PS-00247-2024

1/68  Expediente N.º: EXP202304148 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CITIBOX SMART SERVICES, S.L. (en adelante, CITIBOX). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 30 de septiembre de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202304148 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES Contenido ANTECEDENTES.......................................................................................................... 1 HECHOS....................................................................................................................... 7 PRIMERO: Reclamación presentada ante la AEPD................................................... 7 SEGUNDO: Traslado de la reclamación a CITIBOX................................................... 7 TERCERO: No admisión a trámite de la reclamación:............................................... 9 CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y resolución del mismo:................................................................................................. 9 QUINTO: Actuaciones previas de investigación:...................................................... 10 A. Información proporcionada por CITIBOX:......................................................... 10 B. Información aportada por SEUR:...................................................................... 19 SEXTO: Acuerdo de inicio del procedimiento sancionador....................................... 23 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/68 SÉPTIMO: Práctica de pruebas:............................................................................... 24 OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento:......25 NOVENO: Volumen de negocios de CITIBOX:......................................................... 25 HECHOS PROBADOS ............................................................................................... 25 PRIMERO:............................................................................................................... 26 SEGUNDO:.............................................................................................................. 26 TERCERO:............................................................................................................... 26 CUARTO:................................................................................................................. 27 QUINTO:.................................................................................................................. 29 SEXTO:.................................................................................................................... 30 SÉPTIMO:................................................................................................................ 30 OCTAVO:.................................................................................................................. 31 NOVENO:................................................................................................................. 31 DÉCIMO:.................................................................................................................. 32 UNDÉCIMO:............................................................................................................. 33 DUODÉCIMO:.......................................................................................................... 35 DÉCIMOTERCERO:................................................................................................ 37 DECIMOCUARTO:................................................................................................... 37 DECIMOQUINTO:.................................................................................................... 38 DECIMOSEXTO:...................................................................................................... 38 DECIMOSÉPTIMO:.................................................................................................. 38 DECIMOCTAVO:...................................................................................................... 39 DECIMONOVENO:.................................................................................................. 39 VIGÉSIMO:.............................................................................................................. 40 VIGÉSIMO PRIMERO:............................................................................................. 41 VIGÉSIMO SEGUNDO:............................................................................................ 41 VIGÉSIMO TERCERO:............................................................................................ 42 VIGÉSIMO CUARTO:............................................................................................... 42 VIGÉSIMO QUINTO:................................................................................................ 42 VIGÉSIMO SEXTO:.................................................................................................. 43 VIGÉSIMO SÉPTIMO:.............................................................................................. 43 VIGÉSIMO OCTAVO:............................................................................................... 43 VIGÉSIMO NOVENO:.............................................................................................. 45 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/68 TRIGÉSIMO:............................................................................................................ 47 TRIGÉSIMO PRIMERO:........................................................................................... 48 TRIGÉSIMO SEGUNDO:......................................................................................... 48 TRIGÉSIMO TERCERO:.......................................................................................... 49 TRIGÉSIMO CUARTO:............................................................................................ 49 TRIGÉSIMO QUINTO:............................................................................................. 49 TRIGÉSIMO SEXTO:............................................................................................... 49 TRIGÉSIMO SÉPTIMO:........................................................................................... 50 TRIGÉSIMO OCTAVO:............................................................................................. 50 TRIGÉSIMO NOVENO:............................................................................................ 51 CUADRAGÉSIMO:................................................................................................... 51 CUADRAGÉSIMO PRIMERO:................................................................................. 52 CUADRAGÉSIMO SEGUNDO:................................................................................ 53 CUADRAGÉSIMO TERCERO:................................................................................. 53 CUADRAGÉSIMO CUARTO:................................................................................... 54 CUADRAGÉSIMO QUINTO:.................................................................................... 54 CUADRAGÉSIMO SEXTO:...................................................................................... 56 CUADRAGÉSIMO SÉPTIMO:.................................................................................. 57 FUNDAMENTOS DE DERECHO................................................................................. 57 I Competencia.......................................................................................................... 57 II Cuestiones previas................................................................................................ 58 1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1. Conceptos autónomos propios del RGPD................................................................ 58 1.2. Conceptos funcionales de responsable y encargado del tratamiento:...............59 1.3. Responsable del tratamiento............................................................................. 61 1.4. Encargado de tratamiento................................................................................. 62 1.5. SEUR determina los fines y medios del tratamiento:......................................... 63 1.5.1. SEUR decide sobre fines del tratamiento:................................................... 63 1.5.2. SEUR decide sobre los medios del tratamiento.......................................... 65 1.6. CITIBOX es encargado del tratamiento:............................................................ 68 1.7 Conclusión:......................................................................................................... 69 III Alegaciones al acuerdo de inicio.......................................................................... 69 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/68 1.Contestación a la supuesta nulidad de las actuaciones previas de investigación: ............................................................................................................................. 69 2. Contestación a las alegaciones relativas a que CITIBOX tiene la condición de operador postal y que no puede cumplir con las exigencias que el artículo 28 del RGPD impone a los encargados del tratamiento, tanto por su propia operativa y grado de autonomía, como por las obligaciones a las que se ve sometida, en su condición de operador postal................................................................................ 71 IV Obligación incumplida del artículo 6.1 del RGPD. Licitud del tratamiento............80 1. Regulación contenida en el artículo 6.1 del RGPD:.......................................... 80 2.CITIBOX, una vez entregado el paquete de SEUR, trató el número de teléfono de usuarios no registrados procedentes de envíos de SEUR para una finalidad distinta de aquella para la que SEUR le había comunicado dicho dato de carácter personal (entrega del paquete de SEUR)............................................................. 81 V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción.............................................................................................................. 87 VI Propuestas de sanción......................................................................................... 87 Obligación incumplida del artículo 6.1 del RGPD:................................................. 89 VII Adopción de medidas.......................................................................................... 90 PROPUESTA DE RESOLUCIÓN................................................................................. 91 ANEXO........................................................................................................................ 93 HECHOS PRIMERO: Reclamación presentada ante la AEPD Con fecha 26 de febrero de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD) por una posible infracción imputable a CITIBOX SMART SERVICES, S.L. con NIF B98747561 (en adelante, CITIBOX). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que adquirió unos productos a la entidad ***ENTIDAD.1 para que le fueran enviados a su domicilio. Señala que la encargada de la gestión de la entrega fue la entidad SEUR, quien no entregó el paquete del que era destinataria en su domicilio, sino que lo depositó, sin previo aviso y sin su consentimiento, en un buzón de la entidad CITIBOX. SEUR, una vez más sin su consentimiento, facilitó a CITIBOX, entidad con la cual la reclamante no mantiene relación comercial alguna, sus datos personales y de contacto. CITIBOX contactó con ella a través de SMS para la recogida del paquete, (…). La parte reclamante entiende que el proceso señalado supone una actuación contraria a su derecho a la protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/68 Junto al escrito de reclamación, aporta: 1. Justificante de la compra realizada a la entidad ***ENTIDAD.1. En la parte superior de dicho documento figura el siguiente texto: Envío: A.A.A. ***DIRECCIÓN.1 ***LOCALIDAD.1 2. Copia de los escritos remitidos por la reclamante a los Delegados de Protección de Datos de ***ENTIDAD.1, SEUR, así como de las contestaciones recibidas. 3. Copia de un escrito remitido a CITIBOX, respuesta a dicho escrito enviada por una empleada de CITIBOX, copia de un nuevo escrito de la reclamante dirigido a CITIBOX y contestación a este último escrito por parte del DPD de CITIBOX. SEGUNDO: Traslado de la reclamación a CITIBOX De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CITIBOX, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 28 de abril de 2023 tuvo entrada en esta Agencia un escrito de CITIBOX de fecha 27 de abril de 2023, elaborado en respuesta al traslado de la reclamación y solicitud de información, junto con el referido escrito CITIBOX aportó diversa documentación. En dicho escrito, en síntesis, se indicaba lo siguiente: 1. CITIBOX es una empresa dedicada a la instalación y gestión de buzones (…), destinados a la recepción y devolución de paquetería, en las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. (…). (…). 2. SEUR es una de las empresas de mensajería que ha contratado los servicios de CITIBOX. Con fecha 12 de mayo de 2017 firmaron un contrato, con un anexo de fecha 1 de junio de 2018. CITIBOX que afirma que ambas empresas son responsables del tratamiento. 3. La comunidad de propietarios de la urbanización en la que reside la reclamante firmó el ***FECHA.1 un documento en el que autorizaba a CITIBOX a instalar sus buzones en las zonas comunes de la finca. En uno de dichos buzones SEUR depositó el paquete dirigido a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/68 4. CITIBOX destaca que cuando un paquete es depositado en sus buzones por una empresa de mensajería, dicha empresa les comunica el número de teléfono a los meros efectos de que puedan contactar con el destinatario para facilitar su recogida. Si el destinatario no es usuario de CITIBOX, se contacta con él por medio de un SMS, informándole de la llegada del paquete y de las opciones que tiene para retirarlo. CITIBOX indica que existen dos vías:  (…).  (…). La reclamante optó por esta segunda opción. 5. El ***FECHA.2 el teléfono de asistencia de CITIBOX recibió una llamada del marido de la reclamante. Posteriormente, atendió la llamada la propia reclamante, (…). 6. El 18 de diciembre de 2022 la reclamante se puso en contacto con el servicio de atención al cliente de CITIBOX alegando que, a su juicio, se había producido una comunicación ilegal de sus datos personales por parte de SEUR, dado que no existía una relación previa entre ella y CITIBOX. El 20 de diciembre el servicio de atención al cliente de CITIBOX envió un escrito de respuesta. El 20 de diciembre se recibió un nuevo escrito de la reclamante manifestando su disconformidad con la respuesta recibida. Dicho escrito fue respondido por el DPD de CITIBOX. 7. CITIBOX afirma haber tratado los datos personales de la reclamante en base a su interés legítimo en cumplir las obligaciones adquiridas con SEUR (…). Asimismo, señala que (…). TERCERO: No admisión a trámite de la reclamación: En fecha 22 de mayo de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la reclamante, en fecha 22 de mayo de 2023, según consta acreditado en el expediente. CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y resolución del mismo: Con fecha (...) la reclamante interpuso un recurso de reposición, a través del Registro Electrónico de la AEPD, contra la resolución de la Agencia dictada en fecha 22 de mayo de 2023. En fecha 2 de octubre de 2023 se remitió el recurso interpuesto a CITIBOX en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/68 y justificantes que estimase procedentes, lo que se verificó mediante escrito de respuesta de fecha 16 de octubre de 2023, presentado en la AEPD el día 17 de octubre. Con fecha 7 de diciembre de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, por la que se acordaba estimar el recurso de reposición interpuesto por la reclamante contra la resolución de la Agencia dictada en fecha 22 de mayo de 2023 y, admitir a trámite la reclamación formulada con el fin de realizar actuaciones previas de investigación, conforme a lo dispuesto en el artículo 67 de la LOPDGDD, y valorar el posible incumplimiento de la normativa en materia de protección de datos. QUINTO: Actuaciones previas de investigación: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de las actuaciones previas de investigación, se tuvo conocimiento de las siguientes cuestiones: A. Información proporcionada por CITIBOX: 1. Servicio prestado por CITIBOX: “CITIBOX se dedica a la instalación y gestión de buzones destinados a la recepción y devolución de paquetería y ubicados las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. (…). (…).” 2. Relación entre SEUR y CITIBOX. Base Jurídica del tratamiento alegada: “CITIBOX tiene suscrito un contrato con SEUR para la “prestación de servicios de recepción de paquetería en taquillas (…)”, cuyo objeto es “(…)”. Obra copia del contrato en el presente expediente. Indican que en el anexo de Protección de Datos firmado (cuya copia también obra en el expediente) se recoge que el contrato implica una comunicación de datos por ambas partes, y que cada una gestionará el tratamiento de los datos personales de los interesados para la ejecución de sus propias finalidades. Manifiestan que, en consecuencia, ambas partes ostentan la condición de responsables del tratamiento, señalando que: 1. (…); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/68 2. (…). En el anexo de protección de datos se verifica que se cita: "(…). (…): (…) (…): - (…). - (…). (…) - (…). - (…)”. Los representantes de CITIBOX han manifestado que la posición jurídica de las distintas partes implicadas, en relación con los paquetes, se enmarca en la figura jurídica del depósito, prevista en el art. 1766 del Código Civil, que reza como sigue: “El depositario está obligado a guardar la cosa y restituirla, cuando le sea pedida, al depositante, o a sus causahabientes, o a la persona que hubiese sido designada en el contrato.” A los efectos anteriores: 1. (…); 1. (…); 3. (…). Indican que por ello la base jurídica para el tratamiento de datos por parte de CITIBOX es su interés legítimo en cumplir las obligaciones adquiridas con (…) (SEUR).” 3. Relación entre CITIBOX y la Comunidad de Propietarios donde reside la reclamante: “CITIBOX indica que firmó un documento con la Comunidad de Propietarios en la que reside la reclamante, con fecha ***FECHA.1, en el que se autorizaba la instalación de los buzones de CITIBOX en las zonas comunes de la finca. Indican que, en virtud de este acuerdo, cuya copia obra en el presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/68 expediente, CITIBOX instaló los mencionados buzones. Manifiestan que fue en uno de estos buzones, ubicado en el vestíbulo del edificio, donde SEUR depositó el paquete del que trae causa la presente reclamación. Se comprueba que CITIBOX aporta copia de un documento suscrito por la Comunidad de Propietarios sita en una determinada calle (misma en la que reside la reclamante) que comprende los números o portales “***PORTALES. A”. Si bien la reclamante reside en el XX, ella misma cita en otros documentos a su Comunidad de Propietarios como que comprende los portales “***PORTALES. B” (se trata de una Urbanización), documento tales como su reclamación ante CITIBOX. El documento se limita a una autorización de instalación de los buzones y unas condiciones particulares que no incluyen información ni estipulación alguna sobre tratamientos de datos personales de los destinatarios de los paquetes.” (subrayado de la AEPD). 4. Procedimiento seguido por CITIBOX para la recogida de paquetes: “Cuando un paquete es depositado en los buzones de CITIBOX por una empresa de mensajería, ésta les comunica un número de teléfono para contactar con el destinatario, al objeto que proceda a su recogida. Si el destinatario no es un usuario de CITIBOX, proceden a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo. CITIBOX ofrece a los destinatarios de los paquetes dos vías diferentes: - (…). - (…). (subrayado de la AEPD). Asimismo, dicho informe indica cómo se produjo la entrega del paquete a la reclamante: “Consta registrado en los sistemas de CITIBOX que el ***FECHA.2 (…), el mensajero de SEUR depositó en el buzón de CITIBOX de la Comunidad de Propietarios citada un paquete para la reclamante. CITIBOX envió un SMS al número de la reclamante, con el siguiente contenido: “(…)”. CITIBOX indica que su teléfono de asistencia devolvió una llamada previa a un particular que decía ser el marido de una persona que había recibido un SMS de CITIBOX. Dicho mensaje le informaba sobre el depósito de un paquete en el buzón instalado en su edificio, y sobre la posibilidad de retirarlo. (…). Aportan grabación de la llamada, se comprueba que (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/68 5. Bloqueo del número de teléfono de la reclamante por parte de CITIBOX y ejercicio de derecho de oposición por parte de la reclamante: “Han aportado impresión de pantalla donde se muestra el bloqueo del número de la reclamante, apareciendo en este registro el número de teléfono, así como el nombre y apellidos de la reclamante. Los representantes de CITIBOX han rectificado posteriormente la información indicando que esta impresión de pantalla aportada corresponde la captura de los datos bloqueados, a los efectos del artículo 32 de la LOPDGDD. La causa del error fue una simple confusión terminológica entre “Usuarios bloqueados” (entendidos como aquellos incluidos en la lista de exclusión) y “Usuarios cuyos datos han sido suprimidos, pero se conservan bloqueados a los efectos del art. 32 de la LOPDGDD”. Indican que han facilitado los segundos, en lugar de los primeros. Han aportado también el registro de la lista de exclusión, donde solo consta el teléfono de la reclamante, no su nombre y apellidos. Cabe indicar que consta que el (...), la reclamante ejercitó su derecho de oposición al tratamiento de sus datos personales por parte de CITIBOX. La entidad atendió el citado derecho el 27 de junio siguiente indicando que, en aplicación de lo previsto en el artículo 17.1.

1. c)del RGPD, suprimió todos sus datos, indicando que en la actualidad únicamente se conservan bloqueados, a los efectos previstos en el artículo 32 de la LOPDGDD. Aportan la respuesta a la reclamante.” 6. Información de CITIBOX relativa a la recogida de paquetes y política de privacidad de dicha empresa: “El enlace ***URL.1 que aparece en el mensaje SMS remitido a la reclamante se ha comprobado que redirige a ***URL.2 donde se informa al usuario para que pueda optar por una de las dos vías de recogida: “(…).” Se comprueba que en la URL ***URL.3 se publica la siguiente información: “(…). (…). (…). (…). Citibox trata sus datos personales con los fines estipulados a continuación: “(…) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/68 (…). (…) (…) (…). […] (…)”. (…). Fecha de actualización: (…).” “(…)” 7. Otra documentación aportada por CITIBOX: “CITIBOX ha aportado extracto del registro de actividades de tratamiento (RAT), extracto del análisis de riesgo de los tratamientos de la empresa, y un análisis de ponderación del interés legítimo, que (…). (…).” (subrayado de la AEPD). 8. Datos tratados de los destinatarios no registrados (también denominados “(…)” y caso concreto de la reclamante: “Realizado un nuevo requerimiento de información a CITIBOX para aclarar los datos personales tratados de los destinatarios no registrados en CITIBOX, esta entidad ha manifestado sobre los datos reflejados en el RAT que: - (…). - (…). - (…). En el caso concreto de la reclamante, los representantes de CITIBOX han manifestado que (…). Requerido CITIBOX para aportar registro de los datos comunicados por SEUR (…).” (subrayado de la AEPD). 9.Ponderación del interés legítimo efectuada por CITIBOX: “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/68 (…): 1. (…). 2. (…). (…). (…). (…).” (subrayado de la AEPD). B. Información aportada por SEUR: 1. Sobre el procedimiento de utilización de los servicios de CITIBOX: “SEUR ha manifestado, sobre el procedimiento de utilización de los servicios de CITIBOX, que mantiene una relación contractual con dicha empresa para la prestación de servicios de recepción, custodia y entrega de las mercancías depositadas en los lockers de CITIBOX siguiendo el procedimiento acordado por las partes. (…).” (subrayado de la AEPD). 2. Historia del envío realizado a la reclamante: “Solicitada la historia del envío con los intentos de entrega en el domicilio de la reclamante previos al depósito en el buzón de CITIBOX, los representantes de SEUR indican que “se ha procedido a investigar internamente y recuperar toda la información relativa a dicho envío. No obstante, no ha sido posible obtener evidencias de los intentos de entrega en el domicilio de la reclamante, pese a que (…).” (subrayado de la AEPD) 3. Condiciones de entrega de SEUR puestas en conocimiento de los destinatarios de paquetes entregados por SEUR: “Solicitada información sobre las condiciones de entrega de SEUR que se pusieron en conocimiento de la reclamante, en concreto con relación a CITIBOX, los representantes de SEUR indican que la entidad informa a los destinatarios sobre la entrega del envío mediante un correo electrónico donde se le remite a la web de SEUR, donde se tienen publicadas las condiciones de entrega, concretamente en el siguiente enlace ***URL.4. Los representantes de SEUR manifiestan que (…).” (subrayado de la AEPD). 3.1. (…): “ (…): (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/68 (…). (…). 4. Datos tratados de la reclamada: “Ante el requerimiento de esta Agencia sobre todos los datos relativos a la reclamante y de su envío, facilitados a CITIBOX para proceder a la entrega o puesta a disposición del paquete a la destinataria, indican que para cumplir con el protocolo explicado, ambas partes se cederán los datos mínimos para efectuar la entrega del paquete al destinatario, así como para poder acreditar la recogida del mismo. Han indicado que en concreto, SEUR comunicó a CITIBOX los siguientes datos relativos a la reclamante: - (…) - (…) Igualmente, SEUR comunica a CITIBOX los siguientes datos relativos al envío: - (…) - (…). No obstante, debido a las discrepancias entre las manifestaciones iniciales sobre los datos personales de la reclamante que fueron comunicados por SEUR a CITIBOX (…) con respecto a las evidencias encontradas sobre los datos tratados por CITIBOX (…), se ha vuelto a requerir a SEUR para que aclare y aporte todos los registros de datos comunicados, manifestando los representantes de la entidad que en el presente caso objeto de reclamación, (…).” (subrayado de la AEPD). 5. Sobre la relación SEUR-CITIBOX: “SEUR aporta el contrato suscrito con CITIBOX formalizado el 12 de mayo de 2017, y la Adenda formalizada el 1 de junio de 2018, con relación a la comunicación de los datos personales derivados de la prestación del servicio. Ambos documentos ya fueron aportados por CITIBOX y citados más arriba en el presente informe. Solicitada documentación que acredite la autorización previa por escrito, específica o general, de ***ENTIDAD.1 para la subcontratación con CITIBOX de la entrega de los paquetes de sus clientes, indican que el servicio prestado por SEUR a ***ENTIDAD.1 requiere la comunicación de datos de los destinatarios, regulándose como una cesión de datos y no como un encargo de tratamiento, siendo ambos responsables del tratamiento, por lo que no es de aplicación una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/68 autorización de ***ENTIDAD.1 para la subcontratación por parte de SEUR a CITIBOX. ***ENTIDAD.1 contestó a la reclamante, contestación que aporta junto a su reclamación, que: “(…)”. 6. Sobre la prestación de servicios de mensajería y la Protección de Datos: “Manifiestan que la Agencia Española de Protección de Datos (AEPD) se ha pronunciado en varios informes sobre el rol de responsable del tratamiento de la empresa de mensajería. En concreto, destacan un Informe del Gabinete Jurídico (0064/2020) en el que la consultante, una empresa de transporte de documentos, requiere para prestar sus servicios los datos del cliente, los datos de origen y de destino que deben ser comunicados por los clientes. Indican que la AEPD entiende que en estos casos no se produce una actuación como encargado del tratamiento, sino que se incorporan los datos personales recabados para sus propios fines, y es la empresa quien decide la forma de llevar a cabo el servicio de transporte encomendado. En definitiva, no existiría un encargo del tratamiento sino una cesión de datos, ya que los datos transmitidos son incorporados en la base de datos de la entidad receptora (empresa de mensajería) para que esta proceda a su tratamiento para los fines que le son propios hasta su entrega al destinatario. Manifiestan que además la ley parece establecer unas obligaciones específicas en materia de protección de datos al operador postal que supondrían una justificación más para considerarle Responsable del Tratamiento de los datos personales. Indican que en este sentido, la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal, establece unas obligaciones respecto del envío, que incluye tanto la confidencialidad de su contenido, en un sentido amplio, como la protección de los datos personales que se han confiado al operador postal para la realización de su labor. Manifiestan que si fuera un verdadero encargado del tratamiento dichas obligaciones de protección de datos habría que imponérselas al remitente, que sería quien le ha realizado el encargo de transportar el documento al destinatario.” (subrayado de la AEPD). En la parte final del informe de actuaciones previas de investigación se destaca que: “Se ha evidenciado que el paquete de ***ENTIDAD.1 para la reclamante fue repartido por SEUR que lo depositó en un buzón de CITIBOX ubicado en la urbanización donde reside la reclamante. (…) SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de recepción de paquetería en taquillas (…) de CITIBOX y en la documentación contractual se configuran ambas entidades como responsables del tratamiento, no existiendo por tanto contrato de encargado de tratamiento entre ambas entidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/68 CITIBOX remite a un Informe del Gabinete Jurídico de esta Agencia de número (0064/2020). CITIBOX ha declarado que la base jurídica para el tratamiento de los datos personales de los destinatarios de los paquetes es su interés legítimo para cumplir las obligaciones contractuales adquiridas con SEUR. Aportan documento de análisis de ponderación del interés legítimo. (…). Se ha evidenciado que la reclamante recogió el paquete mediante llamada telefónica, sin descargarse la app de CITIBOX ni registrarse. SEUR ha manifestado que comunica a CITIBOX únicamente el teléfono de contacto del destinatario, único dato necesario para las gestiones, (…). (…). Durante las presentes actuaciones se ha evidenciado que CITIBOX ha tratado, además del teléfono, el nombre completo y la calle donde reside la reclamante, por lo que se han remitido requerimientos de información adicionales para aclarar lo sucedido, concluyéndose que (…). (…). Con posterioridad la entidad ha bloqueado los datos de la reclamante como resultado de un ejercicio de su derecho de cancelación. Así mismo, CITIBOX (…).” (subrayado de la AEPD). SEXTO: Acuerdo de inicio del procedimiento sancionador Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción - Del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. - Del artículo 14 del RGPD, relativa al caso concreto de la reclamante, tipificada en el artículo 83.5 del RGPD. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones, en el que formulaba alegaciones al acuerdo de inicio y solicitaba que se abriera un periodo probatorio en el que se unieran al procedimiento los documentos que acompañaban a su escrito de alegaciones al acuerdo de inicio. SÉPTIMO: Práctica de pruebas: Con fecha 21 de mayo de 2025, el instructor del procedimiento acordó la apertura de un periodo de práctica de pruebas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/68 A. Se dieron por reproducidos, a efectos probatorios, los siguientes documentos: I. La reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, así como los documentos obtenidos y generados durante la fase de actuaciones previas de investigación, en particular, el informe de actuaciones previas de investigación, que forman parte del procedimiento ***PROCEDIMIENTO.1. II. Las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por CITIBOX SMART SERVICES, S.L., y la documentación que a ellas acompaña. De esta manera, se ha atendido la solicitud formulada por CITIBOX en el escrito de alegaciones al acuerdo de inicio de 9 de diciembre de 2024, apartado “Proposición de prueba”. B. Se practicaron las siguientes pruebas en relación con CITIBOX: 1. Se requirió a CITIBOX SMART SERVICES, S.L. para que, en un plazo de ocho días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito de práctica de pruebas de fecha 21 de mayo de 2025, aportara la siguiente información y documentación: I. En relación con el envío que había dado lugar a los hechos examinados en este procedimiento sancionador: - Aportara el documento que sirviera como prueba de entrega del paquete destinado a A.A.A., que CITIBOX entregó a SEUR. - Indicara la fecha a partir de la cual el número de teléfono de A.A.A. figuraba en la lista de exclusión de CITIBOX, señalando si dicho número de teléfono continuaba figurando en la actualidad en dicha lista. Aportando acreditación documental. - Aportara documento relativo al ejercicio del derecho de oposición, derecho de cancelación o de supresión por parte de A.A.A. ante CITIBOX. II. Aportará información adicional sobre el funcionamiento sobre la lista de exclusión de CITIBOX. (…). III. Aclarar si el personal de CITIBOX estaba en algún momento en contacto físico con los paquetes que depositan los repartidores de SEUR en los buzones de CITIBOX (pudiendo manipularlos o visualizando el contenido de la etiqueta relativa al envío, que figura en la cubierta de los mismos). El escrito de CITIBOX en respuesta a dicho requerimiento fue presentado en la AEPD el día 3 de junio de 2025. Las respuestas obtenidas se reflejan en los hechos probados cuarto, trigésimo, cuadragésimo primero, cuadragésimo segundo, cuadragésimo tercero y cuadragésimo cuarto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/68 OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: NOVENO: Volumen de negocios de CITIBOX: De acuerdo con información recogida de la herramienta AXESOR, la entidad CITIBOX es una empresa constituida en el año 2015, y con un volumen de negocios de 2.102.021 euros en el año 2022. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS A los efectos de facilitar la lectura de los hechos probados consignados en la propuesta de resolución indicaremos que:        Del hecho probado primero al undécimo se consignan los hechos probados relativos al envío de un paquete del que era responsable SEUR a la reclamante y al intercambio de correos entre la reclamante y CITIBOX en relación con dicho envío. El hecho probado duodécimo consigna el ejercicio del derecho de oposición al tratamiento de sus datos por parte de CITIBOX por parte de la reclamante. Del hecho probado decimotercero al vigésimo se consignan los hechos probados relativos a CITIBOX. Del hecho probado vigésimo primero al trigésimo tercero se consignan los hechos probados que hacen referencia al contrato de prestación de servicios suscrito entre SEUR y CITIBOX y a cómo se presta dicho servicio por parte de CITIBOX. El hecho probado trigésimo cuarto consigna que SEUR y CITIBOX no celebraron un contrato de encargo de tratamiento. El hecho probado trigésimo quinto consigna que CITIBOX figuraba en el listado de operadores postales inscritos Registro general de empresas prestadoras de servicios postales como operador tipo A. Del hecho probado trigésimo sexto a cuadragésimo séptimo se consignan los hechos probados relacionados con la lista de exclusión de CITIBOX. PRIMERO: El ***FECHA.3 la reclamante adquirió unos productos en la página web de ***ENTIDAD.1 e indicó como lugar de entrega del pedido su domicilio. Junto con el escrito de reclamación de 26 de febrero de 2023, la reclamante ha aportado un correo electrónico procedente de la empresa ***ENTIDAD.1 en el que se indica que el pedido está en proceso. Dicho documento refleja que pedido se realizó el día ***FECHA.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/68 En el documento aparece el logo de ***ENTIDAD.1 y bajo el mismo se visualiza el siguiente texto: “(…). (…).” En relación con los datos personales relativos al envío, dicho documento indica: “Envío: A.A.A. ***DIRECCIÓN.1 ***LOCALIDAD.1” SEGUNDO: La empresa SEUR GEOPOST, S.L. (SEUR) era responsable de la entrega del paquete. Así se refleja en el correo electrónico de fecha 27 de enero de 2023, que envió la Oficina de Privacidad de ***ENTIDAD.1 a la reclamante: “***ENTIDAD.1 contrata a SEUR para sus servicios de entrega y solo comparte los datos pertinentes para garantizar que la entrega pueda efectuarse. SEUR es responsable de la entrega” (el subrayado es nuestro) TERCERO: El repartidor de SEUR depositó el paquete en un buzón (…) o taquilla (…) que la empresa CITIBOX había instalado en la Calle (…) En el escrito elaborado por CITIBOX en contestación al traslado de la reclamación y solicitud de información de 27 de abril de 2023, se indica: “Volviendo al caso que nos ocupa, todo el proceso quedó debidamente registrado en los sistemas de Citibox; se adjunta captura de (…), a los oportunos efectos, como documento núm. 5. En ellos se aprecia: 1. Que el paquete fue depositado en el buzón (…) el ***FECHA.2, a las (…), por un usuario perteneciente al transportista Seur, S.A., y dirigido al teléfono ***TELÉFONO.1;” El documento 1, que acompaña al escrito de CITIBOX de 29 de febrero de 2024, elaborado por CITIBOX en contestación a un requerimiento de información de la SGID de 14 de febrero de 2024, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador e incluye en la Imagen 1 (…) del depósito del paquete. Junto a dicha imagen CITIBOX figura el siguiente comentario: “ (…).” Los buzones (…) o taquillas (…) de CITIBOX estaban instalados en el interior del portal de la Calle (…). CUARTO: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/68 (…). “(…). (…): (…) (…): (el destinatario del paquete) (…). (…). (…). (…): (…). (…). (…). (…). En el caso de la reclamante, el documento 1, que acompaña al escrito de CITIBOX de 29 de febrero de 2024, elaborado por CITIBOX en contestación a un requerimiento de información de la SGID de 14 de febrero de 2024, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador, incluye en la Imagen 1 (…). El comprobante se generó el ***FECHA.2 a las (…) El texto que figura (…) indica: “(…). (…). (…) (…) (…) (…) (…)” En fase de práctica de prueba, al solicitar la AEPD a CITIBOX el documento que sirviera como prueba de entrega del paquete destinado a la reclamante, que CITIBOX entregó a SEUR, CITIBOX ha aportado, junto con su escrito de fecha 3 de junio de 2025, un justificante de entrega a efectos probatorios que no obraba en el expediente. CITIBOX señala que dicho documento no tiene por objeto justificar la recogida del paquete por parte de la reclamante (destinataria del envío), sino el depósito del paquete en el buzón por parte del mensajero de SEUR. En la parte superior de dicho documento figura el nombre de CITIBOX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/68 A continuación, aparece la siguiente información: “(…) (…) (…) (…) (…) (…) (…) (…). (…): “(…)” QUINTO: Tras depositarse el paquete en el buzón (…) de CITIBOX, la reclamante recibió en su teléfono móvil un mensaje SMS procedente de CITIBOX con el siguiente texto: “(…)” En relación con el mensaje SMS enviado a la reclamante, en el escrito elaborado por CITIBOX en contestación al traslado de la reclamación y solicitud de información de 27 de abril de 2023, se indica: “Volviendo al caso que nos ocupa, todo el proceso quedó debidamente registrado en los sistemas de Citibox; se adjunta captura de pantalla (…), a los oportunos efectos, como documento núm. 5. En ellos se aprecia: 1. Que el paquete fue depositado en el buzón (…) el ***FECHA.2, a las (…), por un usuario perteneciente al transportista Seur, S.A., (…); 2. (…): “(…)” El documento 1, que acompaña al escrito de CITIBOX de 29 de febrero de 2024, elaborado por CITIBOX en contestación a un requerimiento de información de la SGID de 14 de febrero de 2024, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador, incluye (…). Junto a dicha imagen figura el siguiente comentario de CITIBOX: (…). SEXTO: Cuando una empresa de mensajería deposita un paquete en los buzones (…) de CITIBOX y la persona física destinataria del paquete no es cliente de CITIBOX (…), CITIBOX la considera un usuario no registrado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/68 Este era el caso de la reclamante, que no tenía relación comercial ninguna con CITIBOX y no deseaba darse de alta (…). SÉPTIMO: La reclamante abrió la taquilla de CITIBOX, en la que estaba depositado el paquete, tras una conversación telefónica con un empleado de CITIBOX. La grabación de la conversación mantenida entre el empleado de CITIBOX y la reclamante forma parte del expediente. En dicha conversación:     (…). (…). (…). (…). El informe de actuaciones previas de investigación en relación con la grabación de la llamada señala: “(…).” OCTAVO: Tras la recepción del paquete la reclamante dirigió sendos escritos al DPO de ***ENTIDAD.1, al DPO de SEUR y al DPD de CITIBOX. Dichos documentos acompañan al escrito de reclamación. El texto de los mensajes era muy similar. Entre otros aspectos, la reclamante destacaba que la entrega del paquete en el buzón (…) de CITIBOX se había producido sin su autorización. Asimismo, señalaba que no tenía relación comercial alguna con la empresa CITIBOX. También hacía referencia a una cesión ilegal de sus datos personales por parte de SEUR a CITIBOX. NOVENO: Una empleada de CITIBOX envió a la reclamante un correo electrónico el 20 de diciembre de 2022 a las (…).     Entre otros aspectos, informaba a la reclamante del servicio que prestaba CITIBOX. Le indicaba cómo podían recoger los paquetes depositados (…) (este era el caso de la reclamante). En el caso de (…), únicamente trataban (…) con el fin de proceder a comunicar al destinatario la llegada del paquete. Si no deseaba volver a usar los buzones que había instalado CITIBOX en su comunidad no tenía más que indicarlo y no volvería a entregarse ningún paquete (…). El texto del correo electrónico es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/68 “(…), (…). (…). (…). (…). (…).” DÉCIMO: La reclamante contestó a la empleada de CITIBOX con un correo electrónico el 20 de diciembre de 2022, a las (…). En dicho mensaje señalaba lo siguiente: “Estimada (…), Te agradezco tu contestación, si bien hubiera esperado contestación de vuestro DPO, pues es quien tiene esa responsabilidad según la normativa vigente. Tras leer tu mensaje, veo que Citibox parte de una premisa errónea: el hecho de que una comunidad de vecinos apruebe la instalación de buzones de Citibox no supone, en absoluto, que todos sus residentes deseen que sus paquetes sean depositados en dichos buzones. Eso tan solo implica que existe esa posibilidad adicional de entrega, junto a las demás existentes (ej. en el propio domicilio del residente o, en nuestro caso, a través del servicio de portería 24 horas de la comunidad). En ningún caso, la autorización de instalación de buzones en una Comunidad puede interpretarse como una autorización de todos sus residentes para que se almacenen o traten sus datos personales, autorización que entiendo recabáis (…) en el caso de los usuarios que deciden utilizarla. Por ello, el mero hecho de que almacenéis (…) (posiblemente asociado a un paquete con nombre, apellidos y dirección) y me enviéis una comunicación (…) es irregular e incumple la legislación vigente de protección de datos. Citibox debería rechazar por defecto cualquier intento de un servicio de mensajería de entregar en un locker de Citibox un paquete no asociado a algún usuario de Citibox. Sin embargo, lo que proponéis es lo contrario y no deja de resultar absurdo. Es decir, que yo os tenga que indicar que no quiero usar el servicio Citibox y que para ello os tenga que comunicar (…) no tiene ningún sentido desde la perspectiva de la protección de datos, puesto que precisamente NO quiero que almacenéis dichos datos. El resto de comentarios y explicaciones, los agradezco ;), pero no tienen que ver con la normativa de protección de datos, sino con el modelo de negocio de Citibox. En el teléfono que indicas no contesta nadie. Yo tuve que intentarlo en innumerables ocasiones, sin éxito. Finalmente solicité que me fuera devuelta la llamada a través de vuestra web y tardaron más de 30' en llamarme, momento en el que ya estaba en casa, sin ropa de calle. Atendió vuestra llamada mi marido y, si no recuerdo mal fue grabada, por lo que nuevamente se almacenaron datos personales...Un sinsentido... C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/68 En definitiva, creo que es muy sencillo entender que, si un individuo no (…), posiblemente es que no quiere utilizar vuestro servicio (que no dudo puede ser muy útil para otras personas). Por todo lo anterior, en los próximos días procederé a interponer una reclamación ante la Agencia de Protección de Datos con el fin de que nos aclare si el modo de proceder de Citibox al utilizar los datos (…) de individuos (…) es legal. Yo creo que es manifiestamente ilegal. Agradeciéndote tu atención, atentamente, A.A.A.” UNDÉCIMO: El Delegado de Protección de Datos de Citibox envió a la reclamante un mensaje el 23 de diciembre de 2022 a las (…). “ (…), (…). (…). (…). (…): • (…); • (…); • (…). (…). (…). (…),” (subrayado de la AEPD). El DPD de CITIBOX en su escrito, entre otros aspectos, señala:    (…). (…). (…). DUODÉCIMO: (...) la reclamante ejerció el derecho de oposición al tratamiento de sus datos personales por parte de CITIBOX. Citibox ha aportado dicho escrito, en contestación al escrito de práctica de prueba de 21 de mayo de 2025 de esta Agencia. En el escrito por el que la reclamante ejerció el derecho de oposición ante CITIBOX, se indica: “DATOS DEL RESPONSABLE DEL TRATAMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/68 Citibox Smart Services, S.L., (en adelante, Citibox) con NIF B98747561 y domicilio en (...). DATOS DEL AFECTADO (…), DNI (…), con domicilio en (…), con correo electrónico (...), por medio del presente escrito ejerce el derecho de oposición previsto en el artículo 21 del Reglamento UE 2016/679, General de Protección de Datos (RGPD). SOLICITA La OPOSICIÓN al tratamiento de sus datos personales por parte de ese Responsable, oposición que se ejerce ante cualquier posible tratamiento, presente o futuro, oponiéndose expresamente a que sus datos personales figuren en “listas de exclusión” del Responsable para que en el futuro no puedan depositarse paquetes dirigidos a la abajo firmante en los buzones de Citibox por parte de ninguna empresa de mensajería. Se realiza esta petición ante el convencimiento de que no existe interés legítimo alguno por parte de Citibox –empresa con la que jamás ha tenido relación alguna, ni desea tenerla—para el tratamiento de dichos datos, debiendo en todo caso limitarse el tratamiento hasta que se obtenga respuesta del ejercicio de este derecho. Todo ello, sin perjuicio de que corresponde al Responsable del tratamiento --en caso de negarse a la oposición solicitada-- acreditar motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades de la afectada, teniendo en cuenta que esta acredita como situación personal para oponerse al tratamiento de sus datos personales que jamás ha tenido relación alguna con ese Responsable y que este dispone de sus datos personales por vía de una cesión ilegal de los mismos por parte de la empresa de mensajería SEUR. Solicita igualmente que sea atendida su solicitud en los términos anteriormente expuestos en el plazo de un mes. En Madrid, a (...).” CITIBOX ha aportado, junto con su escrito de 29 de febrero de 2024 (Documento núm. 2) un correo electrónico enviado a la reclamante el (…). Con el Título: “(…)” En el que se indica: “(…), (…). (…). (…). (…)” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/68 DÉCIMOTERCERO: CITIBOX es una empresa dedicada a la instalación y gestión de buzones destinados a la recepción y devolución de paquetería ubicados en las zonas comunes de edificios. Los buzones de CITIBOX (…). Así, se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, en el que se indica: “0.1. Acerca de Citibox Citibox es una empresa española dedicada a la instalación y gestión de buzones, destinados a la recepción y devolución de paquetería, en las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. Estos buzones (…).” (subrayado de la AEPD). Esta misma información se refleja en el informe de actuaciones previas de investigación de 5 de abril de 2024. DECIMOCUARTO: CITIBOX señala que su modelo de negocio consiste en (…). (…). En este sentido se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, en el que se señala: “(…) El modelo de negocio de la empresa (…). DECIMOQUINTO: El uso de los buzones (…) de CITIBOX (…). En relación con esta cuestión, el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, indica: “(…).” Asimismo, el informe de actuaciones previas de investigación de 5 de abril de 2024, señala: “Estos buzones cuentan con (…), de tal forma que solo son accesibles (…).” DECIMOSEXTO: SEUR remunera a CITIBOX el servicio de recepción de los envíos de paquetería de SEUR en los buzones (…) de CITIBOX. En este sentido la cláusula quinta denominada “(…)” del contrato de prestación de servicios de recepción de paquetería en taquillas (…) celebrado por SEUR y CITIBOX el 12 de mayo de 2017 (en adelante, contrato de 12 de mayo de 2017) dispone: “(…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/68 (…).” DECIMOSÉPTIMO: Cuando un paquete es depositado en los buzones de CITIBOX por una empresa de mensajería (en este caso, SEUR), dicha empresa comunica a CITIBOX el número de teléfono del destinatario. CITIBOX afirma que dicha comunicación del dato personal (número de teléfono del destinatario) se produce a los meros efectos de que CITIBOX pueda contactar con el destinatario del paquete (en este caso, la reclamante) para facilitar la recogida del paquete. Así lo refleja CITIBOX en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, señala: “(…) cuando un paquete es depositado en nuestros buzones por una empresa de mensajería, esta nos comunica un número de teléfono a los meros efectos de que podamos contactar con el destinatario, para facilitar su recogida.” (subrayado de la AEPD). En este mismo sentido, el DPD de CITIBOX indicó a la reclamante en su correo electrónico de 23 de diciembre de 2022 lo siguiente (el correo se reproduce en el hecho probado undécimo): “Como bien le ha indicado mi compañera (…), los únicos datos que trata de Vd. Citibox son sus datos identificativos y de contacto, a los únicos efectos de advertirle de que un paquete ha sido depositado en uno de nuestros buzones y asistirle a efectos de su apertura y entrega.” DECIMOCTAVO: Si el destinatario del paquete es un usuario no registrado en CITIBOX (caso de la reclamante), CITIBOX le envía un mensaje SMS informándole de la llegada del paquete y de las opciones que tiene para retirarlo. CITIBOX lo indica en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD: “(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo.” (subrayado de la AEPD). DECIMONOVENO: CITIBOX ofrece dos vías diferentes para que los usuarios no registrados retiren el paquete que se encuentra depositado en sus buzones (…). Opción 1: El (…). Se convierte en cliente de CITIBOX. A partir de ese momento, todas las entregas y procesos de comunicación se gestionarán (…). Opción 2: (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/68 La reclamante retiró el paquete utilizando esta segunda opción tal y como refleja la grabación, que forma parte del expediente, a la que hace referencia el hecho probado séptimo. CITIBOX, explica estas dos opciones de entrega en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD: “(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo. Así, Citibox ofrece dos vías diferentes:  (…)  (…) optó por esta segunda opción, que (como acredita la llamada) funcionó con normalidad,” (subrayado de la AEPD). El escrito de CITIBOX de 27 de abril de 2023 incluye dos imágenes que explican las dos formas de recoger los paquetes en los buzones de CITIBOX. La imagen explicativa de la opción de abrir el buzón (…) (empleada por la reclamante), también figura en la “Diligencia info CITIBOX”, que contiene varias comprobaciones realizadas por el Inspector en la página web de CITIBOX con fecha 7 de febrero de 2024. VIGÉSIMO: El apartado de política de privacidad de la página web de CITIBOX indicaba que en el caso de usuarios no registrados sus datos personales serían tratados con la única finalidad de gestionar la recogida del paquete. En este sentido, la diligencia denominada “Diligencia info CITIBOX” de la SGID, refleja una serie de comprobaciones realizadas en la página web de CITIBOX a fecha 7 de febrero de 2024, reproduce el texto capturado de dicha página web: “(…) (…). (…).” (subrayado de la AEPD). VIGÉSIMO PRIMERO: Descripción de la relación entre SEUR y CITIBOX, aportada por SEUR a la SGID, en contestación a un requerimiento de información. SEUR indica que las entregas en los lockers de CITIBOX siguen lo establecido en las condiciones de transporte de SEUR, disponibles en la página web de SEUR. En el escrito de 4 de enero de 2024, elaborado por CITIBOX en contestación al requerimiento de la SGID de fecha 19 de diciembre de 2023, se indica: “(…). (…). (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/68 VIGÉSIMO SEGUNDO: CITIBOX y SEUR suscribieron un contrato de prestación de servicios de recepción de paquetería en taquillas (…) el 12 de mayo de 2017 (en adelante, contrato de 12 de mayo de 2017). El referido contrato ha sido aportado por CITIBOX, junto con su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD como Documento 1. Asimismo, dicho contrato ha sido aportado con la denominación de anexo II por SEUR, junto con su escrito de 4 de enero de 2024, elaborado en contestación al requerimiento del Inspector de 19 de diciembre de 2023. En el mismo no se hace referencia alguna a que se trate de un contrato de encargo de tratamiento, ni incluye el contenido previsto en el artículo 28 del RGPD. VIGÉSIMO TERCERO: En el contrato de 12 de mayo de 2017 SEUR manifiesta, en desarrollo de sus servicios logísticos, su interés (…). Así se refleja en el punto I de dicho Contrato: “(…) (…).” (Subrayado de la AEPD). VIGÉSIMO CUARTO: A través del contrato de 12 de mayo de 2017 CITIBOX facilitaba a SEUR el acceso a (…). Así se refleja en el siguiente párrafo de dicho Contrato: “(…).” (Subrayado de la AEPD). A continuación, el contrato menciona algunas funcionalidades y servicios disponibles (…) para profesionales: “(…). (…). (…). (…). (…).” VIGÉSIMO QUINTO: (…). Así se indica en la cláusula cuarta del contrato, denominada “(…)”: “(…) (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/68 VIGÉSIMO SEXTO: (…). (…). “(…).” (Subrayado de la AEPD). VIGÉSIMO SÉPTIMO: El contrato de 12 de mayo de 2017 (…). Así se contempla en la cláusula tercera “(…)” “(…)” del contrato. “(…).” VIGÉSIMO OCTAVO: El contrato de 12 de mayo de 2017 contenía una cláusula sexta denominada “(…)” con el siguiente contenido: “(…). (…). (…). (…). (…). (…). (…). (…). (…).” VIGÉSIMO NOVENO: Con fecha 1 de junio de 2018 CITIBOX y SEUR firmaron un anexo al contrato de prestación de servicios. Tal y como destaca el informe de actuaciones previas de investigación: “(…) (…).” SEUR y CITIBOX sustituyeron la cláusula sexta del contrato denominada “(…)” por una nueva cláusula denominada “(…)”. Dicha cláusula regula la cesión de datos personales entre ambas empresas (…) partiendo de la idea de que son responsables del tratamiento independientes. (…). La nueva cláusula tenía la siguiente redacción: "(…). (…): (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/68 (…): (…) - (…). - (…). (…) - (…). - (…). (…)”. Asimismo, incorporaron al contrato una cláusula denominada “(…)”. En la misma se señala que tratarán los datos de carácter personal de los intervinientes en el contrato (SEUR y CITIBOX) y de los que se deriven de la relación contractual por cada entidad como responsables del tratamiento. Se indica que (…). La nueva cláusula tenía la siguiente redacción: “(…). (…). (…). (…). (A continuación, se citan las direcciones de correo electrónico del DPD de CITIBOX y del DPO de SEUR) (…)”. TRIGÉSIMO: (…). En este sentido, el contrato de 12 de mayo de 2017 señala: En relación con esta cuestión, el contrato de prestación de servicios de recepción de paquetería en taquillas (…) celebrado entre CITIBOX y SEUR el 12 de mayo de 2017 indica: “(…). (…) (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/68 Asimismo, CITIBOX en su escrito de 3 de junio de 2025, elaborado en respuesta a una solicitud a una práctica de prueba de fecha 21 de mayo de 2025, aclara: “QUINTA. El personal de Citibox no entra en contacto físico con los paquetes Finalmente, cumple aclarar que el personal de Citibox no entra en contacto con los paquetes depositados en nuestros buzones, toda vez que la transacción se realiza únicamente con la intervención del mensajero y el destinatario. Como informamos en nuestro escrito de 29 de febrero de 2024, en el caso de SEUR, el proceso se inicia desde (…): (…); (…), el proceso de entrega finaliza, sin contacto humano con el personal de Citibox ni acceso por nuestra parte a los datos de la etiqueta.” (Subrayado de la AEPD). TRIGÉSIMO PRIMERO: En el supuesto de que el paquete no sea retirado (…) de CITIBOX por el destinatario. CITIBOX comunica la falta de recogida a SEUR, que procederá a gestionar la devolución (…). El contrato de 12 de mayo de 2017 en su cláusula tercera “(…)” apartado 6 “(…)”: “(…). (…).” (Subrayado de la AEPD). TRIGÉSIMO SEGUNDO: CITIBOX, en contestación a un requerimiento de información de la SGID indicó que los únicos datos obligatorios que precisa obtener de las empresas de mensajería para realizar la entrega del paquete son (…). En este sentido, CITIBOX en su escrito de fecha 29 de febrero de 2024, elaborado en contestación al primer requerimiento de información de la SGID, señaló: “Como expusimos en su momento, los únicos datos obligatorios que Citibox precisa obtener de las empresas de mensajería para realizar una (…)” (el subrayado es nuestro). TRIGÉSIMO TERCERO: Los repartidores de las empresas de mensajería (en este caso, SEUR) pueden depositar paquetes en los buzones (…) Citibox de dos formas diferentes: 1. (…). 2. (…). Así lo refleja CITIBOX en su escrito de 29 de febrero de 2024, elaborado en contestación a un requerimiento de información de la SGID: “Para depositar paquetes en un buzón Citibox, los repartidores de las empresas de mensajería tienen dos opciones: 1. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/68 2. (…). TRIGÉSIMO CUARTO: SEUR y CITIBOX no celebraron un contrato de encargo de tratamiento. En este sentido, el informe de actuaciones previas de investigación de 5 de abril de 2024 indica: “SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de recepción de paquetería en taquillas (…) de CITIBOX y en la documentación contractual se configuran ambas entidades como responsables del tratamiento, no existiendo por tanto contrato de encargado de tratamiento entre ambas entidades.” (subrayado es nuestro). TRIGÉSIMO QUINTO: A fecha 2 de diciembre de 2024 CITIBOX SMART SERVICES S.L figuraba inscrita en el listado de operadores postales inscritos Registro general de empresas prestadoras de servicios postales como operador tipo A. TRIGÉSIMO SEXTO: CITIBOX trabaja con numerosas empresas de mensajería (…) que utilizan su servicio de buzones (…). Así se refleja en el escrito de alegaciones al acuerdo de inicio de 9 de diciembre de 2024 “(…) Citibox no actúa como un mero intermediario, sino como un operador postal plenamente integrado en el mercado: al respecto, mi representada mantiene acuerdos de integración con empresas como (…) que utilizan su servicio (…).” TRIGÉSIMO SÉPTIMO: CITIBOX ha creado una lista de exclusión con el fin de evitar el depósito de paquetes procedentes de las distintas empresas de mensajería con las que trabaja CITIBOX en los buzones o taquillas (…) de CITIBOX, que vayan dirigidos a personas que no desean utilizar los servicios de CITIBOX. Dicha lista de exclusión evita que los destinatarios de los paquetes reciban entregas no deseadas. Los mensajeros de las distintas empresas de mensajería no pueden depositar un paquete asociado a un número de teléfono incluido en la lista de exclusión. CITIBOX denomina a los números de teléfono de interesados incluidos en la lista de exclusión “número de teléfono bloqueado”. (…) En este sentido, se reproduce parte de contenido del escrito de CITIBOX de 19 de marzo de 2024, elaborado en respuesta a un requerimiento de información de la SGID: “1. Citibox cuenta con un tratamiento denominado “Usuarios bloqueados”, que consiste en una lista de exclusión creada con el único fin de evitar el depósito de paquetes en nuestros buzones que vayan dirigidos a personas que no quieran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/68 utilizar sus servicios. De este modo, se logra que los usuarios reciban entregas no deseadas: los mensajeros no pueden depositar un paquete asociado a un número de teléfono bloqueado.” TRIGÉSIMO OCTAVO: El documento denominado “Ponderación del interés legítimo” fechado el 9 de octubre de 2018, aportado por CITIBOX como documento 9, junto con el escrito de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación, contiene la ponderación del interés legítimo relativa a varios tratamientos de datos personales, entre ellos, el tratamiento de los datos personales de los usuarios no registrados. El apartado 4.2 de dicho documento (titulado “Usuarios no registrados”), tras realizar la ponderación del interés legítimo relativa al tratamiento de datos personales de usuarios no registrados, incluye una serie de recomendaciones, entre ellas, la lista de exclusión de CITIBOX. A continuación, se reproduce el contenido de dicha referencia: “(…)” En este mismo sentido, el documento de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación, señala: “3. Análisis de ponderación del interés legítimo, que incluye la recomendación de crear una lista interna de exclusión, como documento núm. 9. La lista fue creada, está activa en la actualidad, y a ella fueron incorporados los datos de la Sra. A.A.A, a efectos de evitar que se depositen nuevos paquetes dirigidos a ella en los buzones de Citibox.” (El subrayado es nuestro). TRIGÉSIMO NOVENO: CITIBOX lleva a cabo un tratamiento de datos personales vinculado a la lista de exclusión denominado “Usuarios bloqueados”. En el caso de dichos interesados CITIBOX afirma que el único dato que trata es el número de teléfono de los mismos (que actúa como identificador). CITIBOX señala que dicho tratamiento lo realiza por analogía a las listas de exclusión publicitarias previstas en el artículo 48 del Real Decreto 1720/2007, siguiendo el criterio reflejado en el documento “Ponderación del interés legítimo” de 9 de octubre de 2018 mencionado en el hecho probado anterior. En este sentido, en el escrito de CITIBOX de 19 de marzo de 2024, elaborado en respuesta a un requerimiento de información de la SGID, se señala: “1. Citibox cuenta con un tratamiento denominado “Usuarios bloqueados”, que consiste en una lista de exclusión creada con el único fin de evitar el depósito de paquetes en nuestros buzones que vayan dirigidos a personas que no quieran utilizar sus servicios. De este modo, se logra que los usuarios reciban entregas no deseadas: los mensajeros no pueden depositar un paquete asociado a un número de teléfono bloqueado. El único dato que se conserva de los “Usuarios bloqueados” es el número de teléfono: (…). Este tratamiento se realiza aplicando por analogía las listas de exclusión publicitarias previstas en el artículo 48 del Real Decreto 1720/2007: se utiliza el número de teléfono como dato mínimo imprescindible para identificar al “Usuario bloqueado” y adoptar las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/68 necesarias que eviten el depósito de un nuevo paquete en los buzones de Citibox.” (el subrayado es nuestro). CUADRAGÉSIMO: En el resumen del RAT aportado por CITIBOX como documento 7 junto con el escrito de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación, figura información relativa al tratamiento denominado “Usuarios bloqueados” identificado con el número 14, entre otros aspectos, figura la siguiente información en el apartado denominado tratamiento: “(…). (…). (…) (…). (…).” (…) “(…).” (…). CUADRAGÉSIMO PRIMERO: (…). Así se refleja en el en el escrito de CITIBOX de 19 de marzo de 2024, elaborado en respuesta a un requerimiento de información de la SGID: “(…).” Asimismo, se indica en el escrito de 3 de junio de 2025, elaborado en fase de prueba en contestación a un escrito práctica de prueba de la AEPD: “(…): 1. (…)”. 2. (…). (…). 3. (…).” CUADRAGÉSIMO SEGUNDO: CITIBOX dispone de una única lista de exclusión aplicable a toda la actividad postal de dicha empresa. Es decir, dicha lista es única para todas las empresas de mensajería con las que trabaja CITIBOX mencionadas en el hecho probado trigésimo sexto. En cuanto a su ámbito territorial, dicha lista de exclusión (…), en la cuales CITIBOX ha instalado buzones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/68 Información facilitada por CITIBOX en su escrito de 3 de junio de 2025, elaborado en contestación al escrito de práctica de prueba de la AEPD de 21 de mayo de 2025. CUADRAGÉSIMO TERCERO: (…). (…): 1.(…). 2.(…). 3.(…). 4.(…). (…). (…). (…): “(…). (…). (…).” (…). CUADRAGÉSIMO CUARTO: CITIBOX incluyó el número de teléfono de la reclamante en su lista de exclusión el 28 de diciembre de 2022. Así se refleja en una captura de pantalla que figura en el escrito de 3 de junio de 2025, elaborado en contestación al escrito de práctica de prueba de la AEPD de 21 de mayo de 2025. En la mencionada captura de pantalla, figura como Fecha de baja 28 de diciembre de 2022, el número de teléfono de la reclamante, al hacer referencia (…). Dicha captura de pantalla evidencia que la reclamante no era cliente de CITIBOX. (…). CITIBOX afirma que el número de teléfono de la reclamante fue retirado de su lista de exclusión el (…), en atención al ejercicio del derecho de oposición por parte de la reclamante. CUADRAGÉSIMO QUINTO: Con motivo del traslado de la reclamación por parte de la AEPD, CITIBOX señaló que la inclusión del número de teléfono de la misma en la lista de exclusión era una medida suficiente para atender la referida reclamación. Así se refleja en el escrito de CITIBOX de fecha 27 de abril de 2023: SEGUNDO. La decisión adoptada a propósito de esta reclamación. Durante la gestión de la reclamación de la Sra. A.A.A., Citibox procedió a atender puntualmente cada una de las comunicaciones recibidas, informando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/68 sobre todos los aspectos relevantes sobre la naturaleza de los servicios de Citibox, la gestión sobre el tratamiento de sus datos personales y la base de legitimación para dicho tratamiento y, especialmente, sobre los derechos que le asisten en cuento al tratamiento de sus datos personales. Adicionalmente, como se ha dicho, Citibox ha procedido a incluir los datos de esta usuaria en una lista de exclusión específicamente habilitada con el fin de que ningún mensajero pueda realizar el depósito de un paquete a su nombre en ninguno de los buzones de la empresa. (…) (…) CUARTO. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Como se ha indicado anteriormente, la principal medida adoptada ha consistido en incluir los datos de esta usuaria en la lista de exclusión creada a tal efecto, de modo que, en el futuro, no puedan depositarse paquetes dirigidos a ella en los buzones de Citibox por parte de ninguna empresa de mensajería.” (el subrayado es nuestro). (…). (…): (…). CUADRAGÉSIMO SEXTO: El DPD de CITIBOX indicó a la reclamante que, si un interesado se opone al tratamiento de sus datos personales por parte de CITIBOX, dicha empresa, de acuerdo con el artículo 48 del Real Decreto 1720/2007, conserva los mínimos datos imprescindibles para identificar al interesado y adoptar las medidas necesarias que eviten el depósito de futuros paquetes en los buzones de CITIBOX. Se reproduce los párrafos del correo electrónico del DPD de CITIBOX de 23 de diciembre de 2022 relativos a esta cuestión: “(…): • (…); • (…); • (…). CUADRAGÉSIMO SÉPTIMO: (…). (…): “(…): “(…)”. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/68 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Con carácter previo al análisis de las alegaciones formuladas por CITIBOX al acuerdo de inicio, resulta necesario hacer referencia al concepto de responsable y encargado del tratamiento según el RPD (a los efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX en relación con el tratamiento de datos personales relativo a envíos de paquetes de los que es responsable SEUR. 1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1. Conceptos autónomos propios del RGPD El artículo 4 del RGPD define lo que es el responsable y el encargado del tratamiento, en relación con la protección de datos personales, con el siguiente tenor: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/68 Estos conceptos son autónomos, propios y específicos de la normativa en materia de protección de datos de carácter personal (RGPD y LOPDGDD), sin que puedan desfigurarse por mezclarse con otros conceptos de otros ámbitos del Derecho tal y como disponen las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de julio de 2021: “13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. (el subrayado es nuestro) 1.2. Conceptos funcionales de responsable y encargado del tratamiento: Nos enfrentamos a un concepto puramente funcional de responsable y encargado del tratamiento, que obliga, en cada supuesto concreto, a examinar quién determina los fines y los medios del tratamiento. Las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD lo expresan con claridad, “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable”. (el subrayado es nuestro) En el caso examinado, el tratamiento de datos personales examinado (tratamiento de datos personales vinculado a los envíos de paquetes de los que era responsable SEUR) servía a las finalidades propias de SEUR de entrega de los envíos de paquetería de los que dicha empresa era responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/68 Cabe recordar que las propias Directrices 7/2020 advierten que los términos contractuales no son determinantes para identificar quién es responsable del tratamiento: “28. En muchas ocasiones, el examen de las cláusulas contractuales entre las distintas partes involucradas puede ayudar a determinar qué parte o partes actúan como responsables del tratamiento. Aun cuando el contrato no estipule quién es el responsable del tratamiento, puede contener elementos suficientes para inferir quién tiene el poder de decisión en relación con los fines y medios del tratamiento. También es posible que el contrato contenga una declaración expresa sobre la identidad del responsable del tratamiento. Si no existen motivos para dudar de que esta se ajuste a la realidad, nada se opone a que se sigan las condiciones fijadas en el contrato. No obstante, los términos de un contrato no son determinantes en todos los casos, ya que, de ser así, las partes simplemente podrían atribuir la responsabilidad como lo consideraran oportuno. No es posible devenir responsable del tratamiento ni rehuir las obligaciones del responsable mediante una mera fórmula en el contrato cuando las circunstancias de hecho indiquen lo contrario”. Y todo ello porque no es baladí quién sea responsable o encargado del tratamiento, quién deba de cumplir con qué obligaciones de las fijadas en el RGPD para cada uno de ellos (procurando de esta forma la protección efectiva de las personas físicas), afectando, además, a cuestiones tan importantes como ante quién se lleva a cabo el ejercicio de los derechos conferidos por el RGDP a los interesados (artículos 15 a 22 y 77 a 82 del RGPD) y cuyo ejercicio incide directamente en el control que ejercen estos últimos sobre los datos personales que les conciernen, puesto que, como indican las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, “2. El concepto de «responsable del tratamiento» y su interacción con el concepto de «encargado del tratamiento» tienen una importancia fundamental en la aplicación del RGPD, puesto que determinan quién responde del cumplimiento de las distintas normas relativas a la protección de datos y cómo pueden los interesados ejercer sus derechos en la práctica. El RGPD introduce expresamente el principio de responsabilidad proactiva, en virtud del cual el responsable del tratamiento es responsable del cumplimiento de los principios relativos al tratamiento de los datos personales previstos en el artículo 5 y debe ser capaz de demostrarlo. Además, el RGPD también introduce unas normas más específicas sobre el recurso a encargados del tratamiento, y algunas de las disposiciones relativas al tratamiento de datos personales se dirigen no solo a los responsables del tratamiento, sino también a los encargados. … 14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/68 eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados, con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.”. En este mismo sentido, la Sentencia del Tribunal Superior de Justicia de 5 de diciembre de 2023 (Asunto C-807/21) hace referencia a la extensión de la responsabilidad del responsable del tratamiento, indicando: “38 Para responder a esta primera cuestión, procede señalar, para empezar, que los principios, prohibiciones y obligaciones previstos en el RGPD se dirigen, en particular, a los «responsables del tratamiento» cuya responsabilidad se extiende, como subraya el considerando 74 del RGPD, a cualquier tratamiento de datos personales realizado por ellos mismos o por su cuenta, y que, a este respecto, no solo están obligados a aplicar medidas oportunas y eficaces, sino también a poder demostrar la conformidad de sus actividades de tratamiento con el RGPD, incluida la eficacia de las medidas adoptadas para garantizar tal conformidad. Es esa responsabilidad la que constituye, cuando se produce una de las infracciones contempladas en el artículo 83, apartados 4 a 6, de dicho Reglamento, el fundamento de la imposición de una multa administrativa al responsable del tratamiento con arreglo al referido artículo 83.” 1.3. Responsable del tratamiento La definición de «responsable del tratamiento» contiene cinco componentes principales: (
2. i)«la persona física o jurídica, autoridad pública, servicio u otro organismo», (
3. ii)«determine», (iii) «solo o junto con otros», (
4. iv)«los fines y medios» y (
5. v)«del tratamiento». En cuanto al elemento “determine”, hace mención al poder de decisión y la influencia del responsable del tratamiento quien decide sobre elementos esenciales del mismo, como el hecho de que se lleve a cabo un tratamiento de datos personales para el cumplimiento de fines propios del responsable que pretende lograr. Así, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD indican que, “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/68 … 29. Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado. De manera análoga, el hecho de que un contrato mercantil utilice el término «subcontratista» no implica que el ente se considere encargado del tratamiento en el contexto de la legislación en materia de protección de datos. (el subrayado es nuestro). En cuanto a la determinación de fines y medios, siguen indicando las citadas Directrices que, “33. Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo». … 35. La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. … 37. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. (…)” Esto es, que es el responsable del tratamiento el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una función de prestar servicios al responsable del tratamiento. En otras palabras, «actuando en nombre y por cuenta del responsable del tratamiento» significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. 1.4. Encargado de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/68 Como se puede apreciar, la definición de «encargado del tratamiento» incluye una amplia gama de actores, ya sean personas físicas o jurídicas, autoridades públicas, agencias u otros organismos. La existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que, para el cumplimiento de sus propios fines, podrá decidir realizar él mismo determinadas operaciones de tratamiento o contratar la totalidad del tratamiento o algunas operaciones del tratamiento a un encargado del tratamiento. En este sentido, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de julio de 2021 “Un encargado del tratamiento, o encargado, es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales: ser un ente independiente del responsable del tratamiento y tratar datos personales por cuenta de este”. (el subrayado es nuestro). Siguen indicando sobre el encargado del tratamiento que: (el subrayado es nuestro) “79. Por otra parte, tratar datos personales por cuenta del responsable requiere, en primer lugar, que el ente independiente trate los datos personales en beneficio del responsable. En el artículo 4, punto 2, el tratamiento se define como un concepto que abarca un amplio abanico de operaciones: desde la recogida, la conservación y la consulta hasta la utilización, la difusión o cualquier otra forma de habilitación de acceso y destrucción. El concepto de «tratamiento» también se describe previamente con más detalle en el punto 2.1.5. 80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/68 servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. … 84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” (subrayado de la AEPD). Como puede observarse, la esencia de la función de «encargado del tratamiento» es que (
6. i)sea independiente del responsable del tratamiento y (
7. ii)que los datos personales sean tratados en nombre y por cuenta de este. 1.5. SEUR determina los fines y medios del tratamiento: 1.5.1. SEUR decide sobre fines del tratamiento: A la hora de examinar el caso particular resulta necesario centrar la atención en el tratamiento de datos personales examinado (tratamiento de datos personales que se ha llevado a cabo al objeto de hacer posible que el envío del paquete del que era responsable SEUR pudiera llevarse a cabo). El tratamiento de datos personales, que permite que el envío tenga lugar, está dividido a su vez en operaciones de tratamiento. El responsable del tratamiento puede realizar todas las operaciones, que componen dicho tratamiento, o puede ocuparse de algunas de dichas operaciones el encargado (en este caso, CITIBOX, con el que SEUR había firmado un contrato de prestación de servicios de recepción de paquetería en taquillas (…), hecho probado vigésimo segundo). El envío del paquete, que contenía una compra realizada por la reclamante en ***ENTIDAD.1 (hecho probado primero), juega un papel clave, es la razón de ser del tratamiento de datos personales, al tiempo que, sin dicho tratamiento de datos, el envío no habría podido llevarse a cabo. Ambos (envío y tratamiento de datos personales) van desarrollándose de forma paralela (a medida que el envío progresa, se van tratando datos de carácter personal, incluso, puede haber momentos en los que el tratamiento de datos sea previo y permita que el envío del paquete pueda llevarse a cabo). SEUR era el responsable del envío y debía entregar el paquete a la reclamante (la finalidad del tratamiento es para SEUR). El lugar de la entrega, que figuraba en el pedido, era el domicilio de la reclamante (hecho probado primero). SEUR recoge el paquete y es responsable de transportarlo hasta la entrega en su destino (hecho probado segundo). A medida que el envío progresa, SEUR va realizando distintas operaciones de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/68 Si en esta entrega se hubiera seguido el protocolo interno definido por SEUR, el repartidor de SEUR habría entregado el paquete en el domicilio de la reclamante (que se encontraba en su domicilio cuando el repartidor de SEUR llegó a su urbanización con el paquete). Sin embargo, el repartidor de SEUR no siguió el protocolo interno de SEUR. Utilizando la (…), facilitó a dicha empresa una serie de datos personales relativos a la reclamante (más de los que debería haber facilitado, (…). A partir de ese momento, CITIBOX, encargado del tratamiento de SEUR, comenzó a tratar los datos de la reclamante y a realizar determinadas operaciones de tratamiento. Los datos personales de la misma quedaron registrados en el sistema de CITIBOX (operación de tratamiento realizada por CITIBOX). CITIBOX le envió un SMS para indicarle que podía recoger el paquete que estaba esperando de SEUR (hecho probado quinto), que se encontraba en los buzones CITIBOX instalados en su comunidad de vecinos (nueva operación de tratamiento llevada a cabo por CITIBOX). Como puede observarse, las operaciones de tratamiento que realiza CITIBOX van encaminadas a una finalidad concreta (entrega del paquete de SEUR), lo que refleja que SEUR es responsable del tratamiento y decide sobre los fines del tratamiento. De forma paralela, SEUR hacía seguimiento del envío, lo que implicaba el tratamiento de datos de carácter personal. Había asignado un (…) determinado al envío (dato de carácter personal), (…) y podía realizar consultas para el seguimiento del mismo en el (…) de CITIBOX. Es decir, SEUR continúa realizando operaciones de tratamiento de datos para el seguimiento del proceso de entrega del paquete, que no concluye hasta que se produzca la entrega del paquete a su destinataria (en este caso, la reclamante). En el caso examinado, el paquete fue entregado a la reclamante. Supongamos ahora que no hubiera sido así. Según se indica en el Anexo al contrato de fecha 12 de mayo de 2017, CITIBOX realizaría un seguimiento del envío. (…). (…). En conclusión, el tratamiento de datos personales examinado está vinculado a un envió de un paquete de cuya entrega era responsable SEUR (hecho probado segundo). CITIBOX generó unas operaciones de tratamiento concretas. Paralelamente SEUR efectuaba un seguimiento de dicha entrega, con las operaciones de tratamiento de datos que ello comportaba. Como puede observarse el tratamiento, del que es responsable SEUR es un todo. No siendo posible desgajar las operaciones de tratamiento concretas que realiza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/68 CITIBOX, que no tienen entidad por sí mismas. Únicamente tienen sentido en el marco del tratamiento considerado en su conjunto, todo ello vinculado a permitir que un paquete del que era responsable SEUR fuera entregado. 1.5.2. SEUR decide sobre los medios del tratamiento Tal y como se ha destacado en el apartado anterior, la finalidad (entrega de envíos de paquetería de los que SEUR es responsable) es de y para SEUR. SEUR dispone de varias opciones. A modo de ejemplo, SEUR:  Podía realizar la entrega del paquete por sus propios medios (utilizando sus medios de transporte y un repartidor de SEUR, que efectuase la entrega en el domicilio del destinatario (en este caso, en el domicilio de la reclamante).  Podía utilizar el servicio SEUR pickup.  Podía utilizar las taquillas (…) de CITIBOX (hecho probado vigésimo segundo), empresa con la que había firmado el contrato de 12 de mayo de 2017 para la prestación de servicios de recepción de paquetería en taquillas (…). La cláusula quinta del contrato de fecha 12 de mayo de 2017, celebrado entre ambas empresas, indica la remuneración que SEUR abona a CITIBOX por cada bulto, de cuyo reparto es responsable, que introduzca en las taquillas de CITIBOX (hecho probado decimosexto). En este caso, SEUR (responsable del tratamiento) decidió contratar con una empresa externa (CITIBOX) el servicio de recepción de paquetería en (…), hecho probado vigésimo segundo (definición de los medios esenciales del tratamiento). De tal manera que, en los envíos de paquetes de los que era responsable, tenía la posibilidad de utilizar las taquillas (…) que CITIBOX tenía instaladas en comunidades de propietarios (hecho probado vigésimo segundo). Así se refleja en el contrato de prestación de servicios de recepción de paquetería en taquillas (…) celebrado entre ambas empresas el 12 de mayo de 2017, en el que se indica: I.- (…). (…) (…). II.- (…). (…) (…). (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 46/68 “(…). (…). (…). (subrayado de la AEPD). “(…).” “(…).” Asimismo, SEUR, en calidad de responsable del tratamiento, decidió que las entregas de sus paquetes en las taquillas de CITIBOX las llevasen a cabo sus (…). En este sentido, en el escrito de SEUR de 4 de enero de 2024, elaborado en respuesta a un requerimiento de información de la SGID, se indica: “(…).” 1.6. CITIBOX es encargado del tratamiento: CITIBOX cumple las dos condiciones anteriormente reflejadas (es independiente del responsable del tratamiento y trata los datos personales por cuenta de dicho responsable) Por una parte, CITIBOX es un ente independiente de SEUR (responsable del tratamiento). Por otra, CITIBOX trata los datos de clientes de SEUR con el fin de entregar los envíos de SEUR destinados a los mismos, utilizando las taquillas (…) de CITIBOX. Los tratamientos de datos personales de los clientes de SEUR a los que van destinados dichos envíos, los realiza CITIBOX con la finalidad de hacer posible que dichas entregas de paquetería encomendadas a SEUR se lleven a cabo. A modo de ejemplo, el contrato celebrado entre ambas empresas el 12 de mayo de 2017 prevé: “(…) (…)”. (subrayado de la AEPD). También sirve como ejemplo el escrito de CITIBOX de fecha 29 de febrero de 2024, elaborado en respuesta al primer requerimiento de información del Inspector. En el que se indica: “Como expusimos en su momento, (…).” (subrayado de la AEPD). “TERCERA. Información de protección de datos facilitada a los destinatarios no registrados (…): “(…)” (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 47/68 Como puede observarse, los tratamientos de datos personales de personas a las que van destinadas los envíos de SEUR, los realiza CITIBOX con la finalidad de hacer posible que dichas entregas de paquetería se lleven a cabo. Esta circunstancia refleja, que CITIBOX está sirviendo a los intereses de SEUR. Lo expuesto hasta el momento, pone de manifiesto que SEUR ha considerado que el servicio de prestación de servicios de recepción de paquetería en taquillas (…) o buzones, prestado por CITIBOX, resulta el medio idóneo para llevar a cabo la entrega de paquetes de SEUR, con las operaciones de tratamiento de datos personales, que dicha entrega lleva aparejados. 1.7 Conclusión: En conclusión, en el caso examinado en este procedimiento sancionador SEUR era responsable del tratamiento y CITIBOX su encargado. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1.Contestación a la supuesta nulidad de las actuaciones previas de investigación: CITIBOX considera incumplido lo dispuesto en el artículo 124.2 de la LPACAP. Destaca que transcurrieron seis meses exactos entre la interposición del recurso de reposición por parte de la reclamante y la resolución estimatoria del mismo, produciendo el efecto de silencio administrativo negativo y abriendo la vía de impugnación jurisdiccional. La parte reclamada afirma que la reclamante no contaba con legitimación activa para impugnar jurisdiccionalmente el acto presunto de la AEPD, como reiteradamente ha sostenido la jurisprudencia de la Audiencia Nacional (SAN de 11 de noviembre de 2011, recurso: 786/2010). CITIBOX estima que la aplicación del silencio administrativo negativo únicamente beneficiaba a CITIBOX, al excluir el inicio de actuaciones previas de investigación que podrían derivar, llegado el caso, en un procedimiento sancionador. La resolución extemporánea de la AEPD alteró la situación descrita en el párrafo anterior, al resolver en sentido contrario al inicialmente producido por el silencio administrativo negativo, lo que, en opinión de CITIBOX, impacta contra los principios de seguridad jurídica y confianza legítima. Según la parte reclamada, aunque el artículo 24.3
8. b)de la LPACAP permite que la resolución extemporánea no se vincule al sentido del silencio, CITIBOX considera que dicha prerrogativa no facultaba a la AEPD para actuar en perjuicio de un interesado distinto al recurrente, incurriendo en una “reformatio in peius”, que nuestro ordenamiento proscribe (se habría agravado la situación jurídica de CITIBOX). La parte reclamada considera que la resolución extemporánea del recurso de reposición determina la nulidad de pleno derecho de las actuaciones previas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 48/68 investigación desarrolladas como consecuencia de dicha resolución. Citan la SAN de 2 de abril de 2019 (rec. 10/2017), que reconoció la declaración de caducidad de las actuaciones previas conduce necesariamente a la anulación de la resolución sancionadora, sin necesidad de examinar otras cuestiones. Por todo lo expuesto, solicitan el archivo del expediente, al considerar que no existe en el procedimiento prueba de cargo suficiente para atribuir las infracciones a CITIBOX. En contestación a la alegación formulada (alegación 1), el 7 de diciembre de 2023 la Directora de la AEPD dictó una resolución por la que estimaba el recurso de reposición interpuesto por la reclamante y admitía a trámite la reclamación formulada. De acuerdo con lo dispuesto en el artículo 21 de la LPACAP la AEPD estaba obligada a dictar resolución expresa del recurso de reposición interpuesto por la reclamante y a notificarla. Se había producido una desestimación por silencio administrativo, que permitía a la reclamante haber interpuesto recurso en vía contencioso-administrativo. Sin embargo, la reclamante no interpuso recurso en sede judicial. Por otra parte, el artículo 24.3
9. b)de la LPACAP dispone: “
10. b)En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio.” En este sentido, resulta ilustrativo el contenido de la resolución de la Directora de la AEPD de 7 de diciembre de 2023, en la que se señala: “De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la AEPD está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el artículo 21.1 de la citada Ley. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley.” (subrayado de la AEPD). Como puede observarse, el contenido de dicha resolución se ajustaba a lo previsto en la LPACAP. El hecho de que se estime un recurso de reposición presentado ante la AEPD, se admita a trámite una reclamación y se realicen unas actuaciones previas de investigación, no implica una vulneración del principio de “reformatio in peius”, tal y como pretende CITIBOX, sino que implica que la AEPD está realizando, como autoridad de control que es, actuaciones conducentes a recabar más información sobre una posible vulneración del derecho a la protección de datos de carácter personal. Por tanto, aunque la resolución de la Directora de 7 de diciembre de 2023 se dictara de forma extemporánea no es nula de pleno derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 49/68 Finalmente, la Sentencia de la Audiencia Nacional de 2 de abril de 2019 (rec. 10/2017) mencionada en el escrito de alegaciones examina un caso diferente, en el que se había producido la caducidad de las actuaciones previas de investigación. 2. Contestación a las alegaciones relativas a que CITIBOX tiene la condición de operador postal y que no puede cumplir con las exigencias que el artículo 28 del RGPD impone a los encargados del tratamiento, tanto por su propia operativa y grado de autonomía, como por las obligaciones a las que se ve sometida, en su condición de operador postal. CITIBOX alega (alegación 2) que es un operador postal en el sentido definido por la Ley 43/2010, de 30 de diciembre, del servicio postal universal, los derechos de los usuarios y del mercado postal (LSPU) y se encuentra inscrita en el Registro general de empresas prestadoras de servicios postales, dependiente del Ministerio de Transportes y Movilidad Sostenible. (…). Aporta copia del listado de operadores inscritos en dicho Registro, en el que figura CITIBOX. La parte reclamada destaca que es un operador en las fases de distribución y entrega. Destaca que su función como operador postal se encuentra directamente relacionada con la definición de “envío postal” contemplada en el artículo 3.2 de la LSPU. (…). (…). La parte reclamada afirma que no actúa como un mero intermediario, sino como un operador postal plenamente integrado en el mercado y mantiene acuerdos de integración con empresas como (…)… Garantiza que las entregas se realicen el primer intento y afirma estar alineado con los objetivos estratégicos como servicios de interés general, según la LSPU. Considera que el modelo de CITIBOX aporta beneficios adicionales en contextos como el de la pandemia COVID-19. Aporta un informe elaborado por un despacho de abogados en el que se analiza que el modelo de negocio de CITIBOX está sujeto a la regulación postal. Asimismo, CITIBOX alega (alegación 3) que no puede cumplir con las exigencias que el artículo 28 del RGPD impone a los encargados del tratamiento, tanto por su propia operativa y grado de autonomía, como por las obligaciones a las que se ve sometida, en su condición de operador postal. Señala que CITIBOX determina los fines y los medios del tratamiento y debería ser considerada responsable del tratamiento conforme al artículo 4.7 del RGPD. A continuación, hace referencia al párrafo 82 de la Directrices 07/2020 del CEPD que prevén: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 50/68 “cuando el servicio prestado no se orienta específicamente al tratamiento de datos personales o cuando dicho tratamiento no constituye un elemento esencial del servicio, el prestador de servicios puede estar en condiciones de determinar, de manera independiente, los fines y los medios del tratamiento que resulta necesario para prestar el servicio.” CITIBOX afirma que el criterio anteriormente reproducido resulta clave en su caso, dado que su modelo de negocio demuestra una clara autonomía en la definición de los fines y medios del tratamiento. Vuelve a destacar su condición de operador postal registrado. Señala que la LSPU impone al operador postal responsabilidades directas en relación con los envíos postales que gestiona. A continuación, afirma que la AEPD en sus informes 0331/2017 y 0064/2020 reconoció que dichas obligaciones son incompatibles con la figura del encargado del tratamiento, ya que implican responsabilidades legales directas ante los interesados. CITIBOX destaca que las afirmaciones realizadas en dichos informes son plenamente aplicables a CITIBOX, de ahí que el contrato celebrado con SEUR, atendiendo a los informes de la AEPD, no estableciera una relación de encargo, sino una colaboración entre responsables independientes. Señala que, conforme a dicho contrato, SEUR entrega a CITIBOX los datos mínimos necesarios para que, además de cumplir con su obligación de custodiar el paquete (obligación principal del depositario), pueda entregarlo a destinatario final. Según CITIBOX dicho flujo de datos constituye una comunicación de datos entre responsables. A continuación, CITIBOX señala elementos esenciales del tratamiento que define como responsable:     Decisión sobre los edificios o urbanizaciones en las que se ubican los buzones, previo acuerdo con las comunicades de propietarios. Asunción de responsabilidad directa frente a los destinatarios en caso de robo, pérdida o deterioro de los paquetes depositados. Establecimiento de un procedimiento de atención de quejas y reclamaciones a través de un sistema auditable, gestionado por un tercero (este sistema permite la entrega a la Subdirección General de Régimen Postal del Ministerio de Transportes y Movilidad Sostenible en caso de que los usuarios presenten algún tipo de reclamación frente a dicho organismo). Invitación al usuario a registrarse como usuario de CITIBOX, de tal forma que pueda gestionar las futuras entregas a través de la app de la empresa. Además, la LSPU impone a los operadores postales un régimen de obligaciones que incluye una serie de obligaciones (respeto al secreto de las comunicaciones, inviolabilidad de los envíos, protección de los datos personales tratados). Todo ello, en opinión de CITIBOX, evidenciaría tanto la autonomía operativa de CITIBOX como su capacidad para determinar cómo se realiza el tratamiento, así como su sometimiento a obligaciones legales que implican responsabilidades directas ante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 51/68 los interesados y que impiden que ciña su actividad a las instrucciones trasladadas por SEUR. Asimismo, destaca que las Directrices 07/2020 señalan que “el encargado no puede llevar a cabo el tratamiento para sus propios fines” (párrafo 81). CITIBOX afirma que este es su caso, dado que utiliza los datos personales para gestionar su red de buzones (…), cumplir con sus obligaciones de entrega y mejorar la experiencia de los usuarios. Señala que dichos fines son propios de su modelo de negocio y no responden únicamente a las instrucciones de SEUR. CITIBOX afirma que SEUR no determina los fines ni los medios esenciales del tratamiento que realiza CITIBOX. Una vez que SEUR comunica los datos necesarios para la entrega, CITIBOX afirma asumir el control completo sobre cómo se gestionan dichos datos, desde la custodia hasta la entrega al destinatario. Dicho control incluye decisiones sobre el acceso a los datos, implementación de medidas de seguridad y duración del almacenamiento (decisiones esenciales que recaen exclusivamente en CITIBOX). A continuación, puntualiza que, en el caso de los usuarios no registrados, como la reclamante, se ciñen a su utilización para la finalidad que justifica la comunicación, como exigía el antiguo artículo 11.2
11. c)de la LOPD de 1999. CITIBOX afirma que la calificación de su empresa como encargado del tratamiento es incorrecta y debería ser revisada, para reflejar la realidad operativa y la normativa aplicable. Dicha conclusión, en su opinión, se alinea con el RGPD, las interpretaciones del CEPD y los pronunciamientos previos de la AEPD. En contestación a dichas alegaciones (alegaciones 2 y 3), que se analizan de forma conjunta al estar íntimamente vinculadas. Cuando dos empresas intervienen en un tratamiento de datos personales existen distintas posibilidades: que ambas actúen como responsables del tratamiento independientes sucesivos, que una actúe como responsable del tratamiento y la otra como su encargado, que ambas actúen como corresponsables. El RGPD define los conceptos de responsable del tratamiento y encargado y contiene numerosas previsiones normativas que afectan a los mismos. El Comité Europeo de Protección de Datos ha aprobado las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD con el fin ofrecer orientaciones sobre los conceptos de responsable del tratamiento, encargado y corresponsable. Corresponde a las empresas de acuerdo con lo dispuesto en el RGPD y las Directrices 07/2020 determinar, en relación con un tratamiento de datos de carácter personal concreto que pretenden llevar a cabo, si actúan como responsables del tratamiento, como encargadas o, en su caso, como corresponsables. Son ellas las que conocen su propia organización, el tratamiento de datos personales que pretenden llevar a cabo, la finalidad del mismo y las operaciones de tratamiento que lo integran. En el fundamento de derecho II se han expuesto los motivos por los que cabe considerar a SEUR responsable del tratamiento y a CITIBOX su encargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 52/68 En el caso particular examinado en este procedimiento sancionador, dos infracciones imputadas en el acuerdo de inicio (posible vulneración de lo dispuesto en el artículo 6.1, por tratar el número de teléfono de los usuarios no registrados que le era comunicado por SEUR, considerándose un responsable del tratamiento independiente, y en el artículo 14 del RGPD) están vinculadas al hecho de que ambas empresas, SEUR y CITIBOX, consideraron ser responsables del tratamiento independientes y así lo plasmaron en el anexo del contrato de prestación de servicios celebrado en mayo de 2017. A la hora de definir el papel que desempeñaba cada una de dichas empresas, en relación con el tratamiento de datos personales examinado (tratamiento de datos personales relativo a los envíos de paquetes de los que era responsable SEUR) CITIBOX ha otorgado una importancia decisiva al hecho de ser operador postal. CITIBOX ha aportado junto a su escrito de alegaciones el listado de operadores postales inscritos en el Registro general de empresas prestadoras de servicios postales a fecha 2 de diciembre de 2024. En dicho listado, figura CITIBOX como operador tipo A, tal y como refleja el hecho probado trigésimo quinto. Asimismo, CITIBOX ha otorgado un papel fundamental al contenido de dos informes del Gabinete Jurídico de la AEPD (informes nº 03331/2017 y nº 0064/2020) interpretando su contenido en el sentido de que CITIBOX, al ser operador postal, necesariamente había de ser considerado responsable del tratamiento. No se conoce una resolución previa en la que la AEPD haya examinado la relación entre una empresa de transporte y una empresa que presta el servicio de depósito de paquetes en buzones o taquillas (…), teniendo esta segunda empresa la condición de operador postal, a fin de determinar si ambos son responsables del tratamiento o responsable y encargado. Asimismo, las alegaciones formuladas al acuerdo de inicio de CITIBOX contienen continuas referencias al ámbito postal, reflejando que CITIBOX, que opera en el sector postal, al analizar las figuras de responsable y encargado del tratamiento, ha otorgado una gran importancia a características propias del sector postal. CITIBOX es un operador postal, si bien, el hecho de que sea un operador postal no implica que, de forma automática y en todos los casos, tenga la condición de responsable del tratamiento. El informe del Gabinete Jurídico de la AEPD nº 0331/2017 mencionado por CITIBOX es previo a la aplicación del RGPD (25 de mayo de 2018). Posteriormente, el Informe del Gabinete Jurídico de la AEPD 0064/2020, también mencionado por CITIBOX en su escrito de alegaciones, analiza el papel de Correos, que también es operador postal, indicando que en algunos supuestos tiene la condición de responsable y en otros actúa como encargado del tratamiento. Tal y como se ha destacado en el fundamento de derecho II, los conceptos de encargado y responsables son conceptos funcionales, resultando imprescindible atender a las circunstancias del caso concreto (análisis caso a caso) a fin de determinar si se actúa como responsable del tratamiento o como encargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 53/68 De hecho, el referido informe del Gabinete Jurídico de la Agencia (nº0064/2020) señala: “(…) la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades concretas en un contexto específico, por lo que la misma entidad puede actuar al mismo tiempo como responsable del tratamiento para determinadas operaciones de tratamiento y como encargado para otras, y la calificación como responsable o encargado debe evaluarse con respecto a cada actividad específica de procesamiento de datos.” (el subrayado es nuestro). Por tanto, el hecho de que una empresa sea operador postal no implica de forma necesaria y automática que tenga la condición de responsable del tratamiento, será necesario analizar el caso concreto al objeto de determinar si en el tratamiento específico analizado y en las operaciones de tratamiento que lo integran, actúa como responsable del tratamiento o como encargado. A lo ya expuesto cabe añadir, que tal y como se ha indicado en el fundamento de derecho II, según establecen las Directrices 07/2020 el concepto de responsable del tratamiento “debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos”. Es decir, si una empresa tiene dudas al determinar si es responsable o encargada del tratamiento, habrá de analizar el tratamiento de datos personales concreto que pretende llevar a cabo, la finalidad del mismo y valorar, a la vista fundamentalmente de la normativa vigente en materia de protección de datos personales, si actúa como responsable o como encargado del tratamiento. Tal y como se ha destacado, las alegaciones presentadas por CITIBOX reflejan que, a la hora de efectuar dicho análisis, dicha empresa ha prestado gran atención a las características y particularidades de la regulación postal y del sector postal. Como se ha indicado anteriormente, SEUR y CITIBOX son operadores postales y han de respetar la normativa postal, pero si dichas empresas tratan datos de carácter personales, en lo que a dichos tratamientos de datos personales se refiere, habrán de respetar la normativa vigente en materia de datos de carácter personal. Cabe recordar que la normativa en materia de protección de datos de carácter personal es una normativa transversal, que han de respetar todos los responsables del tratamiento con independencia de que sean entidades bancarias, compañías de seguros, hospitales o empresas de paquetería, etc. Dichas empresas habrán de cumplir las obligaciones derivadas de su normativa sectorial, sin olvidar que, si llevan a cabo tratamientos de c