1/78 Expediente N.º: EXP202407910 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SEUR GEOPOST, S.L. (en adelante, SEUR). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 15 de septiembre de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202407910 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Contenido PRIMERO: Reclamación presentada ante la AEPD................................................... 4 SEGUNDO: Traslado de la reclamación a CITIBOX................................................... 4 TERCERO: No admisión a trámite de la reclamación:............................................... 6 CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y resolución del mismo:................................................................................................. 6 QUINTO: Actuaciones previas de investigación:........................................................ 6 A. Información proporcionada por CITIBOX:........................................................... 7 B. Información aportada por SEUR:...................................................................... 15 SEXTO: Acuerdo de inicio del procedimiento sancionador....................................... 20 SÉPTIMO: Práctica de pruebas:............................................................................... 21 OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento:......24 NOVENO: Volumen de negocios de SEUR GEOPOST S.L:.................................... 24 HECHOS PROBADOS................................................................................................ 24 ÍNDICE DE HECHOS PROBADOS.......................................................................... 24 PRIMERO:............................................................................................................... 25 SEGUNDO:.............................................................................................................. 25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/78 TERCERO:............................................................................................................... 25 CUARTO:................................................................................................................. 26 QUINTO:.................................................................................................................. 26 SEXTO:.................................................................................................................... 28 SÉPTIMO:................................................................................................................ 29 OCTAVO:.................................................................................................................. 29 NOVENO:................................................................................................................. 29 DÉCIMO:.................................................................................................................. 30 UNDÉCIMO:............................................................................................................. 30 DUODÉCIMO:.......................................................................................................... 31 DECIMOTERCERO:................................................................................................ 31 DECIMOCUARTO:................................................................................................... 32 DECIMOQUINTO:.................................................................................................... 32 DECIMOSEXTO:...................................................................................................... 32 DECIMOSÉPTIMO:.................................................................................................. 33 DECIMOCTAVO:...................................................................................................... 33 DECIMONOVENO:.................................................................................................. 34 VIGÉSIMO:.............................................................................................................. 34 VIGÉSIMO PRIMERO:............................................................................................. 35 VIGÉSIMO SEGUNDO:............................................................................................ 35 VIGÉSIMO TERCERO:............................................................................................ 35 VIGÉSIMO CUARTO:............................................................................................... 36 VIGÉSIMO QUINTO:................................................................................................ 36 VIGÉSIMO SEXTO:.................................................................................................. 36 VIGESIMO SÉPTIMO:.............................................................................................. 37 VIGÉSIMO OCTAVO:............................................................................................... 37 VIGÉSIMO NOVENO:.............................................................................................. 39 TRIGÉSIMO:............................................................................................................ 41 TRIGÉSIMO PRIMERO:........................................................................................... 41 TRIGÉSIMO SEGUNDO:......................................................................................... 43 TRIGÉSIMO TERCERO:.......................................................................................... 43 TRIGÉSIMO CUARTO:............................................................................................ 43 TRIGÉSIMO QUINTO:............................................................................................. 44 TRIGÉSIMO SEXTO:............................................................................................... 44 TRIGÉSIMO SÉPTIMO:........................................................................................... 46 TRIGÉSIMO OCTAVO:............................................................................................. 46 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/78 TRIGÉSIMO NOVENO:............................................................................................ 46 CUADRAGÉSIMO:................................................................................................... 47 CUADRAGÉSIMO PRIMERO:................................................................................. 47 CUADRAGÉSIMO SEGUNDO:................................................................................ 48 CUADRAGÉSIMO TERCERO:................................................................................. 49 CUADRAGÉSIMO CUARTO:................................................................................... 50 CUADRAGÉSIMO QUINTO:.................................................................................... 50 CUADRAGÉSIMO SEXTO:...................................................................................... 51 CUADRAGÉSIMO SÉPTIMO:.................................................................................. 51 CUADRAGÉSIMO OCTAVO:................................................................................... 52 CUADRAGÉSIMO NOVENO:.................................................................................. 53 QUINCUAGÉSIMO:................................................................................................. 53 FUNDAMENTOS DE DERECHO................................................................................. 54 I Competencia.......................................................................................................... 54 II Cuestiones previas relativas a los conceptos de responsable y encargado del tratamiento............................................................................................................... 54 1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1. Conceptos autónomos propios del RGPD................................................................ 55 1.2. Conceptos funcionales de responsable y encargado del tratamiento:...............55 1.3. Responsable del tratamiento............................................................................. 57 1.4. Encargado de tratamiento................................................................................. 59 1.5. SEUR determina los fines y medios del tratamiento:......................................... 60 1.5.1. SEUR decide sobre fines del tratamiento:................................................... 60 1.5.2. SEUR decide sobre los medios del tratamiento.......................................... 62 1.6. CITIBOX es encargado del tratamiento:............................................................ 65 1.7 Conclusión:......................................................................................................... 66 III Alegaciones al acuerdo de inicio.......................................................................... 66 IV Obligación incumplida del artículo 28 del RGPD.................................................. 80 V Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción.............................................................................................................. 84 VI Obligación incumplida. Integridad y confidencialidad........................................... 85 VII Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 87 VIII Propuestas de sanción....................................................................................... 88 1.Obligación incumplida del artículo 28 del RGPD................................................ 90 2.Obligación incumplida del artículo 5.1
- f)del RGPD:.......................................... 90 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/78 IX Adopción de medidas........................................................................................... 91 PROPUESTA DE RESOLUCIÓN................................................................................. 91 ANEXO........................................................................................................................ 94 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación presentada ante la AEPD Con fecha 26 de febrero de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD) por una posible infracción imputable a SEUR GEOPOST, S.L. con NIF B82516600 (en adelante, SEUR). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que adquirió unos productos a la entidad ***ENTIDAD.1 para que le fueran enviados a su domicilio. Señala que la encargada de la gestión de la entrega fue la entidad SEUR, quien no entregó el paquete del que era destinataria en su domicilio y lo depositó, sin previo aviso y sin su consentimiento, en un buzón de CITIBOX. SEUR, una vez más sin su consentimiento, facilitó a CITIBOX, entidad con la cual la reclamante no mantiene relación comercial alguna, sus datos personales y de contacto. CITIBOX contactó con ella a través de SMS para la recogida del paquete, (…). La parte reclamante entiende que el proceso señalado supone una actuación contraria a su derecho a la protección de datos personales. Junto al escrito de reclamación, aporta: 1. Justificante de la compra realizada a la entidad ***ENTIDAD.1. En la parte superior de dicho documento figura el siguiente texto: Envío: A.A.A. ***DIRECCIÓN.1 ***LOCALIDAD.1 2. Copia de los escritos remitidos por la reclamante a los Delegados de Protección de Datos de ***ENTIDAD.1, SEUR, así como de las contestaciones recibidas. 3. Copia de un escrito remitido a CITIBOX, respuesta a dicho escrito enviado por una empleada de CITIBOX, copia de un nuevo escrito de la reclamante dirigido a CITIBOX y contestación a este último escrito por parte del DPD de CITIBOX SEGUNDO: Traslado de la reclamación a CITIBOX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/78 De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CITIBOX, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 28 de abril de 2023 tuvo entrada en esta Agencia un escrito de CITIBOX de fecha 27 de abril de 2023, elaborado en respuesta al traslado de la reclamación y solicitud de información, junto con el referido escrito, CITIBOX aportó diversa documentación. En dicho escrito, en síntesis, se indicaba lo siguiente: 1. CITIBOX es una empresa dedicada a la instalación y gestión de buzones (…), destinados a la recepción y devolución de paquetería, en las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. (…). (…). 2. SEUR es una de las empresas de mensajería que ha contratado los servicios de CITIBOX. Con fecha 12 de mayo de 2017 firmaron un contrato, con un anexo de fecha 1 de junio de 2018. CITIBOX que afirma que ambas empresas son responsables del tratamiento. 3. La comunidad de propietarios de la urbanización en la que reside la reclamante firmó el ***FECHA.1 un documento en el que autorizaba a CITIBOX a instalar sus buzones en las zonas comunes de la finca. En uno de dichos buzones SEUR depositó el paquete dirigido a la reclamante. 4. CITIBOX destaca que cuando un paquete es depositado en sus buzones por una empresa de mensajería, dicha empresa les comunica el número de teléfono a los meros efectos de que puedan contactar con el destinatario para facilitar su recogida. Si el destinatario no es usuario de CITIBOX, se contacta con él por medio de un SMS, informándole de la llegada del paquete y de las opciones que tiene para retirarlo. CITIBOX indica que existen dos vías para la recogida del paquete: (…). (…). La reclamante optó por esta segunda opción. 5. El ***FECHA.2, el teléfono de asistencia de CITIBOX recibió una llamada del marido de la reclamante. Posteriormente, atendió la llamada la propia reclamante, (…). 6. El 18 de diciembre de 2022 la reclamante se puso en contacto con el servicio de atención al cliente de CITIBOX alegando que, a su juicio, se había producido una comunicación ilegal de sus datos personales por parte de SEUR, dado que no existía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/78 una relación previa entre ella y CITIBOX. El 20 de diciembre el servicio de atención al cliente de CITIBOX envió un escrito de respuesta. El 20 de diciembre se recibió un nuevo escrito de la reclamante manifestando su disconformidad con la respuesta recibida. Dicho escrito fue respondido por el DPD de CITIBOX. 7. CITIBOX afirma haber tratado los datos personales de la reclamante en base a su interés legítimo en cumplir las obligaciones adquiridas con SEUR (…). (…). TERCERO: No admisión a trámite de la reclamación: En fecha 22 de mayo de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la reclamante, en fecha 22 de mayo de 2023, según consta acreditado en el expediente. CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y resolución del mismo: El 7 de junio de 2023 la reclamante interpuso un recurso de reposición, a través del Registro Electrónico de la AEPD, contra la resolución de la Agencia dictada en fecha 22 de mayo de 2023. En fecha 2 de octubre de 2023 se remitió el recurso interpuesto a CITIBOX en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se verificó mediante escrito de respuesta de fecha 16 de octubre de 2023, presentado en la AEPD el día 17 de octubre. Con fecha 7 de diciembre de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, por la que se acordaba estimar el recurso de reposición interpuesto por la reclamante contra la resolución de la Agencia dictada en fecha 22 de mayo de 2023 y, admitir a trámite la reclamación formulada con el fin de realizar actuaciones previas de investigación, conforme a lo dispuesto en el artículo 67 de la LOPDGDD, y valorar el posible incumplimiento de la normativa en materia de protección de datos. QUINTO: Actuaciones previas de investigación: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/78 En el marco de las actuaciones previas de investigación, se tuvo conocimiento de las siguientes cuestiones: A. Información proporcionada por CITIBOX: 1. Servicio prestado por CITIBOX: “CITIBOX se dedica a la instalación y gestión de buzones destinados a la recepción y devolución de paquetería y ubicados las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. (…). (…).” 2. Relación entre SEUR y CITIBOX. Base Jurídica del tratamiento alegada: “CITIBOX tiene suscrito un contrato con SEUR para la “prestación de servicios de recepción de paquetería en taquillas (...)”, cuyo objeto es “(…)”. Obra copia del contrato en el presente expediente. Indican que en el anexo de Protección de Datos firmado (cuya copia también obra en el expediente) se recoge que el contrato implica una comunicación de datos por ambas partes, y que cada una gestionará el tratamiento de los datos personales de los interesados para la ejecución de sus propias finalidades. Manifiestan que, en consecuencia, ambas partes ostentan la condición de responsables del tratamiento, señalando que: 1. (…) 2. (…). En el anexo de protección de datos se verifica que se cita: "(…). (…): (…) (…): (…) - (…). - (…). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/78 - (…). - (…)”. Los representantes de CITIBOX han manifestado que la posición jurídica de las distintas partes implicadas, en relación con los paquetes, se enmarca en la figura jurídica del depósito, prevista en el art. 1766 del Código Civil, que reza como sigue: “El depositario está obligado a guardar la cosa y restituirla, cuando le sea pedida, al depositante, o a sus causahabientes, o a la persona que hubiese sido designada en el contrato.” A los efectos anteriores: 1. (…); 1. (…); 3. (…). Indican que por ello la base jurídica para el tratamiento de datos por parte de CITIBOX es su interés legítimo en cumplir las obligaciones adquiridas con (…) (SEUR).” 3. Relación entre CITIBOX y la Comunidad de Propietarios donde reside la reclamante: “CITIBOX indica que firmó un documento con la Comunidad de Propietarios en la que reside la reclamante, con fecha ***FECHA.1, en el que se autorizaba la instalación de los buzones de CITIBOX en las zonas comunes de la finca. Indican que, en virtud de este acuerdo, cuya copia obra en el presente expediente, CITIBOX instaló los mencionados buzones. Manifiestan que fue en uno de estos buzones, ubicado en el vestíbulo del edificio, donde SEUR depositó el paquete del que trae causa la presente reclamación. Se comprueba que CITIBOX aporta copia de un documento suscrito por la Comunidad de Propietarios sita en una determinada calle (misma en la que reside la reclamante) que comprende los números o portales “***PORTALES. A”. Si bien la reclamante reside en el XX, ella misma cita en otros documentos a su Comunidad de Propietarios como que comprende los portales “***PORTALES. B” (se trata de una Urbanización), documento tales como su reclamación ante CITIBOX. El documento se limita a una autorización de instalación de los buzones y unas condiciones particulares que no incluyen información ni estipulación alguna sobre tratamientos de datos personales de los destinatarios de los paquetes.” (subrayado de la AEPD). 4. Procedimiento seguido por CITIBOX para la recogida de paquetes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/78 “Cuando un paquete es depositado en los buzones de CITIBOX por una empresa de mensajería, ésta les comunica un número de teléfono para contactar con el destinatario, al objeto que proceda a su recogida. Si el destinatario no es un usuario de CITIBOX, proceden a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo. CITIBOX ofrece a los destinatarios de los paquetes dos vías diferentes: - (…). - (…).” (subrayado de la AEPD). Asimismo, se indica cómo se produjo la entrega del paquete a la reclamante: “Consta registrado en los sistemas de CITIBOX que el ***FECHA.2 (…), el mensajero de SEUR depositó en el buzón de CITIBOX de la Comunidad de Propietarios citada un paquete para la reclamante. CITIBOX envió un SMS al número de la reclamante, con el siguiente contenido: “(…)”. CITIBOX indica que su teléfono de asistencia devolvió una llamada previa a un particular que decía ser el marido de una persona que había recibido un SMS de CITIBOX. Dicho mensaje le informaba sobre el depósito de un paquete en el buzón instalado en su edificio, y sobre la posibilidad de retirarlo. (…). Aportan grabación de la llamada, se comprueba que (…).” 5. Bloqueo del número de teléfono de la reclamante por parte de CITIBOX y ejercicio de derecho de oposición por parte de la reclamante: “Han aportado impresión de pantalla donde se muestra el bloqueo del número de la reclamante, apareciendo en este registro el número de teléfono, así como el nombre y apellidos de la reclamante. Los representantes de CITIBOX han rectificado posteriormente la información indicando que esta impresión de pantalla aportada corresponde la captura de los datos bloqueados, a los efectos del artículo 32 de la LOPDGDD. La causa del error fue una simple confusión terminológica entre “Usuarios bloqueados” (entendidos como aquellos incluidos en la lista de exclusión) y “Usuarios cuyos datos han sido suprimidos, pero se conservan bloqueados a los efectos del art. 32 de la LOPDGDD”. Indican que han facilitado los segundos, en lugar de los primeros. Han aportado también el registro de la lista de exclusión, donde solo consta el teléfono de la reclamante, no su nombre y apellidos. Cabe indicar que consta que el 7 de junio de 2023, la reclamante ejercitó su derecho de oposición al tratamiento de sus datos personales por parte de CITIBOX. La entidad atendió el citado derecho el 27 de junio siguiente indicando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/78 que, en aplicación de lo previsto en el artículo 17.1.
- c)del RGPD, suprimió todos sus datos, indicando que en la actualidad únicamente se conservan bloqueados, a los efectos previstos en el artículo 32 de la LOPDGDD. Aportan la respuesta a la reclamante.” 6. Información de CITIBOX relativa a la recogida de paquetes y política de privacidad de dicha empresa: “El enlace ***URL.1 que aparece en el mensaje SMS remitido a la reclamante se ha comprobado que redirige a ***URL.2 donde se informa al usuario para que pueda optar por una de las dos vías de recogida: “(…).” Se comprueba que en la URL ***URL.3 se publica la siguiente información: “(…). (…). (…). (…). CITIBOX trata sus datos personales con los fines estipulados a continuación: “(…) (…). (…). (…). (…). […] (…) (…)”. (…). Fecha de actualización: (…).” (…)” 7. Otra documentación aportada por CITIBOX: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/78 “CITIBOX ha aportado extracto del registro de actividades de tratamiento (RAT), extracto del análisis de riesgo de los tratamientos de la empresa, y un análisis de ponderación del interés legítimo, que (…). (…).” (subrayado de la AEPD). 8. Datos tratados de los destinatarios no registrados (también denominados “(…)” y caso concreto de la reclamante: “Realizado un nuevo requerimiento de información a CITIBOX para aclarar los datos personales tratados de los destinatarios no registrados en CITIBOX, esta entidad ha manifestado sobre los datos reflejados en el RAT que: - (…). - (…). - (…). En el caso concreto de la reclamante, los representantes de CITIBOX han manifestado que (…). Requerido CITIBOX para aportar registro de los datos comunicados por SEUR (…).” (subrayado de la AEPD). 9.Ponderación del interés legítimo efectuada por CITIBOX: “(…). (…): 1. (…). 2. (…). (…). (…). (…).” (subrayado de la AEPD). B. Información aportada por SEUR: 1. Sobre el procedimiento de utilización de los servicios de CITIBOX: “SEUR ha manifestado, sobre el procedimiento de utilización de los servicios de CITIBOX, que mantiene una relación contractual con dicha empresa para la prestación de servicios de recepción, custodia y entrega de las mercancías C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/78 depositadas en los lockers de CITIBOX siguiendo el procedimiento acordado por las partes. (…). 2. Historia del envío realizado a la reclamante: “Solicitada la historia del envío con los intentos de entrega en el domicilio de la reclamante previos al depósito en el buzón de CITIBOX, los representantes de SEUR indican que “se ha procedido a investigar internamente y recuperar toda la información relativa a dicho envío. No obstante, no ha sido posible obtener evidencias de los intentos de entrega en el domicilio de la reclamante, pese a que (…).” (subrayado de la AEPD) 3. Condiciones de entrega de SEUR puestas en conocimiento de los destinatarios de paquetes entregados por SEUR: “Solicitada información sobre las condiciones de entrega de SEUR que se pusieron en conocimiento de la reclamante, en concreto con relación a CITIBOX, los representantes de SEUR indican que la entidad informa a los destinatarios sobre la entrega del envío mediante un correo electrónico donde se le remite a la web de SEUR, donde se tienen publicadas las condiciones de entrega, concretamente en el siguiente enlace ***URL.4. Los representantes de SEUR manifiestan que (…).” (subrayado de la AEPD). 3.1. (…): “(…): (…)”. (…). (…). 4. Datos tratados de la reclamada: “Ante el requerimiento de esta Agencia sobre todos los datos relativos a la reclamante y de su envío, facilitados a CITIBOX para proceder a la entrega o puesta a disposición del paquete a la destinataria indican que, para cumplir con el protocolo explicado, ambas partes se cederán los datos mínimos para efectuar la entrega del paquete al destinatario, así como para poder acreditar la recogida del mismo. Han indicado que, en concreto, SEUR comunicó a CITIBOX los siguientes datos relativos a la reclamante: - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/78 - (…) Igualmente, SEUR comunica a CITIBOX los siguientes datos relativos al envío: - (…) - (…). No obstante, debido a las discrepancias entre las manifestaciones iniciales sobre los datos personales de la reclamante que fueron comunicados por SEUR a CITIBOX (…) con respecto a las evidencias encontradas sobre los datos tratados por CITIBOX (…), se ha vuelto a requerir a SEUR para que aclare y aporte todos los registros de datos comunicados, manifestando los representantes de la entidad que en el presente caso objeto de reclamación, (…).” (subrayado de la AEPD). 5. Sobre la relación SEUR-CITIBOX: “SEUR aporta el contrato suscrito con CITIBOX formalizado el 12 de mayo de 2017, y la Adenda formalizada el 1 de junio de 2018, con relación a la comunicación de los datos personales derivados de la prestación del servicio. Ambos documentos ya fueron aportados por CITIBOX y citados más arriba en el presente informe. Solicitada documentación que acredite la autorización previa por escrito, específica o general, de ***ENTIDAD.1 para la subcontratación con CITIBOX de la entrega de los paquetes de sus clientes, indican que el servicio prestado por SEUR a ***ENTIDAD.1 requiere la comunicación de datos de los destinatarios, regulándose como una cesión de datos y no como un encargo de tratamiento, siendo ambos responsables del tratamiento, por lo que no es de aplicación una autorización de ***ENTIDAD.1 para la subcontratación por parte de SEUR a CITIBOX. ***ENTIDAD.1 contestó a la reclamante, contestación que aporta junto a su reclamación, que: “(…)”. 6. Sobre la prestación de servicios de mensajería y la Protección de Datos: “Manifiestan que la Agencia Española de Protección de Datos (AEPD) se ha pronunciado en varios informes sobre el rol de responsable del tratamiento de la empresa de mensajería. En concreto, destacan un Informe del Gabinete Jurídico (0064/2020) en el que la consultante, una empresa de transporte de documentos, requiere para prestar sus servicios los datos del cliente, los datos de origen y de destino que deben ser comunicados por los clientes. Indican que la AEPD entiende que en estos casos no se produce una actuación como encargado del tratamiento, sino que se incorporan los datos personales recabados para sus propios fines, y es la empresa quien decide la forma de llevar a cabo el servicio de transporte encomendado. En definitiva, no existiría un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/78 encargo del tratamiento sino una cesión de datos, ya que los datos transmitidos son incorporados en la base de datos de la entidad receptora (empresa de mensajería) para que esta proceda a su tratamiento para los fines que le son propios hasta su entrega al destinatario. Manifiestan que además la ley parece establecer unas obligaciones específicas en materia de protección de datos al operador postal que supondrían una justificación más para considerarle Responsable del Tratamiento de los datos personales. Indican que en este sentido, la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal, establece unas obligaciones respecto del envío, que incluye tanto la confidencialidad de su contenido, en un sentido amplio, como la protección de los datos personales que se han confiado al operador postal para la realización de su labor. Manifiestan que si fuera un verdadero encargado del tratamiento dichas obligaciones de protección de datos habría que imponérselas al remitente, que sería quien le ha realizado el encargo de transportar el documento al destinatario.” (subrayado de la AEPD). En la parte final del informe de actuaciones previas de investigación se destaca que: “Se ha evidenciado que el paquete de ***ENTIDAD.1 para la reclamante fue repartido por SEUR que lo depositó en un buzón de CITIBOX ubicado en la urbanización donde reside la reclamante. (…) SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de recepción de paquetería en taquillas (...) de CITIBOX y en la documentación contractual se configuran ambas entidades como responsables del tratamiento, no existiendo por tanto contrato de encargado de tratamiento entre ambas entidades. CITIBOX remite a un Informe del Gabinete Jurídico de esta Agencia de número (0064/2020). CITIBOX ha declarado que la base jurídica para el tratamiento de los datos personales de los destinatarios de los paquetes es su interés legítimo para cumplir las obligaciones contractuales adquiridas con SEUR. Aportan documento de análisis de ponderación del interés legítimo. El destinatario (…). Se ha evidenciado que la reclamante recogió el paquete mediante llamada telefónica, sin descargarse la app de CITIBOX ni registrarse. SEUR ha manifestado que comunica a CITIBOX únicamente el teléfono de contacto del destinatario, único dato necesario para las gestiones, (…). (…). Durante las presentes actuaciones se ha evidenciado que CITIBOX ha tratado, además del teléfono, el nombre completo y la calle donde reside la reclamante, por lo que se han remitido requerimientos de información adicionales para aclarar lo sucedido, concluyéndose que (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/78 (…). Con posterioridad la entidad ha bloqueado los datos de la reclamante como resultado de un ejercicio de su derecho de cancelación. Así mismo, CITIBOX (…).” (subrayado de la AEPD). En el referido informe, también se destaca que: “(…). SEUR GEOPOST, S.L.U (SEUR).consta en AXESOR como filial del grupo con un volumen de ventas de 604.974.774 euros (…).” SEXTO: Acuerdo de inicio del procedimiento sancionador Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción: - Del Artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD. - Del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. - Del Artículo 5.1
- f)del RGPD, relativa al caso concreto de la reclamante, tipificada en el artículo 83.5 del RGPD. - Del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones, en el que formulaba alegaciones al acuerdo de inicio y solicitaba la práctica de las siguientes pruebas: - Que por la AEPD se solicite: A la comunidad de vecinos de calle (...) ***PORTALES. B, a través de la persona de su presidente, B.B.B.; los documentos; contratos; acuerdos y actas que acrediten la relación existente entre la comunidad de vecinos a la que afecta este procedimiento y CITIBOX. A CITIBOX los documentos; contratos y acuerdos que acrediten la relación existente con la comunidad de vecinos de la calle (...) ***PORTALES. B. - SEUR aporta enlace para la consulta de empresas que tienen reconocida la condición de operador postal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/78 SÉPTIMO: Práctica de pruebas: Con fecha 22 de mayo de 2025, el instructor del procedimiento acordó la apertura de un periodo de práctica de pruebas. A. Se dieron por reproducidos, a efectos probatorios, los siguientes documentos: I. La reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, así como los documentos obtenidos y generados durante la fase de actuaciones previas de investigación, en particular, el informe de actuaciones previas de investigación. II. Las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por SEUR, y la documentación que a ellas acompaña. III. En respuesta a la solicitud formulada por SEUR en el apartado 2 de la proposición de prueba, que figura en el escrito de alegaciones de SEUR al acuerdo de inicio, se dio por reproducido el contenido de la Adenda- Corrección de la autorización para la instalación de buzones (…) para paquetes, firmada el 20 de noviembre de 2024, por el representante de CITIBOX y ***CARGO.1 de la Comunidad de Propietarios de la (…). En cuanto a la autorización inicial de la Comunidad de Propietarios, ya formaba parte del expediente, documento 3, anexo al escrito presentado por CITIBOX con fecha 28 de abril de 2023. El contenido de dicha práctica de prueba aparece reflejado en la “Diligencia aut buzones” de 22 de mayo de 2025. IV. En respuesta a la solicitud formulada por SEUR en el apartado 3 de la proposición de prueba, que figura en el escrito de alegaciones de SEUR al acuerdo de inicio, se dio por reproducido el contenido del listado por orden alfabético de operadores postales inscritos en el Registro general de empresas prestadoras de servicios postales a fecha 2 de diciembre de 2024, (…). El contenido de dicha práctica de prueba aparece reflejado en la “Diligencia op postal” de 22 de mayo de 2025. V. La documentación correspondiente al EXP(...), relativo a la tramitación de la reclamación presentada por A.A.A. y su traslado a SEUR. S.A, reflejada en la “Diligencia EXP(...)” de 18 de junio de 2025. B. Se practicaron las siguientes pruebas: I. En relación con SEUR: 1. Se requirió a SEUR GEOPOST, S.L para que, en un plazo de ocho días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito de práctica de pruebas de fecha 22 de mayo de 2025, aportara a la AEPD copia de la etiqueta que iba impresa en el paquete entregado a A.A.A., o en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/78 defecto, copia del modelo de etiqueta que se adjuntaba en los paquetes entregados por SEUR GEOPOST, S.L en (...). El escrito de SEUR en respuesta a dicho requerimiento tuvo entrada en la AEPD el 3 de junio de 2025. La contestación se refleja en los hechos probados tercero y trigésimo sexto. 2. Se requirió a SEUR GEOPOST, S.L. para que, en un plazo de tres días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito de práctica de pruebas de fecha 17 de junio de 2025, aportara a la AEPD el (…). El escrito de SEUR en respuesta a dicho requerimiento fue presentado en la AEPD el día 20 de junio, siendo registrado el 23 de junio de 2025. 3. Asimismo, se dieron por reproducidas, a efectos probatorios varias capturas de pantalla obtenidas de la dirección (…) (a la que hizo referencia la reclamante en su recurso de reposición). “Diligencia SEUR pickup” de fecha 19 de junio de 2025. II. En relación con CITIBOX: 1. Se requirió a CITIBOX SMART SERVICES, S.L. para que, en un plazo de cinco días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito de práctica de pruebas de fecha 22 de mayo de 2025, aportara la siguiente información y documentación: Indicara y acreditara a partir de qué fecha CITIBOX (…). Aclarara si el personal de CITIBOX estaba en algún momento en contacto físico con los paquetes que depositan los repartidores de SEUR en los buzones de CITIBOX (pudiendo manipularlos o visualizar el contenido de la etiqueta relativa al envío, que figura en la cubierta de los mismos) El escrito de CITIBOX en respuesta a dicho requerimiento fue presentado en la AEPD el día 29 de mayo de 2025. Las respuestas obtenidas se reflejan en los hechos probados vigésimo sexto, trigésimo cuarto, trigésimo quinto, trigésimo séptimo y trigésimo octavo, 2. Se requirió a CITIBOX SMART SERVICES, S.L. para que, en un plazo de cinco días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito de práctica de pruebas de fecha 10 de junio de 2025, aportara la siguiente información y documentación: El documento que sirviera como prueba de entrega del paquete destinado a A.A.A., que CITIBOX entregó a SEUR. En su caso, aportara el documento que sirviera como prueba de entrega del paquete destinado a A.A.A., que CITIBOX entregó a la Comunidad de Propietarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/78 El escrito de CITIBOX en respuesta a dicho requerimiento fue presentado en la AEPD el día 16 de junio de 2025 y se refleja en los hechos probados quinto y cuadragésimo tercero. III. En relación con la Comunidad de Propietarios: Se requirió a la Comunidad de Propietarios de la (...) ***PORTALES. B, en un plazo de ocho días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la notificación del escrito práctica de prueba de 23 de mayo de 2025, aportara la siguiente información y documentación: Las actas fechadas y firmadas que reflejasen los acuerdos adoptados por dicha Comunidad de Propietarios relativos a la autorización a la empresa CITIBOX SMART SERVICES, S.L (en adelante, CITIBOX) para la instalación de buzones (…) en las zonas comunes de dicha Comunidad. Así como, en su caso, otros contratos o documentos, que acreditasen la relación existente entre dicha Comunidad de Propietarios y CITIBOX. Indicara debajo de qué edificio de esa Comunidad de Propietarios se encontraban situados los buzones (…) de CITIBOX en (...). El escrito de la Comunidad de Propietarios en respuesta a dicho requerimiento fue presentado en la AEPD el día 3 de junio de 2025. El resultado de dicha práctica de prueba figura en la “Diligencia Cdad Prop” de fecha 11 de junio de 2025. También se refleja en los hechos probados cuarto, trigésimo noveno a cuadragésimo segundo a quincuagésimo primero. OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento: Se acompaña como anexo relación de documentos obrantes en el procedimiento. NOVENO: Volumen de negocios de SEUR GEOPOST S.L: De acuerdo con información recogida de la herramienta AXESOR, la entidad SEUR GEOPOST S.L. es una empresa constituida en el año 1999, y con un volumen de negocios de 604.974.774 euros en el año 2022. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS ÍNDICE DE HECHOS PROBADOS A los efectos de facilitar la lectura de los hechos probados consignados en la propuesta de resolución indicaremos que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/78 Del hecho probado primero al décimo se consignan los hechos probados relativos al envío de un paquete del que era responsable SEUR a la reclamante. Del hecho probado undécimo al decimonoveno se consignan los hechos probados relativos a CITIBOX. Del hecho probado vigésimo al vigésimo noveno se consignan los hechos probados que hacen referencia a la relación contractual existente entre SEUR y CITIBOX. El hecho probado trigésimo consigna que SEUR y CITIBOX no celebraron un contrato de encargo de tratamiento. Del hecho probado trigésimo primero al trigésimo octavo se consignan los hechos probados que hacen referencia a la comunicación de datos personales entre SEUR y CITIBOX, tanto en general como en el caso particular de la reclamante. Del hecho probado trigésimo noveno al cuadragésimo tercero se consignan los hechos probados que se refieren a la comunidad de propietarios de la reclamante y su relación con CITIBOX. El hecho probado cuadragésimo cuarto consigna que CITIBOX figura en el listado de operadores postales inscritos Registro general de empresas prestadoras de servicios postales como operador tipo A. El hecho probado cuadragésimo quinto consigna información relativa al EXP(...). Del hecho probado cuadragésimo sexto al cuadragésimo noveno consignan información reflejada en la “Diligencia SEUR pickup”. El hecho probado quincuagésimo consigna información en el documento de SEUR titulado “DOCUMENTO.1”, que contiene las instrucciones para entregar paquetes en los lockers de CITIBOX. PRIMERO: El ***FECHA.3 la reclamante adquirió unos productos en la página web de ***ENTIDAD.1 e indicó como lugar de entrega del pedido su domicilio. Junto con el escrito de reclamación de 26 de febrero de 2023, la reclamante ha aportado un correo electrónico procedente de la empresa ***ENTIDAD.1 en el que se indica que el pedido está en proceso. Dicho documento refleja que pedido se realizó el día ***FECHA.3. En el documento aparece el logo de ***ENTIDAD.1 y bajo el mismo se visualiza el siguiente texto: “(…). (…).” En relación con los datos personales relativos al envío, dicho documento indica: “Envío: A.A.A. ***DIRECCIÓN.1 ***LOCALIDAD.1” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/78 SEGUNDO: La empresa SEUR GEOPOST, S.L. (SEUR) era responsable de la entrega del paquete. Así se refleja en el correo electrónico de fecha 27 de enero de 2023, que envió la Oficina de Privacidad de ***ENTIDAD.1 a la reclamante: “***ENTIDAD.1 contrata a SEUR para sus servicios de entrega y solo comparte los datos pertinentes para garantizar que la entrega pueda efectuarse. SEUR es responsable de la entrega” (el subrayado es nuestro) TERCERO: En fase de práctica de prueba, SEUR ha indicado que el paquete dirigido a la reclamante era un envío internacional y la etiqueta se generó en origen. En dicha etiqueta, figuraban los siguientes datos personales: “A.A.A. (nombre y apellidos de la reclamante) ***DIRECCIÓN.1 ***LOCALIDAD.1” El envío iba dirigido a la reclamante en su domicilio. Así se refleja en el escrito presentado por SEUR en esta Agencia el 3 de junio de 2025, elaborado en respuesta al escrito de práctica de prueba de 22 de mayo de 2025, remitido por esta Agencia, así como en el Anexo I “(…)”. En el mencionado escrito de SEUR se indica: “ (…).” CUARTO: El repartidor de SEUR depositó el paquete en un buzón (…) o taquilla (…) que la empresa CITIBOX había instalado en la Calle (…). En el escrito elaborado por CITIBOX en contestación al traslado de la reclamación y solicitud de información de 27 de abril de 2023, se indica: “Volviendo al caso que nos ocupa, todo el proceso quedó debidamente registrado en los sistemas de Citibox; (…), a los oportunos efectos, como documento núm. 5. En ellos se aprecia: 1. Que el paquete fue depositado en el buzón (...) el ***FECHA.2, a las (…), por un usuario perteneciente al transportista Seur, S.A., y dirigido al teléfono ***TELÉFONO.1;” El documento 1, que acompaña al escrito de CITIBOX de 16 de junio de 2025, aportado por CITIBOX en fase de práctica de prueba, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador incluye en la Imagen 1 (…) del paquete. Junto a dicha imagen CITIBOX figura el siguiente comentario: “ (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/78 Los buzones (…) o taquillas (...) de CITIBOX estaban instalados en el interior del portal de la Calle (…), tal y como refleja la Diligencia relativa a los documentos aportados en fase de práctica de prueba por la Comunidad de Propietarios de fecha 11 de junio de 2025 (“Diligencia Cdad Prop”). QUINTO: (…). (…). (…) “(…): (…) (…): (el destinatario del paquete) (…). (…). (…). (…) (…) (…). En el caso de la reclamante, el documento 1, que acompaña al escrito de CITIBOX de 16 de junio de 2025, aportado por CITIBOX en fase de práctica de prueba, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador, incluye en la Imagen 1 (…). El comprobante se generó el ***FECHA.2 a las (…) El texto que figura (…) indica: “(…). (…). (…). (…). (…) (…)” CITIBOX en su escrito de 16 de junio de 2025, elaborado en respuesta al escrito de práctica de prueba de esta Agencia de fecha 10 de junio de 2025, indica: “(…).” SEXTO: Tras depositarse el paquete en el buzón (…) de CITIBOX, la reclamante recibió en su teléfono móvil un mensaje SMS procedente de CITIBOX con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/78 “(…)” En relación con el mensaje SMS enviado a la reclamante, en el escrito elaborado por CITIBOX en contestación al traslado de la reclamación y solicitud de información de 27 de abril de 2023, se indica: “Volviendo al caso que nos ocupa, todo el proceso quedó debidamente registrado en los sistemas de Citibox; (…), como documento núm. 5. En ellos se aprecia: 1. Que el paquete fue depositado en el buzón (…) el ***FECHA.2, a las (…), por un usuario perteneciente al transportista Seur, S.A., y dirigido al teléfono ***TELÉFONO.1; 2. (…): “(…)” El documento 1, que acompaña al escrito de CITIBOX de 16 de junio de 2025, aportado por CITIBOX en fase de práctica de prueba, figura como documento anexo a la propuesta de resolución de este procedimiento sancionador, incluye en la Imagen 2 (…). Junto a dicha imagen figura el siguiente comentario de CITIBOX: “(…), del prestador de servicios de mensajería de Citibox, recoge que la empresa envió un mensaje (…). SÉPTIMO: La reclamante era una usuaria no registrada en CITIBOX, dado que no había mantenido ninguna relación comercial previa con dicha empresa. OCTAVO: La reclamante abrió la taquilla de CITIBOX, en la que estaba depositado el paquete, tras una conversación telefónica con un empleado de CITIBOX. La grabación de la conversación mantenida entre el empleado de CITIBOX y la reclamante forma parte del expediente. El informe de actuaciones previas de investigación en relación con la grabación de la llamada señala: “(…).” NOVENO: Tras la recepción del paquete la reclamante dirigió sendos escritos al DPO de ***ENTIDAD.1, al DPO de SEUR y al DPD de CITIBOX. Dichos documentos acompañan al escrito de reclamación. El texto de los mensajes era muy similar. Entre otros aspectos, la reclamante destacaba que la entrega del paquete en el buzón (…) de CITIBOX se había producido sin su autorización. Asimismo, señalaba que no tenía relación comercial alguna con la empresa CITIBOX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/78 También hacía referencia a una cesión ilegal de sus datos personales por parte de SEUR a CITIBOX. DÉCIMO: El DPO de SEUR envió a la reclamante un correo electrónico de respuesta el 20 de diciembre de 2022 en el que informaba a la reclamante que SEUR dispone de una amplia red de puntos de entrega como (…) para las mercancías que son transportadas por SEUR, con el objetivo de facilitar el acceso a las mismas por parte de sus clientes. (…). (…). El texto del correo electrónico es el siguiente: “(…), (…). (…). (…). (…)” (subrayado de la AEPD) UNDÉCIMO: CITIBOX es una empresa dedicada a la instalación y gestión de buzones destinados a la recepción y devolución de paquetería ubicados en las zonas comunes de edificios. Los buzones de CITIBOX (…). Así, se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, en el que se indica: “0.1. Acerca de Citibox Citibox es una empresa española dedicada a la instalación y gestión de buzones, destinados a la recepción y devolución de paquetería, en las zonas comunes de aquellos edificios cuyos propietarios así lo soliciten. Estos buzones (…).” (subrayado de la AEPD). Esta misma información se refleja en el informe de actuaciones previas de investigación de 5 de abril de 2024. DUODÉCIMO: CITIBOX señala que su modelo de negocio consiste en (…). (…). En este sentido se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, en el que se señala: “(…) El modelo de negocio de la empresa (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/78 DECIMOTERCERO: El uso de los buzones (…) de CITIBOX (…). En relación con esta cuestión, el escrito de CITIBOX de 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, indica: “(…).” Asimismo, el informe de actuaciones previas de investigación de 5 de abril de 2024, señala: “Estos buzones cuentan con (…), de tal forma que solo son accesibles (…). DECIMOCUARTO: SEUR remunera a CITIBOX el servicio de recepción de los envíos de paquetería de SEUR en los buzones (…) de CITIBOX. En este sentido la cláusula quinta denominada “(…)” del contrato de prestación de servicios de recepción de paquetería en taquillas (...) celebrado por SEUR y CITIBOX el 12 de mayo de 2017 (en adelante, contrato de 12 de mayo de 2017) dispone: “(…). (…). (…). DECIMOQUINTO: Cuando un paquete es depositado en los buzones de CITIBOX por una empresa de mensajería (en este caso, SEUR), dicha empresa comunica a CITIBOX el número de teléfono del destinatario. CITIBOX afirma que dicha comunicación del dato personal (número de teléfono del destinatario) se produce a los meros efectos de que CITIBOX pueda contactar con el destinatario del paquete (en este caso, la reclamante) para facilitar la recogida del paquete. Así lo refleja CITIBOX en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD, señala: “(…) cuando un paquete es depositado en nuestros buzones por una empresa de mensajería, esta nos comunica un número de teléfono a los meros efectos de que podamos contactar con el destinatario, para facilitar su recogida.” (subrayado de la AEPD). DECIMOSEXTO: Cuando una empresa de mensajería deposita un paquete en los buzones (…) de CITIBOX y la persona física destinataria del paquete no desea darse de alta (…) de CITIBOX, CITIBOX la considera un usuario no registrado. Tal y como refleja el hecho probado séptimo este era el caso de la reclamante, que no tenía relación comercial previa con CITIBOX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/78 DECIMOSÉPTIMO: Si el destinatario del paquete es un usuario no registrado en CITIBOX, CITIBOX le envía un mensaje SMS informándole de la llegada del paquete y de las opciones que tiene para retirarlo. CITIBOX lo indica en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD: “(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo.” (subrayado de la AEPD). DECIMOCTAVO: CITIBOX ofrece dos vías diferentes para que los usuarios no registrados retiren el paquete que se encuentra depositado en sus buzones (…). Opción 1: El (…). Se convierte en cliente de CITIBOX. A partir de ese momento, todas las entregas y procesos de comunicación se gestionarán (…). Opción 2: (…). (…). (…). La reclamante retiró el paquete utilizando esta segunda opción tal y como refleja la grabación, que forma parte del expediente, a la que hace referencia el hecho probado octavo. CITIBOX, explica estas dos opciones de entrega en su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD: “(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él por medio de un SMS, informándole sobre la llegada del paquete y las opciones que tiene para retirarlo. Así, Citibox ofrece dos vías diferentes: (…) (…) optó por esta segunda opción, que (como acredita la llamada) funcionó con normalidad,” (subrayado de la AEPD). El escrito de CITIBOX de 27 de abril de 2023 incluye dos imágenes que explican las dos formas de recoger los paquetes en los buzones de CITIBOX. La imagen explicativa de la opción de abrir el buzón (…) (empleada por la reclamante), también figura en la “Diligencia info CITIBOX”, que contiene varias comprobaciones realizadas por la SGID en la página web de CITIBOX con fecha 7 de febrero de 2024. DECIMONOVENO: El apartado de política de privacidad de la página web de CITIBOX indicaba que en el caso de (…) sus datos personales serían tratados con la única finalidad de gestionar la recogida del paquete. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/78 En este sentido, la diligencia denominada “Diligencia info CITIBOX” de la SGID, refleja una serie de comprobaciones realizadas en la página web de CITIBOX a fecha 7 de febrero de 2024, reproduce el texto capturado de dicha página web: “(…).” VIGÉSIMO: Descripción de la relación entre SEUR y CITIBOX, aportada por SEUR a la SGID, en contestación a un requerimiento de información. SEUR indica que las entregas en los lockers de CITIBOX siguen lo establecido en las condiciones de transporte de SEUR, disponibles en la página web de SEUR. En el escrito de 4 de enero de 2024, elaborado por CITIBOX en contestación al requerimiento de la SGID de fecha 19 de diciembre de 2023, se indica: “(…). (…). (…).” VIGÉSIMO PRIMERO: CITIBOX y SEUR suscribieron un contrato de prestación de servicios de recepción de paquetería en taquillas (...) el 12 de mayo de 2017 (en adelante, contrato de 12 de mayo de 2017). El referido contrato ha sido aportado por CITIBOX, junto con su escrito 27 de abril de 2023, elaborado en contestación al traslado de la reclamación y solicitud de información por parte de la AEPD como Documento 1. Asimismo, dicho contrato ha sido aportado con la denominación de anexo II por SEUR, junto con su escrito de 4 de enero de 2024, elaborado en contestación al requerimiento del Inspector de 19 de diciembre de 2023. VIGÉSIMO SEGUNDO: En el contrato de 12 de mayo de 2017 SEUR manifiesta, en desarrollo de sus servicios logísticos, su interés (…). Así se refleja en el punto I de dicho Contrato: "(…) (…).” (Subrayado de la AEPD). VIGÉSIMO TERCERO: A través del contrato de 12 de mayo de 2017 CITIBOX facilitaba a SEUR el acceso a (…). Así se refleja en el siguiente párrafo de dicho Contrato: “(…).” (Subrayado de la AEPD). A continuación, el contrato menciona algunas funcionalidades y servicios disponibles (…): “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/78 (…). (…). (…). (…).” VIGÉSIMO CUARTO: (…). (…). “(…)”. VIGÉSIMO QUINTO: (…). (…). VIGÉSIMO SEXTO: (…). En este sentido, el contrato de 12 de mayo de 2017 señala: En relación con esta cuestión, el contrato de prestación de servicios de recepción de paquetería en taquillas (...) celebrado entre CITIBOX y SEUR el 12 de mayo de 2017 indica: “(…). (…). (…)” Asimismo, CITIBOX en su escrito de 29 de mayo de 2015, elaborado en respuesta a una solicitud a una práctica de prueba de fecha 22 de mayo de 2025, aclara: “(…) (…)”. VIGESIMO SÉPTIMO: En el supuesto de que el paquete no sea retirado (…) de CITIBOX por el destinatario. CITIBOX comunica la falta de recogida a SEUR, que procederá a gestionar la devolución (…). El contrato de 12 de mayo de 2017 en su cláusula tercera “Condiciones de uso” apartado 6 “(…)”: “(…). (…)”. VIGÉSIMO OCTAVO: El contrato de 12 de mayo de 2017 contenía una cláusula sexta denominada “(…)” con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/78 “(…). (…). 1. (…). (…). (…). 2. (…). (…). (…). 3. (…). (…).” VIGÉSIMO NOVENO: Con fecha 1 de junio de 2018 CITIBOX y SEUR firmaron un anexo al contrato de prestación de servicios. Tal y como destaca el informe de actuaciones previas de investigación: “(…).” SEUR y CITIBOX sustituyeron la cláusula sexta del contrato denominada “(…)” por una nueva cláusula denominada “(…)”. Dicha cláusula regula la cesión de datos personales entre ambas empresas (…) partiendo de la idea de que son responsables del tratamiento independientes. (…). La nueva cláusula tenía la siguiente redacción: "(…). (…): (…) (…): (…) - (…). - (…). (…) - (…). - (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/78 Asimismo, incorporaron al contrato una cláusula denominada “(…)”. (…). Se indica que (…). La nueva cláusula tenía la siguiente redacción: “(…). (...). (A continuación, se citan las direcciones de correo electrónico del DPD de CITIBOX y del DPO de SEUR) (…)”. TRIGÉSIMO: SEUR y CITIBOX no celebraron un contrato de encargo de tratamiento. En este sentido, el informe de actuaciones previas de investigación de 5 de abril de 2024 indica: “SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de recepción de paquetería en taquillas (...) de CITIBOX y en la documentación contractual se configuran ambas entidades como responsables del tratamiento, no existiendo por tanto contrato de encargado de tratamiento entre ambas entidades.” (subrayado es nuestro). SEUR, en el escrito de alegaciones al acuerdo de inicio, señala: “(…) está imponiendo un imposible ontológico a esta administrada ya que, obviamente no existe un contrato de encargo de tratamiento porque existe un contrato de distribución de la condición de responsables del tratamiento; y este excluye la necesidad de aquel.” (el subrayado es nuestro) TRIGÉSIMO PRIMERO: SEUR, en contestación a dos requerimientos de información de la SGID, indicó a la AEPD los datos que comunicaba a CITIBOX. Entre los mismos no se encontraban el (…). En el escrito de SEUR de fecha 4 de enero de 2024, elaborado en contestación al primer requerimiento de información de la SGID de 19 de diciembre de 2023, se indica: “PUNTO 5. Copia de todos los datos relativos a A.A.A. y de su envío (…), facilitados a CITIBOX para proceder a la entrega o puesta a disposición del paquete a la destinataria. (…): - (…) - (…) (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/78 - (…) - (…)” (Subrayado de la AEPD). En relación con esta misma cuestión, en el escrito de SEUR (presentado en la AEPD el 28 de febrero de 2024), elaborado en contestación al segundo requerimiento de información de la SGID se indica: “PUNTO 1. Información exacta sobre todos los datos personales de los destinatarios que SEUR comunica a CITIBOX en el marco del contrato suscrito, aportando documentación acreditativa de la información que se facilite. Se pide copia de todos los tipos de registros informáticos de datos comunicados de SEUR a CITIBOX con explicación de cada uno de sus campos. Copia de los registros informáticos de datos relativos a la reclamante comunicados a CITIBOX con ocasión del envío objeto de reclamación. (…): - (…) - (…) (…): - (…) - (…) -(…). (…).” (subrayado de la AEPD) Asimismo, la parte final del informe de actuaciones previas de investigación señala: “(…).” (Subrayado de la AEPD). TRIGÉSIMO SEGUNDO: CITIBOX, en contestación a un requerimiento de información de la SGID indicó que los únicos datos obligatorios que precisa obtener de las empresas de mensajería para realizar la entrega del paquete son (…). En este sentido, CITIBOX en su escrito de fecha 29 de febrero de 2024, elaborado en contestación al primer requerimiento de información de la SGID, señaló: “Como expusimos en su momento, los únicos datos obligatorios que Citibox precisa obtener de las empresas de mensajería para realizar una (…). TRIGÉSIMO TERCERO: El repartidor de SEUR, en el momento de realizar la entrega del paquete en la taquilla (…) o buzón de CITIBOX, comunicó a esta segunda empresa (CITIBOX) el nombre y los apellidos de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/78 Así lo muestra la imagen 1 (…), que figura como anexo a la propuesta de resolución. En (…) ***FECHA.2 a las (…) se refleja que el repartidor de SEUR comunicó a CITIBOX además del número de teléfono de la reclamante “***TELÉFONO.1” el nombre y apellidos de la misma “A.A.A.” (…), CITIBOX ha incluido el siguiente texto: “(…).” TRIGÉSIMO CUARTO: Citibox dispone de (…): (…). (…). En este sentido, lo señala CITIBOX en su escrito de 29 de mayo de 2025, elaborado en contestación a la práctica de prueba de la AEPD de fecha 22 de mayo de 2025: “(...)”. TRIGÉSIMO QUINTO: Los repartidores de las empresas de mensajería (en este caso, SEUR) pueden depositar paquetes en los buzones (…) Citibox de dos formas diferentes: (…). (…). (…). Así lo refleja CITIBOX en su escrito de 29 de mayo de 2025, elaborado en contestación a la práctica de prueba de la AEPD de fecha 22 de mayo de 2025: “(…): (…) (…) (…).” TRIGÉSIMO SEXTO: A principios de marzo de 2023, hubo un intercambio de correos electrónicos entre el (…) de SEUR y empleados de CITIBOX. El primer correo electrónico, enviado por (…) a un empleado de CITIBOX el (…), comunica una serie de acuerdos adoptados por SEUR. Dichos acuerdos son los siguientes: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/78 (…). Se reproduce el contenido de dicho correo electrónico. Aportado por SEUR como Anexo II al documento de SEUR presentado en la AEPD el 3 de junio de 2025, en contestación al escrito de práctica de prueba de 22 de mayo de 2025. Dicho Anexo II se titula “(…)” El correo indica: “(…) (…): (…). (…). (…). (…).” El correo de respuesta, bajo el título “(…)” figura también en el Anexo II titulado “(…)”, en el mismo se indica: “(…) (…).” Dichos correos electrónicos evidencian que SEUR, responsable del tratamiento, daba instrucciones a CITIBOX, su encargado. TRIGÉSIMO SÉPTIMO: CITIBOX ha aportado en el escrito de 29 de mayo de 2025, elaborado en contestación al escrito de práctica de prueba de esta Agencia de fecha 22 de mayo de 2025, un gráfico que refleja que en julio de 2023 (…). TRIGÉSIMO OCTAVO: El 3 de abril de 2024 se produjo el bloqueo efectivo de (…). (…). CITIBOX, en su escrito de 29 de mayo de 2025, elaborado en contestación a la práctica de prueba de la AEPD de fecha 22 de mayo de 2025, (…)”. El texto de dicho mensaje es el siguiente: “(…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/78 (…). (…). (…). (…) (…).” Asimismo, Citibox ha aportado en su escrito de 29 de mayo de 2025 una captura de pantalla (…). TRIGÉSIMO NOVENO: La Comunidad de Propietarios ***COMUNIDAD.1, donde reside la reclamante, celebró ***FECHA.4 una Junta General Extraordinaria. El punto (…) del Orden del día era la propuesta de instalación de buzones de CITIBOX en las zonas comunes. La propuesta fue aprobada por mayoría de los vecinos presentes. (…). (…): (…). (…). (…). Examinada la relación de propietarios asistentes y representados en la Junta, que figura en el acta, se observa que a dicha reunión no asistió ningún vecino del portal XX (la reclamante reside en la ***DIRECCIÓN.1. (…). (Información reflejada en la “Diligencia Cdad Prop”, que figura en el expediente) CUADRAGÉSIMO: El ***FECHA.1 el presidente de la Comunidad de Propietarios y el representante de la empresa (…), firmaron un (…). (Información reflejada en la “Diligencia aut buzones” y en la “Diligencia Cdad Prop”, que figuran en el expediente) CUADRAGÉSIMO PRIMERO: La autorización de la Comunidad de Propietarios a (…) para la instalación de buzones (…), vigente en el momento en el que se produjeron los hechos examinados en este expediente (***FECHA.2), indicaba lo siguiente: (…) (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/78 EXPONEN I.- (…). II. (…). CONDICIONES PARTICULARES I.- (…). II.- (…). III.- (…). IV.- (…). V.- (…).” El documento lo firman tanto el Presidente de la Comunidad de Propietarios como el representante de (…). Tal y como ha destacado el inspector en el informe de actuaciones previas de investigación, el documento no incluye información ni estipulación alguna sobre tratamientos de datos personales de los destinatarios de los paquetes: “Se comprueba que CITIBOX aporta copia de un documento suscrito por la Comunidad de Propietarios sita en una determinada calle (misma en la que reside la reclamante) que comprende los números o portales “***PORTALESA”. (…) El documento se limita a una autorización de instalación de los buzones y unas condiciones particulares que no incluyen información ni estipulación alguna sobre tratamientos de datos personales de los destinatarios de los paquetes.” (subrayado nuestro). CUADRAGÉSIMO SEGUNDO: La autorización de la comunidad de propietarios a la empresa (…) para la instalación de buzones (…), vigente en el momento en el que se produjeron los hechos examinados en este expediente (***FECHA.2), hacía referencia a la comunidad de propietarios sita en la Calle (…) ***PORTALES-A. En este sentido, en el informe de actuaciones previas de investigación se señala: “Se comprueba que CITIBOX aporta copia de un documento suscrito por la Comunidad de Propietarios sita en una determinada calle (misma en la que reside la reclamante) que comprende los números o portales “***PORTALESA”. Si bien la reclamante reside en el XX, ella misma cita en otros documentos a su Comunidad de Propietarios como que comprende los portales “***PORTALES- B” (se trata de una Urbanización), documento tales como su reclamación ante CITIBOX.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/78 Con fecha 20 de noviembre de 2024 ***CARGO.1 de la Comunidad de Propietarios y el representante de CITIBOX firmaron, a petición de CITIBOX, una Adenda (…). En dicha Adenda, entre otras cuestiones, se indica: “4. Que dichos buzones (…) de CITIBOX están funcionando en la actualidad y dan servicio a las siguientes direcciones: (…) (…) (…) 5. Que Citibox ha identificado un error manual en la autorización de instalación inicial por el cual se indica que la dirección de la comunidad de propietarios es la calle (…) ***PORTALES-A y en realidad la comunidad de propietarios cubre (…) direcciones adicionales a la mencionada en la orden de instalación original y que se han descrito en el punto 4. 6. Por este motivo Citibox solicita la firma de esta adenda para corrección e inclusión de todas las direcciones y viviendas a las cuales los buzones (…) de Citibox dan servicio de entrega de paquetería.” (Información reflejada en la “Diligencia aut buzones” y en la “Diligencia Cdad Prop”, que figuran en el expediente). CUADRAGÉSIMO TERCERO: La relación entre CITIBOX y las comunidades de propietarios (…). (…). Así lo indica CITIBOX en su escrito de 16 de junio de 2025, elaborado en respuesta a una práctica de prueba de la AEPD de fecha 10 de junio de 2025: “SEGUNDA. Prueba de entrega del paquete a la comunidad de propietarios (…): “(…).” (…). (…). CUADRAGÉSIMO CUARTO: A fecha 2 de diciembre de 2024 CITIBOX SMART SERVICES S.L figuraba inscrita en el listado de operadores postales inscritos Registro general de empresas prestadoras de servicios postales como operador tipo A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/78 CUADRAGÉSIMO QUINTO: Tal y como refleja la “Diligencia EXP(...)”, que forma parte del expediente: 1. La reclamación de 26 de febrero de 2023, presentada por la Sra. A.A.A., que dio tanto al EXP(...) como a este expediente sancionador (EXP(…)). 2. Durante la tramitación el EXP(...) la AEPD dio traslado de la reclamación presentada por la Sra. A.A.A. y dicha empresa formuló las alegaciones que estimó oportunas. 3. En el documento denominado “Información sobre el resultado de la reclamación” de fecha 22 de mayo de 2023, enviada por la AEPD a SEUR, que obra en el EXP(...), se indicaba que la Directora de la AEPD había acordado no admitir a trámite la reclamación presentada contra SEUR por una presunta vulneración de los artículos 5.1
- f)y 32 del RGPD, advirtiendo a continuación: “Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación.” CUADRAGÉSIMO SEXTO: Un locker es una taquilla que ofrece SEUR a sus clientes, que pueden ir a recoger sus paquetes cuando les sea más oportuno, sin necesidad de estar pendientes en casa o en la oficina de la llegada del mensajero o del transportista para su recepción. Las taquillas (…). Cada pedido se asocia a un locker, que sólo podrá abrir el destinatario del mismo. Información reflejada en la “Diligencia SEUR pickup”. CUADRAGÉSIMO SÉPTIMO: (…). (…). (…). (…). (…): (…). (…). (…). (…). Información reflejada en la “Diligencia SEUR pickup”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/78 CUADRAGÉSIMO OCTAVO: Tal y como refleja la “Diligencia SEUR pickup”, las ventajas de SEUR pick up para los clientes de SEUR (destinatarios de los paquetes) serían, en síntesis, tres: (…). (…). (…). La “Diligencia SEUR pickup” indica: “(…): (…) (…).” (el subrayado es nuestro). CUADRAGÉSIMO NOVENO: SEUR pickup tiene las siguientes ventajas para SEUR: (…). (…). (…). Así se refleja en la “Diligencia SEUR pickup” refleja las siguientes ventajas que tiene el servicio SEUR pick up para SEUR: “(…) (…) (…).” (el subrayado es nuestro). QUINCUAGÉSIMO: SEUR dispone de un documento dirigido a sus repartidores titulado “DOCUMENTO.1” que contiene las instrucciones para entregar paquetes tanto en los lockers (…) como en los lockers de CITIBOX. En dicho documento se refleja que el repartidor realizará la entrega desde (…) de SEUR. En una de las páginas bajo el título “(…)” se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/78 “(…).” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas relativas a los conceptos de responsable y encargado del tratamiento En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SEUR GEOPOST, S.L. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas a las que van dirigidos los paquetes de cuya entrega es responsable, así como la comunicación a sus encargados del tratamiento de datos personales de los destinatarios de los envíos que SEUR ha de entregar. Entre los datos personales tratados por SEUR se encuentran el nombre y apellidos, la dirección postal completa, el número de teléfono, etc.… SEUR GEOPOST, S.L. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud de lo dispuesto en el artículo 4.7 del RGPD. Con carácter previo al análisis de las alegaciones formuladas por SEUR al acuerdo de inicio, resulta necesario analizar los conceptos de responsable y encargado y su aplicación al caso particular de SEUR y CITIBOX. 1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1. Conceptos autónomos propios del RGPD El artículo 4 del RGPD define lo que es el responsable y el encargado del tratamiento, en relación con la protección de datos personales, con el siguiente tenor: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/78 “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable .del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Estos conceptos son autónomos, propios y específicos de la normativa en materia de protección de datos de carácter personal (RGPD y LOPDGDD), sin que puedan desfigurarse por mezclarse con otros de otros ámbitos del Derecho tal y como disponen las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de julio de 2021: “13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. (el subrayado es nuestro) 1.2. Conceptos funcionales de responsable y encargado del tratamiento: Nos enfrentamos a un concepto puramente funcional de responsable y encargado del tratamiento, que obliga, en cada supuesto concreto, a examinar quién determina los fines y los medios del tratamiento. Las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD lo expresan con claridad, “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/78 normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable”. (el subrayado es nuestro) En el caso examinado, el tratamiento de datos personales servía a las finalidades propias de SEUR de entrega de los envíos de paquetería de los que dicha empresa era responsable. Cabe recordar que las propias Directrices 7/2020 advierten que los términos contractuales no son determinantes para identificar quién es responsable del tratamiento: “28. En muchas ocasiones, el examen de las cláusulas contractuales entre las distintas partes involucradas puede ayudar a determinar qué parte o partes actúan como responsables del tratamiento. Aun cuando el contrato no estipule quién es el responsable del tratamiento, puede contener elementos suficientes para inferir quién tiene el poder de decisión en relación con los fines y medios del tratamiento.También es posible que el contrato contenga una declaración expresa sobre la identidad del responsable del tratamiento. Si no existen motivos para dudar de que esta se ajuste a la realidad, nada se opone a que se sigan las condiciones fijadas en el contrato. No obstante, los términos de un contrato no son determinantes en todos los casos, ya que, de ser así, las partes simplemente podrían atribuir la responsabilidad como lo consideraran oportuno. No es posible devenir responsable del tratamiento ni rehuir las obligaciones del responsable mediante una mera fórmula en el contrato cuando las circunstancias de hecho indiquen lo contrario”. Y todo ello porque no es baladí quién sea responsable o encargado del tratamiento, quién deba de cumplir con qué obligaciones de las fijadas en el RGPD para cada uno de ellos (procurando de esta forma la protección efectiva de las personas físicas), afectando, además, a cuestiones tan importantes como ante quién se lleva a cabo el ejercicio de los derechos conferidos por el RGDP a los interesados (artículos 15 a 22 y 77 a 82 del RGPD) y cuyo ejercicio incide directamente en el control que ejercen estos últimos sobre los datos personales que les conciernen, puesto que, como indican las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, “2. El concepto de «responsable del tratamiento» y su interacción con el concepto de «encargado del tratamiento» tienen una importancia fundamental en la aplicación del RGPD, puesto que determinan quién responde del cumplimiento de las distintas normas relativas a la protección de datos y cómo pueden los interesados ejercer sus derechos en la práctica. El RGPD introduce expresamente el principio de responsabilidad proactiva, en virtud del cual el responsable del tratamiento es responsable del cumplimiento de los principios relativos al tratamiento de los datos personales previstos en el artículo 5 y debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/78 ser capaz de demostrarlo. Además, el RGPD también introduce unas normas más específicas sobre el recurso a encargados del tratamiento, y algunas de las disposiciones relativas al tratamiento de datos personales se dirigen no solo a los responsables del tratamiento, sino también a los encargados. … 14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados, con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.”. En este mismo sentido, la Sentencia del Tribunal Superior de Justicia de 5 de diciembre de 2023 (Asunto C-807/21) hace referencia a la extensión de la responsabilidad del responsable del tratamiento, indicando: “38 Para responder a esta primera cuestión, procede señalar, para empezar, que los principios, prohibiciones y obligaciones previstos en el RGPD se dirigen, en particular, a los «responsables del tratamiento» cuya responsabilidad se extiende, como subraya el considerando 74 del RGPD, a cualquier tratamiento de datos personales realizado por ellos mismos o por su cuenta, y que, a este respecto, no solo están obligados a aplicar medidas oportunas y eficaces, sino también a poder demostrar la conformidad de sus actividades de tratamiento con el RGPD, incluida la eficacia de las medidas adoptadas para garantizar tal conformidad. Es esa responsabilidad la que constituye, cuando se produce una de las infracciones contempladas en el artículo 83, apartados 4 a 6, de dicho Reglamento, el fundamento de la imposición de una multa administrativa al responsable del tratamiento con arreglo al referido artículo 83.” 1.3. Responsable del tratamiento La definición de «responsable del tratamiento» contiene cinco componentes principales: (
- i)«la persona física o jurídica, autoridad pública, servicio u otro organismo», (
- ii)«determine», (iii) «solo o junto con otros», (
- iv)«los fines y medios» y (
- v)«del tratamiento». En cuanto al elemento “determine”, hace mención al poder de decisión y la influencia del responsable del tratamiento quien decide sobre elementos esenciales del mismo, como el hecho de que se lleve a cabo un tratamiento de datos personales para el cumplimiento de fines propios del responsable que pretende lograr. Así, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD indican que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/78 “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” … 29. Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado. De manera análoga, el hecho de que un contrato mercantil utilice el término «subcontratista» no implica que el ente se considere encargado del tratamiento en el contexto de la legislación en materia de protección de datos. (el subrayado es nuestro). En cuanto a la determinación de fines y medios, siguen indicando las citadas Directrices que, “33. Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo». … 35. La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. … 37. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. (…)” Esto es, que es el responsable del tratamiento el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una función de prestar servicios al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/78 En otras palabras, «actuando en nombre y por cuenta del responsable del tratamiento» significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. 1.4. Encargado de tratamiento Como se puede apreciar, la definición de «encargado del tratamiento» incluye una amplia gama de actores, ya sean personas físicas o jurídicas, autoridades públicas, agencias u otros organismos. La existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que, para el cumplimiento de sus propios fines, podrá decidir realizar él mismo determinadas operaciones de tratamiento o contratar la totalidad del tratamiento o algunas operaciones del tratamiento a un encargado del tratamiento. En este sentido, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de julio de 2021 “Un encargado del tratamiento, o encargado, es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales: ser un ente independiente del responsable del tratamiento y tratar datos personales por cuenta de este”. (el subrayado es nuestro). Siguen indicando sobre el encargado del tratamiento que: (el subrayado es nuestro) “79. Por otra parte, tratar datos personales por cuenta del responsable requiere, en primer lugar, que el ente independiente trate los datos personales en beneficio del responsable. En el artículo 4, punto 2, el tratamiento se define como un concepto que abarca un amplio abanico de operaciones: desde la recogida, la conservación y la consulta hasta la utilización, la difusión o cualquier otra forma de habilitación de acceso y destrucción. El concepto de «tratamiento» también se describe previamente con más detalle en el punto 2.1.5. 80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/78 datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. … 84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” (subrayado de la AEPD). Como puede observarse, la esencia de la función de «encargado del tratamiento» es que (
- i)sea independiente del responsable del tratamiento y (
- ii)que los datos personales sean tratados en nombre y por cuenta de este. 1.5. SEUR determina los fines y medios del tratamiento: 1.5.1. SEUR decide sobre fines del tratamiento: A la hora de examinar el caso particular resulta necesario centrar la atención en el tratamiento de datos personales que se ha llevado a cabo al objeto de hacer posible que el envío del paquete del que era responsable SEUR pudiera llevarse a cabo. El tratamiento de datos personales, que permite que el envío tenga lugar, está dividido a su vez en operaciones de tratamiento. El responsable del tratamiento puede realizar todas las operaciones, que componen dicho tratamiento, o puede ocuparse de algunas de dichas operaciones el encargado (en este caso, CITIBOX, con el que SEUR había firmado un contrato de prestación de servicios de recepción de paquetería en taquillas (...), hecho probado vigésimo primero). El envío del paquete, que contenía una compra realizada por la reclamante en ***ENTIDAD.1 (hecho probado primero), juega un papel clave, es la razón de ser del tratamiento de datos personales, al tiempo que, sin dicho tratamiento de datos, el envío no habría podido llevarse a cabo. Ambos (envío y tratamiento de datos personales) van desarrollándose de forma paralela (a medida que el envío progresa, se van tratando datos de carácter personal, incluso, puede haber momentos en los que el tratamiento de datos sea previo y permita que el envío del paquete pueda llevarse a cabo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/78 SEUR era el responsable del envío y debía entregar el paquete a la reclamante (la finalidad del tratamiento es para SEUR). El lugar de la entrega, que figuraba en el pedido, era el domicilio de la reclamante (hecho probado tercero). SEUR recoge el paquete y es responsable de transportarlo hasta la entrega en su destino (hecho probado segundo). A medida que el envío progresa, SEUR va realizando distintas operaciones de tratamiento. Si en esta entrega se hubiera seguido el protocolo interno definido por SEUR, el repartidor de SEUR habría entregado el paquete en el domicilio de la reclamante (que se encontraba en su domicilio cuando el repartidor de SEUR llegó a su urbanización con el paquete). Sin embargo, el repartidor de SEUR no siguió el protocolo interno de SEUR. Utilizando la (…), facilitó a dicha empresa una serie de datos personales relativos a la reclamante (más de los que debería haber facilitado, (…). A partir de ese momento, CITIBOX, encargado del tratamiento de SEUR, comenzó a tratar los datos de la reclamante y a realizar determinadas operaciones de tratamiento. Los datos personales de la misma quedaron registrados en el sistema de CITIBOX (operación de tratamiento realizada por CITIBOX). CITIBOX le envió un SMS para indicarle que podía recoger el paquete que estaba esperando de SEUR (hecho probado sexto), que se encontraba en los buzones CITIBOX instalados en su comunidad de vecinos (nueva operación de tratamiento llevada a cabo por CITIBOX). Como puede observarse, las operaciones de tratamiento que realiza CITIBOX van encaminadas a una finalidad concreta (entrega del paquete de SEUR), lo que refleja que SEUR es responsable del tratamiento y decide sobre los fines del tratamiento. De forma paralela, SEUR hacía seguimiento del envío, lo que implicaba el tratamiento de datos de carácter personal. Había asignado un (…) determinado al envío (dato de carácter personal), (…) y podía realizar consultas para el seguimiento del mismo en el (…) de CITIBOX. Es decir, SEUR continúa realizando operaciones de tratamiento de datos para el seguimiento del proceso de entrega del paquete, que no concluye hasta que se produzca la entrega del paquete a su destinataria (en este caso, la reclamante). En el caso examinado, el paquete fue entregado a la reclamante. Supongamos ahora que no hubiera sido así. Según se indica en el Anexo al contrato de fecha 12 de mayo de 2017, CITIBOX realizaría un seguimiento del envío. (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 46/78 En conclusión, el tratamiento de datos personales está vinculado a un envió de un paquete de cuya entrega era responsable SEUR (hecho probado segundo). CITIBOX generó unas operaciones de tratamiento concretas. Paralelamente SEUR efectuaba un seguimiento de dicha entrega, con las operaciones de tratamiento de datos que ello comportaba. Como puede observarse el tratamiento, del que es responsable SEUR es un todo. No siendo posible desgajar las operaciones de tratamiento concretas que realiza CITIBOX, que no tienen entidad por sí mismas. Únicamente tienen sentido en el marco del tratamiento considerado en su conjunto, todo ello vinculado a permitir que un paquete del que era responsable SEUR fuera entregado. 1.5.2. SEUR decide sobre los medios del tratamiento Tal y como se ha destacado en el apartado anterior, la finalidad (entrega de envíos de paquetería de los que SEUR es responsable) es de y para SEUR. SEUR dispone de varias opciones. A modo de ejemplo, SEUR: Podía realizar la entrega del paquete por sus propios medios (utilizando sus medios de transporte y un repartidor de SEUR, que efectuase la entrega en el domicilio del destinatario (en este caso, en el domicilio de la reclamante). Podía utilizar el servicio SEUR pickup, tal y como refleja la “Diligencia SEUR pickup”. Podía utilizar las taquillas (...) de CITIBOX (hecho probado vigésimo segundo), empresa con la que había firmado el contrato de 12 de mayo de 2017 para la prestación de servicios de recepción de paquetería en taquillas (...). La cláusula quinta del contrato de fecha 12 de mayo de 2017, celebrado entre ambas empresas, indica la remuneración que SEUR abona a CITIBOX por cada bulto, de cuyo reparto es responsable, que introduzca en las taquillas de CITIBOX (hecho probado decimocuarto). En este caso, SEUR (responsable del tratamiento) decidió contratar con una empresa externa (CITIBOX) el servicio de recepción de paquetería en taquillas (...), hecho probado vigésimo primero (definición de los medios esenciales del tratamiento). De tal manera que, en los envíos de paquetes de los que era responsable, tenía la posibilidad de utilizar las taquillas (...) que CITIBOX tenía instaladas en comunidades de propietarios (hecho probado vigésimo segundo). Así se refleja en el contrato de prestación de servicios de recepción de paquetería en taquillas (...) celebrado entre ambas empresas el 12 de mayo de 2017, en el que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 47/78 I.- (…). (…) (…). (…). (…). (…) (…).” “(…). (…). (…)” “(…).” “(…)”. Asimismo, SEUR, en calidad de responsable del tratamiento, decidió que las entregas de sus paquetes en las taquillas de CITIBOX las llevasen a cabo sus (…). Tal y como refleja el procedimiento interno “DOCUMENTO.1” (aportado por SEUR, en su escrito de 20 de junio de 2025, en fase de práctica de prueba) y el hecho probado quincuagésimo. Por otra parte, SEUR como responsable del tratamiento impartió instrucciones relacionadas con el tratamiento de datos de carácter personal a su encargado, tal y como refleja el correo electrónico enviado por un empleado de SEUR a CITIBOX (aportado en fase de práctica de prueba por SEUR), en el que se indica: El correo (hecho probado trigésimo sexto) indica: “(…), (…): (…). (…). (...). (…),” (el subrayado es nuestro) Como puede observarse, SEUR, responsable del tratamiento, adopta decisiones sobre el tratamiento de datos personales, que comunica a su encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 48/78 1.6. CITIBOX es encargado del tratamiento: CITIBOX cumple las dos condiciones anteriormente reflejadas (es independiente del responsable del tratamiento y trata los datos personales por cuenta de dicho responsable) Por una parte, CITIBOX es un ente independiente de SEUR (responsable del tratamiento). Por otra, CITIBOX trata los datos de clientes de SEUR con el fin de entregar los envíos de SEUR destinados a los mismos, utilizando las taquillas (...) de CITIBOX. Los tratamientos de datos personales de los clientes de SEUR a los que van destinados dichos envíos, los realiza CITIBOX con la finalidad de hacer posible que dichas entregas de paquetería encomendadas a SEUR se lleven a cabo. A modo de ejemplo, el contrato celebrado entre ambas empresas el 12 de mayo de 2017 prevé: “ (…). También sirve como ejemplo el escrito de CITIBOX de fecha 29 de febrero de 2024, elaborado en respuesta al primer requerimiento de información del Inspector. En el que se indica: “Como expusimos en su momento, (…)”. “TERCERA. Información de protección de datos facilitada a los destinatarios no registrados (…): “(…)” Como puede observarse, los tratamientos de datos personales de personas a las que van destinadas los envíos de SEUR, los realiza CITIBOX con la finalidad de hacer posible que dichas entregas de paquetería se lleven a cabo. Esta circunstancia refleja, que CITIBOX está sirviendo a los intereses de SEUR. Lo expuesto hasta el momento, pone de manifiesto que SEUR ha considerado que el servicio de prestación de servicios de recepción de paquetería en taquillas (...) o buzones, prestado por CITIBOX, resulta el medio idóneo para llevar a cabo la entrega de paquetes de SEUR, con las operaciones de tratamiento de datos personales, que dicha entrega lleva aparejados. 1.7 Conclusión: En conclusión, en el caso examinado en este procedimiento sancionador SEUR era responsable del tratamiento y CITIBOX su encargado. III Alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 49/78 En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1.Respuesta a las dos primeras alegaciones relativas a la nulidad de las actuaciones: 1.1. Primer motivo por el que SEUR alega nulidad de las actuaciones: SEUR solicita que se declare la nulidad de pleno derecho del acuerdo de inicio por inobservancia del procedimiento legalmente establecido, al considerar vulnerado el artículo 118 de la LPACAP. El 26 de febrero de 2023 se presentó ante la AEPD una reclamación que afectaba a SEUR y CITIBOX. Tras su análisis, la Agencia acordó la no admisión a trámite de la misma. Posteriormente, la reclamante interpuso un recurso de reposición. Se remitió dicho recurso a CITIBOX, que pudo manifestar lo que a su interés convino. Tras dictarse resolución estimando el recurso, siguieron nuevas actuaciones por la AEPD contra SEUR. SEUR considera que no tuvo posibilidad de participar en el proceso en los mismos términos que CITIBOX, afirma que era clara interesada en el expediente, si bien no se le dio acceso ni audiencia y fue ignorada, en contra de lo dispuesto en el artículo 118 de la LPACAP. La parte reclamada afirma que se concluyó el procedimiento a sus espaldas, lo que le ha causado una situación de indefensión tan evidente como irreparable, por tratarse de un expediente cerrado. 1.2. Segundo motivo por el que SEUR alega nulidad de las actuaciones: SEUR considera que el acuerdo de inicio refleja que se habrían superado los plazos previstos en nuestra legislación administrativa para sustentar la actividad seguida por la AEPD, en lo relativo a la iniciación de las actuaciones previas de investigación, toda vez que debe considerarse la doctrina del Tribunal Supremo relativa a negar la condición de legitimado al mero denunciante de un procedimiento administrativo sancionador (STS de 16 de diciembre de 2008). En relación con la resolución del recurso de reposición, se habría superado el plazo del mes para dictar y notificar la resolución, así como el plazo de seis meses al haber dictado resolución el 7 de diciembre de 2023. En opinión de SEUR es una actuación fuera de plazo de la AEPD, lo que determina la nulidad de lo actuado. En contestación a las dichas alegaciones (1.1 y 1.2), en las que SEUR señala dos supuestos motivos de nulidad que afectarían al procedimiento sancionador, en primer lugar, no cabría entender que se ha producido dicha nulidad del procedimiento, dado que el acuerdo de inicio es el que determina el arranque del mismo y los supuestos vicios formales se habrían producido con carácter previo a dicho acuerdo de inicio. Asimismo, en cuanto al primer motivo de supuesta nulidad (supuesta inobservancia del procedimiento establecido al haber dado audiencia a CITIBOX, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 50/78 recurso de reposición interpuesto por la reclamante y no a SEUR), cabe señalar lo siguiente: La “Diligencia EXP(...)” muestra que la reclamación formulada por la Sra. A.A.A. (la reclamante) fue traslada por la AEPD, tanto a SEUR como a CITIBOX. Ambas empresas formularon las alegaciones que estimaron convenientes. En ambos casos se acordó la inadmisión a trámite de la reclamación. La reclamante interpuso recurso de reposición contra la inadmisión a trámite de la reclamación del expediente de CITIBOX, dándose audiencia a dicha empresa, con carácter previo a la resolución del mencionado recurso. Alega SEUR una supuesta indefensión. En relación con dicha alegación, resulta necesario traer a colación la Sentencia de la Audiencia Nacional de su Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. Es decir, es necesario que el interesado se vea, en efecto, en una situación de indefensión, siendo preciso que la indefensión sea material y no meramente formal (Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995, 126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya causado un perjuicio real y efectivo para el demandado en sus posibilidades de defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y 105/1995, entre otras). No siendo este el caso de SEUR, que en relación con el acuerdo de inicio ha podido alegar lo que ha su derecho ha convenido. Asimismo, en cuanto al segundo supuesto motivo de nulidad, SEUR mezcla varios elementos (la falta de legitimación en la vía contencioso-administrativa de la reclamante, plazo en el que se produce el silencio administrativo negativo una vez que se ha planteado un recurso de reposición ante la Administración y el plazo máximo que tiene la Administración para resolver y dictar una resolución). El 7 de junio de 2023 tuvo entrada en la AEPD el recurso de reposición interpuesto por la reclamante. Posteriormente, el 7 de diciembre de 2023 la Directora de la Agencia dictó la resolución por la que se estimaba dicho recurso de reposición (habían transcurrido seis meses y un día desde la presentación del recurso de reposición). En relación con esta cuestión, la resolución estimatoria del recurso de reposición indicaba: “De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 51/78 Con todo, y a pesar del tiempo transcurrido, la AEPD está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el artículo 21.1 de la citada Ley. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley.” (subrayado de la AEPD). La AEPD, en cumplimiento de la obligación legal prevista en el artículo 21.1 de la LPACAP, dictó resolución expresa estimatoria y la notificó a la reclamante. Dicha actuación, dictada en cumplimiento de lo previsto en la LPACAP, no es motivo de nulidad del procedimiento sancionador. Por otra parte, la Sentencia del Tribunal Supremo mencionada por SEUR hace referencia a la falta de legitimación del denunciante, cuando el mismo plantea un recurso en vía contencioso-administrativa. Dicha sentencia no resulta de aplicación en este caso, no nos encontramos en la vía contencioso-administrativa y la reclamante no ha interpuesto un recurso contencioso-administrativo en dicha vía, que deba ser resuelto. En conclusión, no procede aceptar ninguno de los dos supuestos motivos de nulidad del procedimiento sancionador alegados. 2. Contestación a la alegación relativa a una posible vulneración del principio de seguridad jurídica (SEUR considera que el acuerdo de inicio contradice la previa actuación de la AEPD): SEUR destaca que la reclamación presentada fue analizada por la AEPD, inadmitida y archivada el 23 de mayo de 2023. Más de un año más tarde, la AEPD cambió de opinión, rectificó y entendió infringida la normativa en materia de protección de datos personales. La parte reclamada señala que la AEPD analizó el hecho reclamado, transmitiendo a SEUR una declaración de corrección, sin más advertencias que las usuales. A continuación, SEUR hace referencia al principio de confianza legítima e indica que para que la AEPD encontrara justificado su cambio de criterio necesitaba haber recibido noticias o hechos nuevos, cosa que no se ha producido. Asimismo, debería comunicar a SEUR las razones que condujeron al cambio de criterio a fin de posibilitar el control de legalidad, cosa que tampoco ha hecho. Según la parte reclamada, si la AEPD altera su criterio sin hechos ni noticias nuevas, está implícitamente haciendo una declaración de voluntad de error propio, por lo que debería explicar las causas de la falta de diligencia. Atender a las consecuencias que su propia conducta generó, puesto que creó unas condiciones de “todo en orden” a las que SEUR se atuvo, provocando, cuando menos una situación de concurrencia de culpas. En opinión de SEUR la Agencia está manifestando que comprometió, por su propia conducta, la salvaguarda de los derechos fundamentales de los afectados al no haber adoptado la diligencia que le correspondía. La parte reclamada concluye que todo ello lleva a que el procedimiento sancionador deba ser resuelto sin sanción alguna para dicha empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 52/78 Al objeto de dar respuesta a dicha alegación (alegación 2), cabe destacar que cuando la AEDP comunicó a SEUR por escrito de fecha 22 de mayo de 2023 la inadmisión de la reclamación presentada por la Sra. A.A.A., ya se advertía claramente: “Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación.” (el subrayado es nuestro) La resolución de Directora de la AEPD de fecha 7 de diciembre de 2023 por la que se estimó el recurso de reposición interpuesto por la reclamante, indica: “De este modo, en el presente caso, procede la estimación del recurso interpuesto con el fin de realizar actuaciones previas de investigación conforme a lo dispuesto en el artículo 67 de la LOPDGDD y valorar el posible incumplimiento de la normativa en materia de protección de datos.” La interposición del recurso de reposición por parte de la reclamante hizo que la AEPD volviera a examinar lo sucedido, llegando a la conclusión de que eran necesarias unas actuaciones previas de investigación, que examinaran el caso particular y proporcionaran más información sobre lo sucedido. Dichas actuaciones previas de investigación se llevaron a cabo. En el marco de las mismas, se formularon requerimientos de información tanto a CITIBOX como a SEUR. La información obtenida, permitió apreciar a la AEPD que existían evidencias de varios presuntos incumplimientos de la normativa de protección de datos de carácter personal, lo que dio lugar a la incoación de este procedimiento sancionador. La razón de ser de las actuaciones previas de investigación es proporcionar a la AEPD, en su papel de garante del respeto de la normativa vigente en materia de protección de datos, una información más detallada sobre qué ha sucedido en el caso particular, con el fin de que la Agencia pueda decidir, contando con más con más elementos de juicio, si, en su caso, procede incoar un procedimiento sancionador. En el caso particular examinado, tras realizar las actuaciones previas de investigación, la AEPD decidió incoar el presente procedimiento sancionador. La AEPD adopta decisiones en base a la información de la que dispone. Evidentemente no disponía del mismo el grado de conocimiento de lo ocurrido en el caso particular al recibir la reclamación, que tras haber realizado las actuaciones previas de investigación. 3. Respuesta a la alegación relativa a la condición legal de la actuación de SEUR SEUR, en su alegación 3, señala que el acuerdo de inicio afirma que SEUR era responsable del tratamiento. SEUR considera que en el mismo se requería una apreciación mucho más contrastada, analizando todas las circunstancias del caso, no una mera selección de las mismas. A continuación, SEUR expone circunstancias relevantes que, en su opinión, concurren y deberían ser tenidas en cuenta por la AEPD: 1.Tanto SEUR como CITIBOX cuentan con profesionales especializados en protección de datos y con experiencia acreditada en el sector. 2. La legislación vigente establece únicamente dos esquemas: (R-E: ResponsableEncargado) y (R-R: Responsable-Responsable). Dicha legislación no atribuye de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 53/78 manera individualizada un inventario definido los roles de responsable y encargado. Tampoco impone un procedimiento administrativo previo a la actividad en el que la Administración valore el caso e indique qué esquema concurre (R-E o R-R). SEUR considera que el marco normativo no impone reglas, sino parámetros de actuación por parte de los obligados a ello que deben efectuar una serie de ponderaciones de diversos aspectos someramente señalados en la ley. En opinión de la parte reclamada, para que quepa sancionar a SEUR, la actividad valorativa desplegada por la misma ha de subsumirse en uno de los siguientes casos: Ser inexistente (no se ha realizado lo que se debía). Ser irracional (se pretende justificar la verificación realizada mediante razonamientos incorrectos o irracionales). Ser fraudulenta (se aparenta haber realizado lo que se debía). En opinión de SEUR no concurren ninguno de estos tres supuestos. SEUR señala que CITIBOX y ella llevaron a cabo una ponderación real de los parámetros legales en la que tuvieron en cuenta el RGPD, la LOPGDD, las Directrices 7/2020 del CEPD y la legislación particular que les era aplicable (Ley 43/2010, de 30 de diciembre, del servicio postal universal y el Real Decreto 437/2024, de 30 de abril, por el que se aprueba el Reglamento de los servicios postales). 3. El informe del Gabinete Jurídico de la AEPD nº0331/2017 señala: «En definitiva, la ley parece establecer unas obligaciones específicas en materia de protección de datos al operador postal derivadas de los derechos fundamentales en liza, que no casan bien con la figura del encargado del tratamiento. CITIBOX se encuentra registrada como operador postal en el registro del Ministerio de Transportes y Movilidad Sostenible (SEUR aporta un enlace en el apartado relativo en el apartado de proposición de prueba). La parte reclamada señala que la AEPD no puede cuestionar la ponderación realizada cuando sigue una valoración jurídica previa del Gabinete Jurídico de propia la Agencia. En contestación a dicha alegación (alegación 3), SEUR en sus alegaciones señala que únicamente existen dos posibles esquemas: responsable-responsable (R-R) y responsable-encargado (R-E). También cabe la posibilidad de que haya dos corresponsables del tratamiento. El RGPD define los conceptos de responsable del tratamiento y encargado y contiene numerosas previsiones normativas que afectan a los mismos. El Comité Europeo de Protección de Datos ha aprobado las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD con el fin ofrecer orientaciones sobre los conceptos de responsable del tratamiento, encargado y corresponsable. Corresponde a las empresas de acuerdo con lo dispuesto en el RGPD y las Directrices 07/2020 determinar, en relación con un tratamiento de datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 54/78 concreto que pretenden llevar a cabo, si actúan como responsables del tratamiento, como encargadas o, en su caso, como corresponsables. Son ellas las que conocen su propia organización, el tratamiento de datos personales que pretenden llevar a cabo, la finalidad del mismo y las operaciones de tratamiento que lo integran. En el fundamento de derecho II se han expuesto los motivos por los que cabe considerar a SEUR responsable del tratamiento y a CITIBOX su encargado. Es decir, SEUR y CITIBOX no son responsables independientes, sino que SEUR es responsable del tratamiento y CITIBOX su encargado. En este caso particular, tres de las infracciones imputadas en el acuerdo de inicio (posible vulneración de lo dispuesto en los artículos 28, 6.1 y 32 del RGPD) están vinculadas al hecho de que ambas empresas, SEUR y CITIBOX, consideraron ser responsables del tratamiento independientes y así lo plasmaron en el anexo del contrato de prestación de servicios celebrado en mayo de 2017. A la hora de definir el papel que desempeñaba cada una de dichas empresas, en relación con el tratamiento de datos personales relativo a los envíos postales de los que era responsable SEUR, esta última empresa otorgó una gran relevancia a la condición de operador postal que tenía CITIBOX. En fase de prueba se ha constatado que CITIBOX tiene dicha condición de operador postal y figura inscrita en el listado de operadores postales inscritos en el Registro general de empresas prestadoras de servicios postales como operador tipo A (hecho probado cuadragésimo cuarto). Asimismo, SEUR ha otorgado un papel fundamental al contenido del informe del Gabinete Jurídico de la AEPD nº 03331/2017 a la hora de considerar a CITIBOX responsable del tratamiento independiente. En base un párrafo extraído de dicho informe, reproducido en su escrito de alegaciones, SEUR había interpretado que cabía considerar responsable del tratamiento a todas las empresas que fueran operadores postales, como es el caso de CITIBOX. No se conoce una resolución previa en la que la AEPD haya examinado la relación entre una empresa de transporte y una empresa que presta el servicio de depósito de paquetes en buzones o taquillas (...), teniendo esta segunda empresa la condición de operador postal, a fin de determinar si ambos son responsables del tratamiento o responsable y encargado. Las alegaciones formuladas al acuerdo de inicio de SEUR contienen continuas referencias al ámbito postal, reflejando que SEUR, que opera en el sector postal, ha analizado las figuras de responsable y encargado del tratamiento, relativas al tratamiento de datos personales relacionado con los envíos postales de los que era responsable, centrando su atención fundamentalmente en el contenido de la normativa postal y características propias del sector postal. CITIBOX es un operador postal, si bien, el hecho de que sea un operador postal no implica que, de forma automática y en todos los casos, tenga la condición de responsable del tratamiento. El informe del Gabinete Jurídico de la AEPD nº 0331/2017 mencionado por SEUR es previo a la aplicación del RGPD (25 de mayo de 2018). Posteriormente, el Informe del Gabinete Jurídico de la AEPD 0064/2020 analiza el papel de Correos, que también es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 55/78 operador postal, indicando que en algunos supuestos tiene la condición de responsable y en otros actúa como encargado del tratamiento. Tal y como se ha destacado en el fundamento de derecho II, los conceptos de encargado y responsables son conceptos funcionales, resultando imprescindible atender a las circunstancias del caso concreto (análisis caso a caso) a fin de determinar si se actúa como responsable del tratamiento o como encargado. De hecho, el referido informe del Gabinete Jurídico de la Agencia (nº0064/2020) señala: “(…) la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades concretas en un contexto específico, por lo que la misma entidad puede actuar al mismo tiempo como responsable del tratamiento para determinadas operaciones de trat