entre otros requisitos. VIGÉSIMO OCTAVO: En el “DOCUMENTO 11 - Fotograma de otro vídeo del tutorial cuya primera versión es anterior a septiembre de 2019 y cuya última versión está disponible en YouTube desde el 29 de septiembre de 2020 (https://youtu.be/hIAHkN7Kh_Q)”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se explica el funcionamiento de la reserva de horas. Al acceder al vídeo, se observa que se contesta a “Cómo reservar tus horas” y se explica cómo se hace la reserva de horas. También, se detalla que si se trabaja en las horas de alta demanda incrementa la excelencia de los repartidores y que el calendario se abre primero a los repartidores que tienen mayor excelencia. VIGÉSIMO NOVENO: En el “DOCUMENTO 12 - Fotograma del mismo vídeo del tutorial dedicado a la reserva de horas”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se observa un gráfico en el que se indica que los servicios realizados en horas de alta demanda contribuyen a incrementar el excellence score. TRIGÉSIMO: En el “DOCUMENTO 13 - Fotograma del mismo vídeo en el que se indica el proceso de eliminación de una hora reservada”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se indica que “para eliminar horas en verde, envía mensaje a chat de soporte”. El vídeo en cuestión está accesible en la dirección: https:// www.youtube.com/watch?v=hIAHkN7Kh_Q. En las citadas alegaciones GLOVOAPP indica que para eliminar una hora reservada debe realizarse manualmente dentro del sistema de reserva de franjas horarias, además de la propia reserva. TRIGÉSIMO PRIMERO: En el “DOCUMENTO 14 - Fotograma del vídeo que describe el sistema de asignación de pedidos basado en la geolocalización”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se acompaña el siguiente enlace a un vídeo: https://www.youtube.com/watch?v=fHVVJ4GXNyo. Al acceder al vídeo se observa que se explica “El proceso de un pedido”. Se detalla qué ocurre si se tiene el botón “ Autoaceptación” encendido. Se muestra lo que ve el repartidor cuando entra un pedido para el repartidor: se ve un mapa con su ubicación precisa y el punto de recogida y entrega del envío. También se explican los tipos de pedidos (Partner/ No partner/ Transporte) y cuándo hay que pagar a los establecimientos. Y los pasos para realizar una entrega. TRIGÉSIMO SEGUNDO: En el “DOCUMENTO 15.1 - Transcripción del vídeo del tutorial en el que se explica el funcionamiento de la reserva de horas y el excellence score”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se puede ver el siguiente texto: “(…) las horas de alta demanda que aparecerán identificadas con un diamante son horas durante las cuales hay más pedidos por lo tanto si haces entregas en ese C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/135 periodo podrás generar mayores ingresos además realizar pedidos durante esas horas incrementa tu excelencia (…) ”.Y también: “(…) el calendario se abre primero a los repartidores que tienen mayor excelencia (…) y “ (…) si necesitas eliminar alguna hora que tengas en verde en ese caso puedes enviar un mensaje de soporte para que te las quiten (…)”. TRIGÉSIMO TERCERO: En el “DOCUMENTO 15.2 - Transcripción del vídeo del tutorial en el que se explica el funcionamiento de los pedidos”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se puede ver el siguiente texto: “ (…) cómo funciona es muy fácil te descargas la del repartidor desde donde se gestiona todo selecciona cuando quieres colaborar en qué punto de la ciudad quieres empezar y si te interesa realizas el pedido (…)”. TRIGÉSIMO CUARTO: En el “DOCUMENTO 16.1 - Información sobre el excellence score a la que se accede desde el tutorial que los repartidores deben realizar de forma obligatoria antes de darse de alta como repartidores de Glovo”, que acompaña a las alegaciones presentadas por GLOVOAPP al acuerdo de inicio del procedimiento sancionador PS/00020/2021, se indica que esta información está disponible en el Centro de Ayuda: https://delivery.glovoapp.com/es/gloveando/que-es-el-sistema-deexcelencia/ y en las FAQS: https://delivery.glovoapp.com/es/faq/el-sistema-deexcelencia. No obstante, al intentar esta Agencia acceder al contenido de ambos enlaces, se encuentra con el mensaje “Sorry, no page was found” y “404 Page not found”, respectivamente. En el citado documento que acompaña a las alegaciones presentadas por GLOVOAPP se puede ver: “¿Qué es el Sistema de Excelencia? El Sistema de Excelencia fue creado con el objetivo de evaluar la reputación del Repartidor como profesional independiente en su sector, basándose en la valoración que sus clientes hayan dado al recibir sus pedidos. Adicionalmente, este sistema fue creado por sugerencia de muchos repartidores ya que, si todos los repartidores tienen acceso a las horas en cualquier momento, dado que la demanda determina la capacidad de cada franja horaria, habría demasiado repartidores conectados a la vez y por lo tanto menos pedidos disponibles para cada repartidor. ¿Cómo se calcula la Puntuación de Excelencia? La Puntuación es un número del 1 al 100, y se hace efectiva una vez has entregado 50 pedidos. Esto significa que si eres un repartidor nuevo, no tienes Puntuación hasta haber entregado 50 pedidos. Una vez hayas llegado a los 50 pedidos entregados, tu Puntuación se calculará de acuerdo con los parámetros explicados a continuación. Podrás ver tu puntuación en tu perfil en la app, y tendrás acceso a las franjas horarias en función de dicha Puntuación. Tu Puntuación se actualiza cada mañana, y recoge mayoritariamente información relativa a Partners, Clientes y tu propia prestación de servicios. La Puntuación se compone de los siguientes parámetros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/135 Partner 35/100 Horas de alta demanda Las Horas de Alta Demanda son horas seleccionadas por los Partners en función de cuando prevén recibir más pedidos, los Partners se lo comunican a Glovo y la Plataforma abre las franjas de horario. Hacer pedidos durante esas horas aumenta tu Puntuación. El sistema calcula los pedidos que has empezado en horas de alta 5/100 Puntuación del Partner Los Partners pueden valorar a los repartidores después de cada pedido. Cuando se activa tu puntuación en este parámetro siempre tienes el máximo de puntos, es decir 5. Si recibes una valoración negativa del partner, te baja un