← España

PS-00243-2023

1/15 Expediente Nº: EXP202208230 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FOURTH PARTY LOGISTICS, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202208230 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Dª. A.A.A. (en adelante, la parte reclamante) con fecha 29 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra “Envialia”. Se hace constar la reclamación: “Hoy 28 de junio a las 14.30 me llama el mensajero con teléfono ***TELÉFONO.1 para entregarme un paquete de Carrefour. Al no estar en casa le indique que se lo dejase a mi vecino del primero izquierda, B.B.B.. Me dijo que perfecto. Cuando llego 20 minutos después a casa mi vecino me dice que no le han entregado nada. Llamo al transportista y me dice que un chico con gorra pasó por el portal y le dijo que era él y se lo dio sin más. He reclamado a la empresa de transporte y me dice que se lo ha llevado un tal C.C.C. y que busque entre los vecinos, cuando deberían hacerlo ellos. Ya no es solo la falta de solución por el robo literal de mi paquete, sino que en el mismo iban, a parte de mis mercancías, todos mis datos personales, DNI, teléfono, dirección, nombre, apellidos y una factura de lo comprado con mis datos bancarios, datos a los que yo no he autorizado en ningún momento a ellos a dar a un desconocido que puede usar de manera ilícita provocándome un gran perjuicio. Por lo que ruego intercedan.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Junto a la reclamación se aporta hilo de los correos intercambiados con “Envialia”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ENVIALIA WORLD (en adelante, EW) para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28 de julio de 2022 como consta en el certificado que obra en el expediente. Con fecha 25 de agosto de ese mismo año se recibe en esta Agencia escrito de respuesta indicando que “…no ha tenido constancia de la misma hasta la notificación recibida de la AEPD, por lo que no se ha podido dar respuesta a la reclamante, ya que no contábamos ni con la reclamación ni con sus datos de contacto. Se procede a dar respuesta al e-mail que figura en el Anexo 1 (***USUARIO.1@hotmail.com) y se adjunta copia de la respuesta dada.

  1. b)Respecto a la decisión adoptada a propósito de esta reclamación: Es necesario entender los roles de las distintas empresas que participan en el proceso de entrega: Cliente: Contrata los servicios de la agencia de cargo. Agencia de cargo: Actúa como Responsable del tratamiento, tiene contrato con Envialia World que pone a su disposición la Red Envialia formada por otras agencias con las que se tiene contrato. Envialia World: Actúa como Encargado de tratamiento. Agencia de Cargo: Actúa como subencargado de tratamiento Destinatario: Es el interesado y en este caso perjudicado por la mala praxis del mensajero de la agencia de cargo Desde Envialia World consideramos este hecho como un robo y ante esta situación se informa a las agencias responsables que pongan la correspondiente denuncia. Por otra parte, ya sea la agencia de Cargo, como ENVIALIA WORLD o la agencia de destino solo son responsables de los datos que figuran en la etiqueta que acompaña el bulto a entregar, en ningún caso pueden ser responsables de los datos que pueda haber dentro del bulto (como la factura que menciona el interesado con sus datos bancarios) pues a estos ninguna de las empresas de ENVIALIA o agencias implicadas accede ni debe acceder y ni siquiera sabe qué hay dentro del bulto. Entendemos que en caso de existir algún tipo de vulneración de los derechos del interesado es por parte del sub encargado de tratamiento que es la agencia de destino. Por este motivo, procedemos a informarle de la reclamación recibida y analizar los motivos que dieron lugar a la mala práctica en la entrega y a exigirle la aplicación de medidas que eviten que se reitere el problema…”. TERCERO: Con fecha 30 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 12 de abril de 2023, se requirió información a EW para que aportase: “1. Descripción de todos los sujetos intervinientes en la relación comercial y el proceso de recogida / entrega de los envíos. 2. Documentación que acredite las relaciones de ENVIALIA WORLD S.L. con los sujetos que describe en su contestación, y en particular contrato de encargo del tratamiento de datos, ya que el punto 2.
  2. b)de su contestación define a ENVIALIA WORLD S.L. como Encargada del tratamiento.” En fecha 27 de abril de 2023 se recibió respuesta al mismo, en los siguientes términos: - Responde en el punto PRIMERO al punto 1 del requerimiento: “Cliente: CENTROS COMERCIALES CARREFOUR, S.A., con NIF A28425270, y domiciliada en P.I. “Las Mercedes”, calle Campezo 16, 28022 Madrid. Agencia de cargo; FOURTH PARTY LOGISTICS, S.L., con NIF B86496007 y con domicilio en Avenida Suiza 2, 28821, Coslada, Madrid. FOURTH PARTY LOGISTICS SL, opera bajo la marca ENVIALIA, dentro de una red nacional de transportes. FOURTH PARTY LOGISTICS subcontrata los servicios de FOURTH PARTY SERVICES, S.L., empresa de la misma red, que mantiene relaciones con ENVIALIA WORD, S.L., establecidas en un contrato de transporte y mensajería. ENVIALIA WORLD SL, pone su red de transporte a disposición de FOURTH PARTY SERVICES SL, para que Ileve a cabo la gestión y la prestación de los servicios. En este caso, el envío de mensajería fue realizado directamente por FOURTH PARTY SERVICES SL, a través de la empresa THE BEE LOGISTICS, SLU, que fue quien debía entregar el paquete a Dña. A.A.A.. El mensajero, entregó el paquete al vecino indicado por Dña. A.A.A., hecho no controvertido por la denunciante, lo que ocurre, es que ella indica que se llama B.B.B. y el paquete se entrega a C.C.C., quien lo recoge y proporciona su DNI. Por otro lado, los datos de los que disponía únicamente FOURTH PARTY SERVICES SL, son los que aparecen en el paquete, únicamente identificativos, y en ningún caso existen datos bancarios, ni documento nacional de identidad o equivalente. En cualquier caso, tras lo ocurrido, FOURTH PARTY SERVICES SL, solicitó a THE BEE LOGISTICS, SLU. que adoptase medidas preventivas y reactivas, y que revisase con sus trabajadores el Manual de operaciones de Envialia, para su adecuado cumplimiento. El proceso de recogida y entrega es el siguiente: 1. El cliente compra en Carrefour, a través de su plataforma online, y este, una vez completado el proceso de compra, da la orden a su proveedor de transporte y mensajería, FOURTH PARTY LOGISTICS SL, para que lleve a cabo la entrega. La comunicación diaria de la relación de envíos que viajarán por la red de Envialia, se realiza a través de un Servicio SOAP, donde se extrae un XML, con los datos necesarios para la correcta gestión y entrega de los mismos (dirección, tipo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 servicio, observaciones, etc.). La etiqueta se genera a partir de un código ZPL, con un código de barras en CODE 128. 2. FOURTH PARTY LOGISTICS, a través de FOURTH PARTY SERVICES lleva a cabo la entrega de este paquete, con la colaboración de la empresa de transporte THE BEE LOGISTICS, contratada para este servicio. 3. THE BEE LOGISTICS SLU, realiza la entrega a la persona indicada por la compradora -Dña. A.A.A.-.” - Responde en el punto SEGUNDO al punto 2 del requerimiento: “Respondiendo a esta cuestión, adjuntamos el contrato vigente, formalizado entre CARREFOUR Y FOURTH PARTY LOGISTICS SL. El contrato entre FOURTH PARTY LOGISTICS y THE BEE LOGISTICS SLU, es un contrato verbal, por cuanto hasta septiembre de 2022 no entró en vigor el RD-Ley 3/2022, que estableció la obligatoriedad de que de los contratos de transporte continuado fuesen por escrito, dando además plena validez para los contratos de transporte esporádicos únicamente la correspondiente carta de porte.” EW aporta copia de un contrato de prestación de servicios entre FOURTH PARTY LOGISTICS S.L. y CENTROS COMERCIALES CARREFOUR S.A. para la distribución, el reparto domiciliario y entrega de la mercancía vendida. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Posible infracción administrativa. En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;..” En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  3. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15
  4. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  5. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  6. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  7. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  8. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  9. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  10. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  11. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…). Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. De acuerdo con lo establecido en el artículo 28 RGPD, el responsable y el encargado de tratamiento de datos deben regular el tratamiento de datos en un contrato u acto jurídico que vincule al encargado respecto al responsable; ese contrato o acto jurídico deberá establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del responsable, etc. El encargado del tratamiento, a su vez, podrá recurrir a otro encargado (“subencargado”) siempre que disponga de autorización previa por escrito del responsable del tratamiento, ya sea una autorización específica o general. En estos casos, se impone al encargado la obligación de informar al responsable de los cambios en la incorporación o sustitución de otros encargados, a fin de que dicho responsable pueda oponerse a tales cambios. La relación que vincule al responsable del tratamiento y al encargado, o a éste y a otro encargado, deberá formalizarse por escrito, inclusive en formato electrónico. En ambos casos deberán imponerse al encargado o “subencargado” las mismas obligaciones a que se refiere el apartado 3 del artículo 28 transcrito. En el presente caso, EW explica que: “- Envialia World tiene un contrato de transporte y mensajería con Fourth Party Logistics. - Fourth Party Logistics subcontrata los servicios de Fourth Party Services. - Envialia World pone su red de transporte al servicio de Fourth Party Services para que lleve a cabo la prestación del servicio. - Fourth Party Logistics tiene un contrato verbal de mensajería con The Bee Logistics, empresa a la que identifica como “agencia de cargo” y que sería responsable de la entrega del paquete”. Se aporta copia de un contrato de servicios entre CENTROS COMERCIALES CARREFOUR SA con NIF A28425270 (como cliente, aunque no aparece su firma) y FOURTH PARTY LOGISTICS SL con NIF B86496007 (como transportista), para entrega de mercancías a domicilio, en cuyo apartado sobre protección de datos se declara que la primera es responsable, y la segunda encargada, del tratamiento de los datos personales. En dicho contrato se establece expresamente que “…En aquellos casos en los que el servicio subcontratado suponga el acceso o el tratamiento de datos personales propiedad del CARREFOUR por parte de la empresa subcontratada el TRANSPORTISTA deberá garantizar que la subcontratación se realiza en cumplimiento de lo dispuesto en la legislación aplicable y, en particular, por lo previsto en la normativa de Protección de Datos de Carácter Personal. En el caso de que los subcontratistas autorizados, tenga acceso a datos personales responsabilidad de CARREFOUR, actuará como subencargado del tratamiento, siendo lo siguiente de aplicación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 • El TRANSPORTISTA notificará a CARREFOUR la identidad del subencargado antes de proceder a la subcontratación; • El tratamiento de datos por parte del subencargado deberá ajustarse a las instrucciones de CARREFOUR; y • El TRANSPORTISTA y el subencargado suscribirán un contrato/cláusula que se ajuste a lo dispuesto en la normativa de Protección de Datos. El TRANSPORTISTA notificará a CARREFOUR la celebración de este contrato con el subencargado y le facilitará una copia en el caso que así lo solicite…” EW afirma que entre FOURTH PARTY LOGISTICS SL y THE BEE LOGISTICS SL existe un contrato verbal de servicios, pero no queda acreditado. Es evidente que entre ENVIALIA WORLD SL, FOURTH PARTY SERVICES SL y FOURTH PARTY LOGISTICS SL existen relaciones contractuales; si bien, no se ha aportado documentación de las mismas. En consecuencia, FOURTH PARTY LOGISTICS SL, ENVIALIA WORLD SL, FOURTH PARTY SERVICES SL, y THE BEE LOGISTICS SL tendrían necesariamente que realizar también tratamiento de los datos personales; si bien, FOURTH PARTY LOGISTICS SL lo haría en su condición de encargado del tratamiento y ENVIALIA WORLD S.L., FOURTH PARTY SERVICES SL y THE BEE LOGISTICS SL., como subencargados del mismo. Analizada la relación de los distintos intervinientes es evidente que las subcontrataciones no se ajustan a lo dispuesto en la normativa de protección de datos vigente, debido a la falta de formalización de contratos o actos jurídicos, así como la falta de autorizaciones previas a sus formalizaciones. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a FOURTH PARTY LOGISTICS SL por vulneración de los artículos 28.2 y 28.3 del RGPD. IV Tipificación de la infracción del artículo 28.2 del RGPD De confirmarse, la citada infracción del artículo 28.2 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  12. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  13. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles. (…)”. V Sanción por la infracción del artículo 28.2 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes:
  14. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que, respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.” FOURTH PARTY LOGISTICS SL es una empresa que se dedica Transporte de mercancías por tráfico ferroviario por vía normal y estrecha, transporte de mercancías por carretera, otros transportes terrestres, transporte marítimo de mercancías internacional (excepto de crudos y gases), transporte de cabotaje y por vías navegables interiores (excepto de crudos y gases). Las empresas de transporte manejan una cantidad de datos muy importante, tanto los datos de los clientes, los respectivos a sus envíos, así como la de los empleados como proveedores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 FOURTH PARTY LOGISTICS SL está inscrita en el Registro Mercantil de Madrid, es una empresa de tamaño pequeña cuyo capital social está en el tramo de 50.001 100.000€, con una cantidad de empleados de entre 11 y 50 y un importe de ventas de entre 3.000.001 y 50.000.000€. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.2 del RGPD, permite fijar inicialmente una sanción de 60.000 € (SESENTA MIL EUROS). VI Tipificación de la infracción del artículo 28.3 del RGPD De confirmarse, las citada infraccione del artículo 28.3 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  15. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  16. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679. (…)”. VII Sanción por la infracción del artículo 28.3 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 Como agravantes:
  17. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que, respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.” FOURTH PARTY LOGISTICS SL es una empresa que se dedica Transporte de mercancías por tráfico ferroviario por vía normal y estrecha, transporte de mercancías por carretera, otros transportes terrestres, transporte marítimo de mercancías internacional (excepto de crudos y gases), transporte de cabotaje y por vías navegables interiores (excepto de crudos y gases). Las empresas de transporte manejan una cantidad de datos muy importante, tanto los datos de los clientes, los respectivos a sus envíos, así como la de los empleados como proveedores. FOURTH PARTY LOGISTICS SL está inscrita en el Registro Mercantil de Madrid, es una empresa de tamaño pequeña cuyo capital social está en el tramo de 50.001 100.000€, con una cantidad de empleados de entre 11 y 50 y un importe de ventas de entre 3.000.001 y 50.000.000€. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de 60.000 € (SESENTA MIL EUROS). VIII Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  18. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FOURTH PARTY LOGISTICS, S.L., con NIF B86496007, por la presunta infracción de los artículos 28.2 y 28.3 del RGPD, ambas tipificadas en el artículo 83.4
  19. a)del RGP. SEGUNDO: NOMBRAR como instructor a D.D.D. y, como secretario, a E.E.E., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el artículo 64.2
  20. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de: SESENTA MIL EUROS (60.000€) por presunta infracción del artículo 28.2 tipificada en el artículo 83.4
  21. a)RGPD. SESENTA MIL EUROS (60.000€) por presunta infracción del artículo 28.3 tipificada en el artículo 83.4
  22. a)RGPD. QUINTO: NOTIFICAR el presente acuerdo a FOURTH PARTY LOGISTICS, S.L., con NIF B86496007, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  23. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 reducción, la sanción quedaría establecida en 96.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 72.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (96.000,00 euros o 72.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 3 de julio de 2023, la parte reclamada ha procedido al pago de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 la sanción en la cuantía de 72000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202208230, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FOURTH PARTY LOGISTICS, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  24. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.