PS-00272-2023

1/12  Expediente N.º: EXP202306651 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dª. A.A.A. (en adelante, la parte reclamante) con fecha 29 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra “Envialia”. Se hace constar la reclamación: “Hoy 28 de junio a las 14.30 me llama el mensajero con teléfono ***TELÉFONO.1 para entregarme un paquete de Carrefour. Al no estar en casa le indique que se lo dejase a mi vecino del primero izquierda, B.B.B.. Me dijo que perfecto. Cuando llego 20 minutos después a casa mi vecino me dice que no le han entregado nada. Llamo al transportista y me dice que un chico con gorra pasó por el portal y le dijo que era él y se lo dio sin más. He reclamado a la empresa de transporte y me dice que se lo ha llevado un tal C.C.C. y que busque entre los vecinos, cuando deberían hacerlo ellos. Ya no es solo la falta de solución por el robo literal de mi paquete sino que en el mismo iban, a parte de mis mercancías, todos mis datos personales, DNI, teléfono, dirección, nombre, apellidos y una factura de lo comprado con mis datos bancarios, datos a los que yo no he autorizado en ningún momento a ellos a dar a un desconocido que puede usar de manera ilícita provocándome un gran perjuicio. Por lo que ruego intercedan.” Junto a la reclamación se aporta hilo de los correos intercambiados con “Envialia”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ENVIALIA WORLD (en adelante, EW) para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28 de julio de 2022 como consta en el certificado que obra en el expediente. Con fecha 25 de agosto de ese mismo año se recibe en esta Agencia escrito de respuesta indicando que “…no ha tenido constancia de la misma hasta la notificación recibida de la AEPD, por lo que no se ha podido dar respuesta a la reclamante, ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 no contábamos ni con la reclamación ni con sus datos de contacto. Se procede a dar respuesta al e-mail que figura en el Anexo 1 (***USUARIO.1@hotmail.com) y se adjunta copia de la respuesta dada.

1. b)Respecto a la decisión adoptada a propósito de esta reclamación: Es necesario entender los roles de las distintas empresas que participan en el proceso de entrega: Cliente: Contrata los servicios de la agencia de cargo. Agencia de cargo: Actúa como Responsable del tratamiento, tiene contrato con Envialia World que pone a su disposición la Red Envialia formada por otras agencias con las que se tiene contrato. Envialia World: Actúa como Encargado de tratamiento. Agencia de Cargo: Actúa como subencargado de tratamiento Destinatario: Es el interesado y en este caso perjudicado por la mala praxis del mensajero de la agencia de cargo Desde Envialia World consideramos este hecho como un robo y ante esta situación se informa a las agencias responsables que pongan la correspondiente denuncia. Por otra parte, ya sea la agencia de Cargo, como ENVIALIA WORLD o la agencia de destino solo son responsables de los datos que figuran en la etiqueta que acompaña el bulto a entregar, en ningún caso pueden ser responsables de los datos que pueda haber dentro del bulto (como la factura que menciona el interesado con sus datos bancarios) pues a estos ninguna de las empresas de ENVIALIA o agencias implicadas accede ni debe acceder y ni siquiera sabe qué hay dentro del bulto. Entendemos que en caso de existir algún tipo de vulneración de los derechos del interesado es por parte del sub encargado de tratamiento que es la agencia de destino. Por este motivo, procedemos a informarle de la reclamación recibida y analizar los motivos que dieron lugar a la mala práctica en la entrega y a exigirle la aplicación de medidas que eviten que se reitere el problema…”. TERCERO: Con fecha 30 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 12 de abril de 2023, se requirió información a EW para que aportase: “1. Descripción de todos los sujetos intervinientes en la relación comercial y el proceso de recogida / entrega de los envíos. 2. Documentación que acredite las relaciones de ENVIALIA WORLD S.L. con los sujetos que describe en su contestación, y en particular contrato de encargo del tratamiento de datos, ya que el punto 2.
2. b)de su contestación define a ENVIALIA WORLD S.L. como Encargada del tratamiento.” En fecha 27 de abril de 2023 se recibió respuesta al mismo, en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 - Responde en el punto PRIMERO al punto 1 del requerimiento: “Cliente: CENTROS COMERCIALES CARREFOUR, S.A., con NIF A28425270, y domiciliada en P.I. “Las Mercedes”, calle Campezo 16, 28022 Madrid. Agencia de cargo; FOURTH PARTY LOGISTICS, S.L., con NIF B86496007 y con domicilio en Avenida Suiza 2, 28821, Coslada, Madrid. FOURTH PARTY LOGISTICS SL, opera bajo la marca ENVIALIA, dentro de una red nacional de transportes. FOURTH PARTY LOGISTICS subcontrata los servicios de FOURTH PARTY SERVICES, S.L., empresa de la misma red, que mantiene relaciones con ENVIALIA WORD, S.L., establecidas en un contrato de transporte y mensajería. ENVIALIA WORLD SL, pone su red de transporte a disposición de FOURTH PARTY SERVICES SL, para que Ileve a cabo la gestión y la prestación de los servicios. En este caso, el envío de mensajería fue realizado directamente por FOURTH PARTY SERVICES SL, a través de la empresa THE BEE LOGISTICS, SLU, que fue quien debía entregar el paquete a Dña. A.A.A.. El mensajero, entregó el paquete al vecino indicado por Dña. A.A.A., hecho no controvertido por la denunciante, lo que ocurre, es que ella indica que se llama B.B.B. y el paquete se entrega a C.C.C., quien lo recoge y proporciona su DNI. Por otro lado, los datos de los que disponía únicamente FOURTH PARTY SERVICES SL, son los que aparecen en el paquete, únicamente identificativos, y en ningún caso existen datos bancarios, ni documento nacional de identidad o equivalente. En cualquier caso, tras lo ocurrido, FOURTH PARTY SERVICES SL, solicitó a THE BEE LOGISTICS, SLU. que adoptase medidas preventivas y reactivas, y que revisase con sus trabajadores el Manual de operaciones de Envialia, para su adecuado cumplimiento. El proceso de recogida y entrega es el siguiente: 1. El cliente compra en Carrefour, a través de su plataforma online, y este, una vez completado el proceso de compra, da la orden a su proveedor de transporte y mensajería, FOURTH PARTY LOGISTICS SL, para que lleve a cabo la entrega. La comunicación diaria de la relación de envíos que viajarán por la red de Envialia, se realiza a través de un Servicio SOAP, donde se extrae un XML, con los datos necesarios para la correcta gestión y entrega de los mismos (dirección, tipo de servicio, observaciones, etc.). La etiqueta se genera a partir de un código ZPL, con un código de barras en CODE (…). 2. FOURTH PARTY LOGISTICS, a través de FOURTH PARTY SERVICES lleva a cabo la entrega de este paquete, con la colaboración de la empresa de transporte THE BEE LOGISTICS, contratada para este servicio. 3. THE BEE LOGISTICS SLU, realiza la entrega a la persona indicada por la compradora -Dña. A.A.A.-.” - Responde en el punto SEGUNDO al punto 2 del requerimiento: “Respondiendo a esta cuestión, adjuntamos el contrato vigente, formalizado entre CARREFOUR Y FOURTH PARTY LOGISTICS SL. El contrato entre FOURTH PARTY LOGISTICS y THE BEE LOGISTICS SLU, es un contrato verbal, por cuanto hasta septiembre de 2022 no entró en vigor el RD-Ley 3/2022, que estableció la obligatoriedad de que de los contratos de transporte continuado fuesen por escrito, dando además plena validez para los contratos de transporte esporádicos únicamente la correspondiente carta de porte.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 EW aporta copia de un contrato de prestación de servicios entre FOURTH PARTY LOGISTICS S.L. y CENTROS COMERCIALES CARREFOUR S.A. para la distribución, el reparto domiciliario y entrega de la mercancía vendida. QUINTO: Con fecha 14 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
3. f)del RGPD tipificada en el Artículo 83.5 del RGPD, y por la presunta infracción del Artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
4. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
5. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Ha quedado acreditado en el expediente que THE BEE LOGISTICS era la empresa responsable de entregar el paquete a la parte reclamante. SEGUNDO: Consta acreditado que el paquete enviado fue recepcionado por persona distinta a la destinataria. TERCERO: Consta acreditado en el expediente que los datos personales de la parte reclamante, nombre y apellidos, así como el domicilio postal, fueron indebidamente expuestos a un tercero como consecuencia de la recepción del envío del que aquella era destinataria, siendo THE BEE LOGISTICS la empresa responsable de la entrega del paquete. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, THE BEE LOGISTICS era la empresa responsable de entregar el paquete a la parte reclamante de la manera en la que había concertado con ella; si bien, lo entregó a una tercera persona sin el consentimiento de aquella. THE BEE LOGISTICS es una empresa que se dedica a la actividad del desarrollo de actividades postales y de correos, incluyendo el transporte de mercancías por carretera, vías navegables interiores, mar o aire, con cualquier vehículo y carga, así como el transporte de pasajeros por vías navegables interiores y demás actividades anexas al transporte terrestre. En el ejercicio de dicha actividad THE BEE LOGISTICS realiza, entre otros tratamientos, la recogida, consulta, utilización y acceso de los siguientes datos personales de clientes, tales como: nombre, apellidos, DNI, NIE y/o Pasaporte, domicilio postal, número de teléfono…, etc. THE BEE LOGISTICS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad por cuanto los datos personales de la parte reclamante (tales como nombre y apellidos, domicilio postal) fueron expuestos a un tercero, al recepcionar un envío del que era destinataria. Hay que señalar que la recepción de una reclamación sobre una brecha de seguridad no implica la imposición de una sanción de forma directa; ya que, es necesario analiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 zar la diligencia de responsables y encargados y las medidas de seguridad aplicadas, de conformidad con lo dispuesto en el artículo 32 del RGPD. III Artículo 5.1.
6. f)del RGPD El artículo 5.1.
7. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En fecha 28 de junio de 2022 la parte reclamante recibió una llamada de un empleado, según manifiesta la parte reclamante, de ENVIALIA, encargada de la gestión de un envío del que era destinataria, remitido por la mercantil CARREFOUR para acordar la entrega de un paquete. Al no estar en ese momento en casa, la parte reclamante le indicó al mensajero que dejara el mismo en casa del vecino del 1º izquierda, llamado B.B.B.. Sin embargo, su vecino le dice que no ha recibido ningún paquete, ante lo cual llamó al mensajero, que le dijo que, al entrar en el portal del inmueble donde se encuentra la vivienda de la parte reclamante, una persona le dijo que era él el encargado de recoger el paquete y se lo dieron sin más. En el presente caso, consta que los datos personales de la parte reclamante, nombre y apellidos, así como el domicilio postal, fueron indebidamente expuestos a un tercero como consecuencia de la recepción del envío del que aquella era destinataria, siendo THE BEE LOGISTICS la empresa responsable de la entrega del paquete. IV Tipificación de la infracción del artículo 5.1.
9. f)del RGPD La citada infracción del artículo 5.1.
10. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
13. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
14. b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
15. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. THE BEE LOGISTICS, SLU es una empresa que se dedica a la actividad del desarrollo de actividades postales y de correos, incluyendo el transporte de mercancías por carretera, vías navegables interiores, mar o aire, con cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 vehículo y carga, así como el transporte de pasajeros por vías navegables interiores y demás actividades anexas al transporte terrestre. Las empresas de transporte y, actividades postales y de correos deben de tener detalladas las medidas técnicas y administrativas que tienen activadas para cumplir la normativa de protección de datos. En una empresa de transporte de mercancías son muchos los empleados que están en contacto con la información que maneja la empresa, por lo que la empresa tiene la responsabilidad de informar a estos empleados las funciones y responsabilidades en el uso de esta información, además de garantizar el cumplimiento de la ley de protección de datos. Las empresas dedicadas al transporte manejan una cantidad de datos muy importante, tanto los datos de los clientes, los respectivos a sus envíos, así como la de los empleados como proveedores. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
16. f)del RGPD, permite fijar una sanción de 50.000 € (CINCUENTA MIL EUROS). VI Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, consta que THE BEE LOGISTICS, no disponía de las medidas de seguridad razonables en función de los posibles riesgos estimados. La entrega de un envío a una tercera persona diferente a la previamente no concertada con el destinatario evidencia la falta de medidas de seguridad técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo en el tratamiento de los datos personales de los destinatarios de los envíos. VII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
17. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
18. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
19. b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. THE BEE LOGISTICS, SLU es una empresa que se dedica a la actividad del desarrollo de actividades postales y de correos, incluyendo el transporte de mercancías por carretera, vías navegables interiores, mar o aire, con cualquier vehículo y carga, así como el transporte de pasajeros por vías navegables interiores y demás actividades anexas al transporte terrestre. Las empresas de transporte y, actividades postales y de correos deben de tener detalladas las medidas técnicas y administrativas que tienen activadas para cumplir la normativa de protección de datos. En una empresa de transporte de mercancías son muchos los empleados que están en contacto con la información que maneja la empresa, por lo que la empresa tiene la responsabilidad de informar a estos empleados las funciones y responsabilidades en el uso de esta información, además de garantizar el cumplimiento de la ley de protección de datos. Las empresas dedicadas al transporte manejan una cantidad de datos muy importante, tanto los datos de los clientes, los respectivos a sus envíos, así como la de los empleados como proveedores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 20.000 € (VEINTE MIL EUROS). IX Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a THE BEE LOGISTICS, S.L., con NIF B88640735, por una infracción del Artículo 5.1.
21. f)del RGPD tipificada en el Artículo 83.5 del RGPD, una multa de 50.000 € (CINCUENTA MIL EUROS). IMPONER a THE BEE LOGISTICS, S.L., con NIF B88640735, por una infracción del Artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD, una multa de 20.000 € (VEINTE MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a THE BEE LOGISTICS, S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es