← España

PS-00406-2023

1/38  Expediente N.º: EXP202304094 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A. con NIF A82261280 (en adelante, ZELERIS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de entrega correspondía a ZELERIS y que ésta entregó el referido paquete, que contenía un terminal móvil, que solo debía ser entregado a la parte reclamante, a (…) del inmueble donde se encuentra ubicada la vivienda de la parte reclamante, todo ello sin su consentimiento, poniendo a disposición de un tercero, sus datos personales. Aporta copia del contrato de telefonía del que es titular, mensajes remitidos por la parte reclamada sobre la gestión de entrega del paquete con el terminal móvil, de fecha 13 y 23 de septiembre, y copia del albarán de entrega del paquete, de fecha 23 de septiembre de 2022, en el que figura una firma ajena a la parte reclamante y, entre otros datos, el número de DNI de la parte reclamante. El reclamante reside (y así consta en el contrato de telefonía) en la calle ***DIRECCIÓN.1; en el albarán de entrega consta la calle ***DIRECCIÓN.2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ZELERIS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 30 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 28 de abril de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/38 Adjuntan, como Documento Anexo N.º 1, la circular de operaciones interna de fecha 21 de febrero de 2022, diseñada e implantada por el equipo de seguridad de ZELERIS, que ha sido entregada a todos los trabajadores afectados, y en la que se detalla la operativa concreta a seguir por ellos mismos para el tipo de entrega que afecta a esta reclamación concreta, y que se denomina internamente “entrega a titular”, así como las consecuencias que se pueden derivar de un posible incumplimiento. ZELERIS informa que, una vez recibido el expediente, se ha procedido a analizar internamente la reclamación, para ello, entre otras, se ha revisado el sistema que conserva la entrega del pedido objeto de reclamación. En este caso, informan que ZELERIS tiene constancia de que esta entrega se ha realizado correctamente en el lugar de entrega; que la persona encargada de realizar la entrega, la llevó a cabo siguiendo la operativa implementada, sin que haya ninguna incidencia que reportar. Desde ZELERIS, y a la vista de lo ocurrido en este asunto, se ha dado traslado al equipo de trabajo interno encargado de la distribución de los conductores que realizan las entregas al objeto de realizar los recordatorios pertinentes sobre la obligatoriedad de trabajar conforme a operativa. Por otro lado, también se ha reforzado la operativa interna de trabajo acerca de las entregas a titular. TERCERO: Con fecha 9 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A. es una empresa constituida en el año 1999, y con un volumen de ventas de (…) euros en el año 2022. QUINTO: Con fecha 9 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de lo dispuesto en los artículos 5.1.

  1. f)y 32 del RGPD, tipificadas, respectivamente en el artículo 83.5 y 83.4 del RGPD. SEXTO: Con fecha 20 de febrero de 2024 ZELERIS presentó un escrito mediante el que solicitaba una ampliación del plazo para presentar alegaciones. SÉPTIMO: Con fecha 22 de febrero de 2024, el órgano instructor del procedimiento acordó la ampliación del plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la Ley 39/2015, de 1 de octubre. El citado acuerdo se notificó a ZELERIS en fecha 26 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/38 OCTAVO: Con fecha 1 de marzo de 2024 se recibe en esta Agencia escrito de ZELERIS en el que aducía alegaciones. NOVENO: Con fecha 6 de noviembre de 2024, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados a efectos probatorios la reclamación interpuesta y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, las alegaciones al acuerdo de inicio del presente procedimiento sancionador y la documentación que a ellas acompaña. Ese mismo día, esta Agencia ha requerido a ZELERIS para que en el plazo de 10 días hábiles presentara la siguiente información: - aporte copia de la etiqueta que iba impresa en el paquete entregado a la parte reclamante, o en su defecto, copia del modelo de etiqueta que se adjunta en los paquetes entregados por la empresa. - aporte copia del contrato de prestación de servicio de transporte y manipulado que tiene firmado con TELEFÓNICA DE ESPAÑA S.A.U. Con fecha 21 de noviembre de 2024, ZELERIS presentó escrito de respuesta ante esta Agencia, con la documentación requerida. DÉCIMO: Con fecha 20 de diciembre de 2024 se formuló propuesta de resolución, en la que se daba respuesta a las alegaciones aducidas y se proponía: -Que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, por una infracción del artículo 5.1.
  2. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 70.000 euros -Que por la Directora de la Agencia Española de Protección de Datos se archive a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, la infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. -Que por la Directora de la Agencia Española de Protección de Datos se ordene a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, que en virtud del artículo 58.2.
  3. d)del RGPD, en el plazo de 6 meses, acredite la adopción de las medidas adecuadas conforme el RGPD, para que sus repartidores no incumplan los protocolos establecidos y no entreguen un paquete en un domicilio distinto al del destinatario del paquete en cuestión, ni realicen entregas sin comprobar fehacientemente la identidad de la persona a la que se entrega el paquete. UNDÉCIMO: Con fecha 24 de diciembre de 2024 se presenta escrito solicitando ampliación del plazo para presentar alegaciones, a lo que se accede en fecha 9 de enero de 2025. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/38 DUODÉCIMO: Con fecha 16 de enero de 2025 se recibe en esta Agencia escrito de ZELERIS en el que aducía alegaciones. En estas alegaciones, en síntesis, manifestaba que: ZELERIS se reitera en las alegaciones presentadas al acuerdo de inicio, al considerar que esta Agencia no ha tenido en cuenta todas las circunstancias acontecidas en los hechos que se pretenden sancionar, y que no se ha desvirtuado las alegaciones efectuadas por ZELERIS. Añade que ZELERIS no ha incurrido en la infracción típica que le imputa esta Agencia, y que sí dispondría de las medidas de seguridad, tal y como se ha apreciado por la Agencia. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE EXPEDIENTE SANCIONADOR. Primera. Inexistencia de comisión de la infracción. disconformidad con la propuesta de Resolución. ZELERIS manifiesta que esta Agencia cuestiona en la propuesta de resolución tanto la diligencia debida a la hora de hacer entrega del paquete que es objeto de este expediente, como los datos personales que contiene la etiqueta del paquete a entregar, al considerarse el dato del número de teléfono de la parte reclamante como un dato excesivo, y que habría supuesto la vulneración del principio de confidencialidad. a). Sobre la diligencia debida en las entregas. ZELERIS quiere manifestar que el hecho que ha motivado este expediente sancionador es un caso aislado que tiene como origen que la dirección proporcionada por TELEFÓNICA DE ESPAÑA, S.A.U., o TELEFÓNICA era errónea, de tal manera que este dato no habría sido recabado por ZELERIS. De este modo, ZELERIS a pesar del error y con la firme convicción de que la dirección era correcta, realizó la entrega en la dirección con la que contaba, y quiere añadir que la parte reclamante no respondió al mensaje de texto SMS que le fue enviado para que confirmara sus datos. Por ello, ZELERIS quiere incidir en la propia responsabilidad del cliente final, para entender que su actuación no puede considerarse como “de falta de diligencia debida”. b). Sobre las medidas de seguridad, operativa actualizada y refuerzo a los empleados y proveedores. ZELERIS quiere manifestar que cuenta con medidas técnicas y organizativas apropiadas en lo que respecta al tratamiento de datos personales que se lleva a cabo, toda vez que la Agencia ha propuesto el archivo de la infracción del artículo 32. Entiende que estas medidas son apropiadas y garantizan un nivel de seguridad adecuado al riesgo teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como riesgos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/38 probabilidad y gravedad variables para los derechos y libertades de las personas físicas. ZELERIS quiere destacar las siguientes medidas que tiene implantadas, entre otras:
  4. i)la continua actualización de la operativa interna que realiza el equipo de seguridad y operaciones, y que se hace llegar a todos los trabajadores mediante circulares y que se adjunta al escrito de alegaciones a la propuesta de resolución.
  5. ii)inclusión de cláusulas en los contratos de distribución de paquetería y mensajería con proveedores. iii) una vez detectada la incidencia, ZELERIS informó a la empresa colaboradora que había realizado este servicio para identificar al trabajador que realizó este servicio y le amonestara. ZELERIS quiere poner de manifiesto que esta actuación evidenciaría que habría actuado con la diligencia debida.
  6. c)obligación de medios y no de resultados. ZELERIS entiende que, con la propuesta de resolución, esta Agencia está imponiendo una obligación objetiva de resultados, y que sus medidas de seguridad sean infalibles, basándose en el resultado de operativas que deben seguir los trabajadores o mensajeros más allá de la exigencia de medios establecida en los artículos 25 y 32 del RGPD y confirmada jurisprudencialmente. A este respecto recoge la STS 188/2022 de 15 de febrero. ZELERIS considera que, a pesar del diseño e implementación de medidas de seguridad para la realización de los envíos, hay ocasiones en las que, por causas no imputables a ZELERIS no es posible seguir la operativa marcada, el trabajador es engañado para no seguir la operativa o directamente, por decisión propia, se aparta de la misma. Asimismo, quiere manifestar que no ha sido sancionada nunca por esta Agencia desde su constitución en el año 1999, lo que demostraría la diligencia debida que emplea en su actividad.
  7. d)volumen de entregas. En este punto ZELERIS quiere manifestar que: -casi el 80% de sus envíos, son a personas físicas, -en el día en que se produjo la incidencia que ha motivado este expediente sancionador, se produjeron en la misma provincia 3.063 expediciones, y no hubo ninguna incidencia similar a ésta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/38 Por lo tanto, entiende que el porcentaje de incidencias en proporción al volumen de envíos es muy reducido y no habría provocado reclamaciones en materia de privacidad. 2. Sobre la inclusión del número de teléfono de contacto en la etiqueta. ZELERIS quiere manifestar que la inclusión del número de teléfono de contacto del cliente en la etiqueta no supone el incumplimiento del principio de minimización de datos, toda vez que es un dato necesario para una correcta prestación del servicio. De este modo, quiere hacer ver a esta Agencia la necesidad de que el número de teléfono de contacto esté incluido en dicha etiqueta, debido al volumen de grandes clientes que le encargan entregas, lo cual implica que es necesario contar con un gran número de subcontratistas en todo el territorio nacional, y por ello es necesario que figure, para poder cumplir con la correcta entrega de los paquetes.
  8. a)exigencia de grandes clientes que tienen su propio sistema de etiquetado. ZELERIS manifiesta que:
  9. i)hay clientes que vuelcan automáticamente en los sistemas de ZELERIS los datos, y que ésta únicamente tiene que imprimir y pegar las etiquetas en el paquete, de tal manera que es el propio responsable el que determina que datos incluye en dicha etiqueta.
  10. ii)hay clientes que presentan como exigencia contractual que el mensajero contacte telefónicamente con el cliente final, por lo que es necesario que el mensajero disponga de un teléfono de contacto de manera rápida y sencilla. iii) para poder resolver incidencias en tiempo real y evitar devoluciones innecesarias que afectan negativamente a remitentes y destinatarios.
  11. b)No todos los colaboradores disponen de los mismos medios técnicos. En ocasiones estas empresas colaboradoras no disponen de “PDA”, y, por tanto, no disponen del albarán digitalizado con los datos de la entrega, por lo que, en caso de improviso, no tienen forma de contactar con el cliente. En otras ocasiones, hay falta de cobertura y conectividad, de tal manera que el número de teléfono se extrae de la etiqueta de forma inmediata. Insiste en que el hecho de que el número de teléfono figure en la etiqueta ha determinado que las entregas tengan un porcentaje de éxito elevado, se realicen en menos tiempo, y hasta el momento no se han producido reclamaciones reseñables en materia de protección de datos que se hayan materializado en forma de sanciones por parte de esta Agencia.
  12. c)ámbito de difusión del dato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/38 ZELERIS indica que esta Agencia afirma que el dato del número de teléfono móvil de contacto ha quedado expuesto en manos de un tercero, produciéndose una brecha de confidencialidad, debido a dos circunstancias:
  13. i)que dicho dato iba incluido en la etiqueta del paquete
  14. ii)que la entrega se realizó sin seguir el protocolo interno de entrega al titular. ZELERIS insiste en este punto que la inclusión del número de teléfono en la etiqueta no es de ningún modo un dato excesivo, al tratarse de un dato necesario para provisionar correctamente el servicio de entrega. No obstante, quiere destacar que la posible difusión que haya podido tener el dato del teléfono de contacto ha sido muy reducida, mínima, acotada, restringida y controlada pues solo ha tenido acceso al mismo un vecino. Entiende que habría sido mucho más grave que el dato hubiera quedado expuesto en fuentes de información de acceso público o en internet o redes sociales.
  15. d)momento en el que se produce el hecho. ZELERIS quiere manifestar que los hechos se produjeron en el año 2022, de tal manera que considera que los riesgos existentes en dicho año no son los mismos que los existentes en la actualidad. Hace esta manifestación para que esta Agencia sea consciente de que, hasta hace unos años, la sensibilidad de que un dato personal como en este caso quedara expuesto no es la misma que en la actualidad.
  16. e)medidas correctoras. En estos últimos dos años, ZELERIS habría ido implementando cambios en la forma de trabajar. De este modo, hace mención a las siguientes medidas:
  17. i)implementadas: inclusión del (…). (…).
  18. ii)en proceso de implantación: (…). (…). II. SOBRE LOS FUNDAMENTOS DE DERECHO. Primera. Sobre la presunta infracción cometida por parte de ZELERIS: ausencia de tipicidad, antijuridicidad y culpabilidad. ZELERIS, reitera las alegaciones que presentó al acuerdo de inicio, y manifiesta que, para que una conducta pueda ser reprochada debe ser típica, antijurídica y culpable, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/38 en este punto entiende que se estaría vulnerando el principio d tipicidad en la medida en que la conducta de ZELERIS no es subsumible en el precepto cuya infracción se imputa. De este modo, ZELERIS entiende que la acción no puede ser típica en la medida en que la entrega se produjo en la dirección que TELEFONICA había facilitado, y sin que la parte reclamante modificara los datos cuando fue advertido por ZELERIS que confirmara sus datos de entrega. Además, entiende que no se ha producido una brecha de seguridad de carácter confidencial porque los datos aportados en el pedido son los necesarios para la correcta prestación del servicio, tal y como se ha expuesto con anterioridad. Insiste en que los datos que aparecen en la etiqueta del paquete son los mínimos imprescindibles, y que el tercero no tiene acceso a los datos del albarán. Por otro lado, entiende que la conducta tampoco puede ser considerada antijurídica, en la medida en que ZELERIS habría actuado de buena fe y fundada creencia excluyente de culpabilidad, y con el objetivo de cumplir con la correcta entrega de los envíos. De este modo, entiende que la antijuridicidad de la conducta, como elemento configurador de un ilícito administrativo, exige en su vertiente formal que exista una oposición entre el comportamiento y la norma infringida, de tal manera que si el comportamiento viene avalado por el ordenamiento jurídico no podrá hablarse de una conducta antijurídica. Por último, ZELERIS quiere manifestar que no concurre el elemento de culpabilidad, en la medida en que su conducta revela una inequívoca voluntad de proceder conforme a Derecho, y teniendo voluntad de cumplimiento, y siendo la diligencia debida incuestionable. Quiere manifestar también que es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. En este punto ZELERIS recuerda la STC76/90, de 26 de abril, y añade que es necesario en un procedimiento administrativo tener la constatación de la intervención culpable de ZELERIS, y que, en este caso, no se habría producido. Segunda. Incumplimiento del principio de proporcionalidad en las sanciones. ZELERIS quiere manifestar que ya habría quedado acreditado que no concurre ningún hecho que motive la imputación de la infracción, pero, para el caso de que esta Agencia no resuelva proceder con el archivo de este procedimiento sancionador, entiende que también se vulneraría el principio de proporcionalidad. Para ello, hace mención a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/38 - la STS de 2 de junio de 2003 según la cual el principio de proporcionalidad “tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuricidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia”. -la sentencia del 30 de octubre de 2020 del recurso contencioso-administrativo número 948/2018 de la Audiencia Nacional, quien recuerda que “el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y reduce el ámbito de sus potestades sancionadoras”. -órganos legislativos nacionales y europeos que también han tenido en cuenta este principio jurídico a la hora de configurar la normativa de protección de datos, como los considerandos 4, 129 y 148, así como el artículo 83 del RGPD. Las razones de ZELERIS para considerar que se vulnera el principio de proporcionalidad son las siguientes:
  19. i)este es el primer expediente sancionador desde el año 1999.
  20. ii)la proporción del volumen de envíos en un año y el número de reclamaciones por vulnerar la privacidad evidencia que las medidas de seguridad implantadas son eficaces. iii) el dato expuesto ha afectado a una sola persona, y se ha producido a (…).
  21. iv)ZELERIS ha adoptado las medidas pertinentes para ir reduciendo el riesgo de que los datos queden expuestos en caso de producirse alguna incidencia. Por todo ello entiende que debería disminuirse considerablemente el importe de la sanción. Tercera. Sobre los criterios de graduación de la sanción. ZELERIS vuelve a reiterarse en las alegaciones presentadas al acuerdo de inicio, y muestra su disconformidad con la aplicación de los siguientes agravantes:
  22. i)La naturaleza, gravedad y duración de la infracción, en el que se reiteran en las alegaciones presentadas al acuerdo de inicio, y además solicita a esta Agencia que valore todas circunstancias expuestas, al tratarse de un error puntual y aislado, en el que no se habría causado perjuicios a la parte reclamante, y que el dato personal tuvo una difusión mínima. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/38
  23. ii)Intencionalidad/negligencia. ZELERIS manifiesta que tuvo una actitud que revelaría una inequívoca voluntad de proceder conforme a derecho, sin intención de infringir la norma y teniendo en todo caso una voluntad de cumplimiento. Añade que cuenta con las medidas técnicas necesarias y adecuadas para la gestión de envíos a titular, y que, como se ha constatado, ha sido el mensajero el que decide apartarse de estas medidas, no pudiendo hablarse en este caso de intencionalidad. Añade que el tipo infractor ya asumiría, por si mismo, el elemento culpabilísimo de la negligencia enjuiciada, por lo que, dado que no existe un plus o mayor intensidad del sancionado en su conducta, no debería haberse tenido en cuenta como agravante a los efectos de imponer la sanción. Para ello, cita la sentencia de la Audiencia Nacional de 1 de junio de 2024 en la que se recoge: “En la demanda se alega que se han tenido en cuenta dos circunstancias de agravación que consisten en la negligencia de la actora al modificar el contrato sin tener la certeza de que la persona que llamó solicitando el cambio de potencia actuase en representación del titular del contrato (art. 83.2.
  24. b)RGPD. (EDI. 2016/48900). Y la vinculación de la actividad del infractor con la realización del tratamiento de datos personales (art. 76.2.b de la LO 3/2018 (EDI 2018/128249). En cuanto a la proporcionalidad sancionadora la misma se entiende como la adecuación, según criterios de justicia y equidad, entre los hechos objeto del tipo infractor y la determinación de la sanción aplicable, teniendo en cuenta la intensidad de la culpa interviniente, esto es el grado de intencionalidad, descuido o negligencia que revele la conducta. Y desde luego, se exige una motivación sobre el juicio de intensidad de la culpa interviniente. Con lo que enlazamos con la primera de las agravaciones discutidas. Es evidente que estas sanciones que nos ocupan solo se pueden imponer si existe culpa o negligencia, de esta manera sin la existencia del elemento culpabilístico no puede apreciarse la existencia de infracción de tipo alguno. Lo cual nos lleva a considerar que dicho elemento culpabilístico se encuentra inmerso en el tipo de la infracción, por ello este Tribunal entiende que en tanto no se demuestre, acredite y se justifique la existencia de un dolo excesivo, de un plus de culpa en la conducta del sancionado, la culpa o negligencia debe considerarse como integrante del tipo infractor sin elevarla a la categoría de agravación de la sanción. No existe en este caso prueba alguna de una intencionalidad o negligencia mayor o superior a la del tipo que pueda tomarse en consideración para aumentar la gravedad del hecho sancionado en ninguna de las dos infracciones, por lo que se excluye dicha agravante con el resultado de una disminución de la sanción pecuniaria”” iii) la vinculación de la actividad del infractor en la realización de tratamiento de datos personales ZELERIS entiende que no debe aplicarse este agravante en la medida en que se trataría de un supuesto concreto y excepcional, que no ha generado controversia ni sanciones en materia de protección de datos previa a este expediente, lo que equivaldría a suponer que en cualquier tipo de infracción que se decidiese imponer a ZELERIS, se tendría como considerada esta agravante, y lo considera como algo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/38 desproporcionado y que carece de sentido, contraviniendo los principios de justicia y equidad. Considera que esta agravante debería aplicarse cuando haya un número elevado de interesados afectados por la posible infracción, ya que, de no ser así, cualquier empresa que trate con un numero masivo de datos personales, verá que su conducta será considerada agravada por la Agencia, y entiende que el Comité Europeo de Protección de Datos también lo considera así en las Directrices sobe la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas por el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con claridad disponen que los factores que prevé el artículo 83.2 del RGPD deben evaluarse de manera combinada, es decir, en lo que ahora nos interesa, el número de interesados junto con el posible impacto sobre ellos. En este mismo sentido se pronunciaría el Considerando 75 del RGPD que dispone que para determinar el grado de daños y perjuicios que pueda producir una posible infracción en materia de protección de datos debe tenerse en cuenta, entre otros aspectos “que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados”. Por otro lado, ZELERIS entiende que deberían haberse aplicado las siguientes atenuantes:
  25. a)grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción, en la medida en que se habría dado respuesta a todas las solicitudes de información de la Agencia.
  26. b)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción, en la medida en que no se ha obtenido ningún beneficio por la comisión de la infracción, más bien al contrario con la posible imposición de una sanción. ZELERIS entiende que, teniendo en cuenta las circunstancias ya expuestas en este escrito de alegaciones, esta Agencia debería graduar la sanción y fijarla en su grado mínimo de 40.001€, al tratarse del primer expediente sancionador que le ha sido notificado. Por ello, solicita a esta Agencia que se declare la inexistencia de responsabilidad, ordenando el archivo del expediente sancionador, y subsidiariamente, para el caso de que no se proceda al archivo, que se minore la sanción inicialmente propuesta en virtud de los atenuantes previstos en el artículo 83 RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/38 PRIMERO: Consta que la parte reclamante era destinatario de un producto (terminal móvil) solicitado a TELEFÓNICA DE ESPAÑA en septiembre de 2022. SEGUNDO: Consta que la entrega del producto se realiza por la empresa ZELERIS, con la que TELEFÓNICA MÓVILES ESPAÑA SAU tiene un contrato de prestación de servicio de transporte y manipulado, que fue modificado para incluir los servicios derivados de la comercialización del Servicio Movistar Fusión con arrendamiento de terminal móvil a los clientes finales Según se especifica en el contrato se planificaron tres fases en la operativa a realizar por ZELERIS para el nuevo servicio Fusión+ Terminal. La fase III del contrato se inicia desde el 1 de agosto de 2021 o en su defecto la fecha de finalización del proceso de integración e integra por parte del transporte la comprobación de la identidad del titular + firma y aviso SMS. TERCERO: Consta que la dirección de la parte reclamante es ***DIRECCIÓN.1, tal y como figura en el contrato del servicio de telefonía de la parte reclamante con TELEFONICA DE ESPAÑA, S.A.U., de fecha 20 de julio de 2020, y que es aportado por la parte reclamante en su reclamación. CUARTO: Consta que el producto solo debía entregarse al titular de fusión, tal y como se recoge en el mensaje de texto que ha aportado la parte reclamante, enviado por (…)”. QUINTO: Consta una circular de operaciones de fecha 21 de febrero de 2022, aportada por ZELERIS, que tiene como asunto “recordatorio ENTREGA A TITULAR DE LAS EXPEDICIONES DE TME” en la que se puede leer: “RECORDAD LA OBLIGATORIEDAD DE LA SOLICITUD DE IDENTIFICACIÓN Y VERIFICACIÓN DE DNI EN TODAS AQUELLAS ENTREGAS DE EXPEDICIONES Y/O ENTREGAS MARCADAS COMO “ENTREGA A TITULAR”, EN CASO DE NO SER POSIBLE LA IDENTIFICACIÓN DE TITULAR DE LA EXPEDICIÓN, NO SE EFECTUARÁ LA ENTREGA.” SEXTO: Consta que la entrega del producto se realiza en la calle ***DIRECCIÓN.2, tal y como se observa en el albarán de entrega, aportado por la parte reclamante. El albarán contiene el nombre y apellidos de la parte reclamante, así como número de teléfono y número de DNI. SÉPTIMO: Consta que la etiqueta del paquete contiene los siguientes datos personales: nombre, apellidos: A.A.A.; dirección postal: ***DIRECCIÓN.1; y número de teléfono de contacto de la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/38 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que TELEFONICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, dirección, número de teléfono, DNI, entre otros tratamientos. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse accedido indebidamente a los datos personales de la parte reclamante, como consecuencia de la entrega de un paquete que contenía, en la etiqueta situada en una parte visible del mismo sus datos personales, consistentes en nombre y apellidos, y número de teléfono, a una persona que vivía en el mismo piso que la parte reclamante, pero en diferente letra, y que no era el titular de la línea de fusión. En este sentido, la parte reclamante ha aportado pantallazo del mensaje remitido para comunicar el envío, y en el mismo se puede observar: “¡Hola! Tu dispositivo está en camino (…) recuerda que solo podemos entregarlo al titular de Fusión.” En el albarán de entrega y en la etiqueta del paquete figura una dirección errónea, con todos los datos de la parte reclamante a excepción de la letra del piso, y una firma que no parece corresponderse con la firma recogida en el contrato de telefonía. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  27. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/38 Respuesta a las alegaciones aducidas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. INEXISTENCIA DE COMISION DE INFRACCIÓN
  28. a)En relación con la infracción del artículo 5.1.f del RGPD que se imputa a ZELERIS, ésta manifiesta que el tratamiento de los datos que realiza son los facilitados por TELEFONICA DE ESPAÑA, no teniendo acceso al contrato que el cliente firma con TELEFONICA DE ESPAÑA. Añade que los datos que ZELERIS dispone son nombre y apellidos de la parte reclamante, domicilio, número de teléfono, y DNI, tal y como se puede observar en el documento que aporta, y que según manifiesta es una imagen del sistema de ZELERIS en el cual se genera el pedido que le realiza TELEFÓNICA. En cualquier caso, pone de manifiesto que el pedido se entregó en la dirección facilitada, y que actuó con la diligencia debida, y conforme a los datos con los que contaba, sin que se pueda reprochar ningún tipo de negligencia. En relación con esta manifestación efectuada por ZELERIS es necesario señalar que desde esta Agencia se considera que no se actuó con la diligencia debida, en contra de lo manifestado por ZELERIS, en la medida en que, tal y como se recoge en el SMS que se envió a la parte reclamante, y que la parte reclamante aporta con su reclamación, el pedido solo podía ser entregado al titular de fusión, cosa que, en este caso no se confirmó de ninguna manera, en la medida en la que el pedido se entregó a persona distinta del titular de fusión. En este sentido, la AN en su SAN de 27 de junio de 2024, rec. 102/2022. “Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia (art. 28 de la Ley 40/2015, de 1 de octubre-). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa”. Por tanto, en este caso, de conformidad con lo ya señalado, no se puede entender que ZELERIS haya actuado con la diligencia debida. ZELERIS también ponía de manifiesto que los datos que aparecen en la etiqueta son nombre y apellidos y dirección, y suele ser los mismos datos que aparecen en el buzón de correspondencia de cualquier piso de una comunidad de vecinos, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/38 entiende que, en ningún caso, se habrían expuesto datos que no sean conocidos por los vecinos del inmueble. Esta manifestación efectuada por ZELERIS sería dar por hecho que todos los datos de la parte reclamante que se incluyen en las etiquetas de los envíos figuran en el buzón de correspondencia de su comunidad de propietarios, sin embargo, ello no es cierto si se tiene en cuenta que en las etiquetas de los paquetes figuran más datos personales de los destinatarios de los envíos que los habituales que se recogen en dichos buzones, en este caso, figura el número de teléfono de contacto de la parte reclamante. ZELERIS añade que el albarán sí contendría más datos personales, pero este documento no se facilita a la persona que recoge el envío, por lo que el tercero no ha podido visualizar dicho documento. A este respecto hay que señalar que en el presente procedimiento sancionador no se hace referencia a que la persona que ha recogido el paquete haya podido disponer de los datos del albarán, sino que lo que se está cuestionando es el hecho de que en el albarán figurara una dirección, que ya se ha acreditado que era errónea, pero aun así el paquete se entregó en esa dirección, sin hacer constar quien recibía dicho envío, ya que los datos que figuran son los de la parte reclamante, que precisamente lo que reclamaba es que el paquete no le había sido entregado al mismo, habiéndose producido, por tanto, una vulneración del principio de confidencialidad, al haber quedado expuestos los datos personales de la parte reclamante incorporados en la etiqueta a terceros. Por último, quiere manifestar que se produce una falta de diligencia de la parte reclamante a la hora de confirmar su dirección de envío, en la medida en que se le envió un SMS en fecha 13 de septiembre de 2023 informándole que no se había podido entregar su pedido, y se le pedía que confirmara los datos de entrega y no lo realizó. En relación con esta cuestión, es necesario señalar que la infracción que se imputa a ZELERIS es precisamente que no había seguido sus propias instrucciones al proceder a la entrega del envío sin verificar que era el destinatario del mismo y que debía ser el titular del contrato de fusión.
  29. b)ZELERIS manifiesta que realiza estudios de medidas de seguridad adecuadas al riesgo, y que dispone de una operativa concreta implantada para todos sus trabajadores referidas a este tipo de entregas, y, además, ya aportó una circular en la que se recogían dichas medidas, que eran, entre otras: - el trabajador encargado de la entrega tiene la obligatoriedad de identificar y verificar la identidad de todas las entregas. - que no podrá entregarse en una dirección distinta a la indicada en la expedición. -penalizaciones por incumplimientos graves del servicio requerido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/38 En relación con estas manifestaciones, ha quedado acreditado en el expediente que ZELERIS no ha seguido las medidas de seguridad que tenía implantadas, al haber procedido a la entrega del envío sin comprobar que la persona que recogía dicho envío era el titular del contrato de fusión y la persona que debía recogerlo, de tal manera que con ello se ha producido una quiebra de la confidencialidad, en la medida en que sus datos personales, en particular su número de teléfono de contacto, ha quedado expuesto a un tercero. Es decir, se entiende que ZELERIS tenía implantadas medidas, pero no ha actuado con la suficiente diligencia, al haber procedido a la entrega del envío a una persona que no era la titular del contrato de fusión y sin haber comprobado quien era la persona que había recibido el envío, en la medida en que, en el albarán no figuran los datos de la persona que recogió el envío, sino únicamente los datos de la parte reclamante, cuando parece constatado que no es la parte reclamante quien recogió dicho envío, puesto que, además, ya ha quedado acreditado a lo largo de este procedimiento sancionador, que la dirección no era correcta. Además, hay que recordar que la circular de 21 de febrero de 2022 recoge expresamente que “en caso de no ser posible la identificación del titular de la expedición, no se efectuará la entrega” y que consta en el contrato de prestación de servicios aportado por ZELERIS al procedimiento que se deberá comprobar la identidad. ZELERIS añade, en este punto que, como operador postal, debe cumplir con las obligaciones de la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal. En este sentido, manifiesta que el artículo 24 de esta Ley establece que: “procurará la entrega de aquellos envíos postales cuya dirección aun siendo incompleta permita la identificación del destinatario" (...) "Los envíos, según el tipo de que se trate, se entregarán al destinatario o a la persona que éste autorice o serán depositados en los casilleros postales o en los buzones domiciliarios, individuales o colectivos. Se entenderá autorizado por el destinatario para recibir los envíos en su domicilio cualquier persona que se encuentre en el mismo, haga constar su identidad y se haga cargo de ellos, excepto que haya oposición expresa del destinatario por escrito dirigida al operador designado que presta el servicio postal universal.” Y por ello, manifiesta que la ley permite que cualquier persona que se encuentre en el domicilio y se identifique está autorizado a recoger el envío, y en este caso, la entrega se produjo en el domicilio que ZELERIS tenía como el domicilio de entrega, el mensajero identificó a la persona que se encontraba en el domicilio, que la persona firmó el albarán y por ello se procedió a la entrega, y es por eso por lo que la firma no coincidiría. Sin embargo, tales afirmaciones no constan acreditadas en este caso, hay que tener en cuenta que la normativa a la que alude ZELERIS exige: -que los envíos se entreguen al destinatario o a la persona que éste autorice C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/38 - se considerará autorizado por el destinatario a recibir los envíos en su domicilio a la persona que se encuentre en el mismo y -haga constar su identidad y se haga cargo del envío -excepto que haya oposición expresa del destinatario por escrito. En este caso, no se hace constar la identidad de la persona que se hace cargo del envío, ya que, tal y como se observa en el albarán de entrega, solo figuran los datos de la parte reclamante, y una firma, que no se corresponde con la firma de la parte reclamante. Así lo reconoce también ZELERIS, que dice que si figura identificada la persona que recoge el envío, cuando es evidente que no, ya que no figuran sus datos en el albarán. En este caso, en el SMS que se envía a la parte reclamante se recoge expresamente que el envío solo podrá entregarse al titular del contrato de fusión, cosa que tampoco se hace en este supuesto. Por último, y como ya se ha mencionado, la circular de operaciones de fecha 21 de febrero de 2022 recoge expresamente que “en caso de no ser posible la identificación de titular de la expedición, no se efectuará la entrega.” Por lo tanto, de conformidad con todo lo expuesto, no se puede tener en cuenta la alegación presentada por ZELERIS. 2. AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD DE TELEFÓNICAZELERIS. ZELERIS afirma que la acción no puede ser típica en la medida en que la entrega se realizó en la dirección que TELEFÓNICA le había facilitado, y entiende que no se puede atribuir la comisión de una brecha de carácter confidencial en la medida en que los datos aportados en el pedido son mínimos y el tercero no ha tenido acceso a ellos. Sin embargo, esta afirmación no puede ser tenida en cuenta en la medida en que, a pesar de que ZELERIS manifieste que los datos personales que contiene la etiqueta del envío son mínimos, siguen siendo datos personales de la parte reclamante, y el tercero que recoge el paquete si tiene acceso a ellos. En el presente caso, ha quedado constatado que la etiqueta incluía el número de teléfono de la parte reclamante. ZELERIS prosigue manifestando que no se le puede atribuir que no haya adoptado medidas de seguridad, e insiste en que los datos que aparecen en la etiqueta son los mínimos imprescindibles, y que el tercero que recibe el envío no tiene acceso al albarán, y por lo tanto no podría ser considerado como prueba. En este sentido, ha quedado constatado que ZELERIS no ha seguido las medidas de seguridad que tenía implantadas, al haber procedido a la entrega del envío sin comprobar que la persona que recogía dicho envío era el titular del contrato de fusión y la persona que debía recogerlo, de tal manera que con ello se ha producido una quiebra de la confidencialidad, en la medida en que sus datos personales, en particular número de teléfono de contacto ha quedado expuesto a un tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/38 Además, en relación con la manifestación referida a que los datos personales que se recogen en la etiqueta del envío sean los mínimos imprescindibles no puede ser tenido en cuenta, en la medida en que no hay datos personales mínimos, sino que se trata en todo caso de datos personales de la parte reclamante. Por otro lado, en relación con lo manifestado acerca del albarán de entrega hay que señalar que el albarán prueba que la entrega no se ha efectuado según las condiciones de la normativa, y de las propias medidas que tiene implantadas ZELERIS, puesto que la entrega se realizó en un domicilio distinto al del reclamante y fue recogido por un tercero. No se entrega al propio destinatario del envío, que es el titular del contrato de fusión y la parte reclamante, y tampoco se identifica a la persona que ha recogido el envío. La entrega del envío sin comprobar que la persona que lo recogía era el titular del contrato de fusión tal y como se recogía en las instrucciones que tenía implantadas ZELERIS ha supuesto una pérdida de confidencialidad, al quedar los datos personales de la parte reclamante, expuestos a un tercero. Así lo reconoce ZELERIS cuando afirma que la firma no coincidiría con la firma que la parte reclamante aportó en su contrato con TELEFONICA DE ESPAÑA porque no es quien recoge el envío, afirmando que el mensajero sí habría identificado a la persona que recoge el paquete, pero de este documento se constata que la persona que recoge el envío no se encuentra identificada en el albarán. Hay que recordar que el envío debía ser entregado al titular de fusión, y de acuerdo con la propia circular de ZELERIS si no se puede identificar al titular de la expedición, no se puede efectuar la entrega. Con relación a la manifestación efectuada por ZELERIS que entiende que la conducta no sería antijuridica, al haber actuado de buena fe y fundada creencia excluyente de culpabilidad, hay que tener en cuenta lo dispuesto en la sentencia de la AN, SAN de 27 de junio de 2024, rec. 102/2022 “Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia (art. 28 de la Ley 40/2015, de 1 de octubre-). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” Por tanto, corresponde a ZELERIS acreditar que empleó la diligencia que era exigible para que quede excluida la culpabilidad cosa que, en el presente caso, no se produce, ya que ha quedado constatado que el paquete se entregó a una persona distinta del titular del contrato de fusión, produciéndose con ello una brecha de confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/38 Además, la entrega del envío se produjo sin tener en cuenta las propias medidas comunicadas por ZELERIS a sus empleados, en la medida en que no se aseguraron que la persona que recibía dicho envío era el destinatario del mismo. Por lo tanto, la alegación aducida por ZELERIS no puede ser tenida en cuenta. 3: SOBRE LOS CRITERIOS DE GRADUACION DE LA SANCION. ZELERIS, en esta alegación, quiere mostrar su disconformidad con los agravantes recogidos en el acuerdo de inicio. De este modo: - en relación con la circunstancia referida a la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): en el presente caso no se habría seguido las medidas indicadas en la circular de fecha 21 de febrero de 2022, según consta en el documento 1 adjunto a la respuesta del traslado de la reclamación. En este punto, ZELERIS manifiesta que se trataría de un caso único y excepcional que no ha causado perjuicios a la parte reclamante, y por tanto, la sanción de 100.000 euros por la comisión de dos infracciones sería desproporcionada. En relación con esta circunstancia, hay que poner de manifiesto que, al efectuarse la entrega no se tuvieron en cuenta las propias medidas que la compañía tenía implantadas, y que aportaron en su escrito de contestación al traslado de la reclamación, lo que permitió que se produjera una pérdida de confidencialidad de los datos de la parte reclamante y una pérdida de control sobre sus propios datos En cualquier caso, desde esta Agencia se considera que la sanción no es desproporcionada. Por todo lo expuesto, no se puede tener en cuenta esta alegación. -En relación con la circunstancia de intencionalidad/negligencia en la infracción (apartado b). En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] En relación con esta circunstancia, ZELERIS manifiesta:
  30. a)ZELERIS sí cuenta con las medidas de seguridad adecuadas al riesgo
  31. b)si se cumplió la normativa sectorial aplicable al caso, pues quien recogía el paquete se identificó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/38
  32. c)la parte reclamante pudo confirmar y/o modificar la dirección de entrega porque el primer intento fue fallido.
  33. d)si se adoptaron medidas internas, como se indicó en el escrito dirigido a esta Agencia de 27 de abril de 2023 en la que se indicaba que se reforzaría las operativas internas para este tipo de entrega a todos los trabajadores
  34. e)por lo que parece, ZELERIS contaba desde el principio con un error en la dirección de entrega en ningún caso imputable a ZELERIS. En relación con estas manifestaciones, hay que señalar que ya se han contestado a lo largo de este documento, en la medida en que la infracción que se imputa a ZELERIS es precisamente que, en la entrega, no se siguieron las propias medidas implantadas. A todo esto, hay que añadir que la persona que recoge el paquete no se identificó, puesto que no figura en el albarán de entrega. En relación con el error al que se hace referencia, hay que tener en cuenta, como ya se ha recogido con anterioridad, que la entrega del envío debía realizarse al titular del contrato de fusión, y no a cualquier persona que se encontrara en el domicilio, a la que ni siquiera se identificó, por lo tanto, no es posible tener en cuenta estas manifestaciones efectuadas por ZELERIS. Por último, en relación con la cuestión referida a que la parte reclamante no confirmó la dirección de entrega, es necesario señalar que la infracción que se imputa a ZELERIS es precisamente que no había seguido sus propias instrucciones al proceder a la entrega del envío sin verificar que era el destinatario del mismo y que debía ser el titular del contrato de fusión. - En relación con la circunstancia agravante referida a la vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN lleva a cabo de manera habitual y continua el tratamiento de datos de carácter personal, ZELERIS quiere manifestar su disconformidad en la medida en que considera que no se ha producido una falta de medidas de seguridad en la entrega. Esta cuestión también ha sido contestada en varias ocasiones a lo largo de la propuesta de resolución puesto que ha sido precisamente el no haber cumplido con las medidas que ZELERIS tiene implantadas para efectuar las entregas de los envíos lo que no se ha tenido en cuenta en el presente supuesto. Estas medidas eran, entre otras, que el trabajador encargado de la entrega tiene la obligatoriedad de identificar y verificar la identidad de todas las entregas, y si no fuera posible identificar al titular de la expedición, no se efectuará la entrega. En este caso, como ya se ha manifestado, no consta en el expediente que la entrega se haya realizado al titular del contrato de fusión, que es lo que se había concretado con el cliente en esta entrega. Añade ZELERIS que este agravante, en este caso, se aplica sin tener en cuenta que estamos ante un caso concreto y excepcional, lo que equivale que cualquier tipo de infracción que se decidiese imponer a ZELERIS se tendría como considerada siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/38 esta agravante, algo que considera desproporcionado, y que carece de todo sentido contraviniendo los principios de justicia y equidad. Desde esta Agencia se considera que esta manifestación no puede ser tenida en cuenta en la medida en que el desarrollo de la actividad empresarial de ZELERIS requiere un tratamiento continuo y a gran escala de datos personales de clientes, por lo que le resulta exigible una mayor diligencia en el tratamiento de los datos personales. Por último, añadir que el legislador es quien previó la posibilidad de utilizar este agravante y que la Agencia se limita a aplicarlo. Por otro lado, ZELERIS considera que se deberían aplicar las siguientes atenuantes, con la consiguiente minoración de la cuantía:
  35. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. ZELERIS considera que debe aplicarse este atenuante en la medida en que se ha dado respuesta a todas las solicitudes de información de la Agencia, con el fin de colaborar en la medida de lo posible con las labores de investigación que tiene esta Agencia. No se puede tener en cuenta esta alegación en la medida en que contestar a los requerimientos de información enviados desde esta Agencia son una obligación del responsable, tal y como se recoge en la LOPDGDD.
  36. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. ZELERIS entiende que, en el presente caso, no se ha obtenido ningún tipo de beneficio por la comisión de las supuestas infracciones. Más bien al contrario, si finalmente se impusiese la sanción se obtendría una pérdida económica por esta parte. Esta alegación no puede ser considerado como un atenuante, de acuerdo con la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  37. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
  38. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/38 De este modo, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  39. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora podrá considerarse como una atenuante, en aplicación del artículo 83.2.
  40. k)del RGPD, que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso”. 4: LA SANCIÓN ES DESPROPORCIONADA Y ARBITRARIA. En relación con esta cuestión, ZELERIS pone de manifiesto que el RGPD y la LOPDGDD lo que atribuyen a esta Agencia es, como autoridad de control, velar por el cumplimiento de la normativa de protección de datos desplegando sus funciones investigadoras, y que, en este supuesto, no se ha producido investigación, y la motivación de la apertura del procedimiento sancionador se encontraría en la reclamación presentada y en el escrito presentado por ZELERIS, dando por hecho presupuestos como que se ha entregado el albarán de entrega con datos personales a la persona que ha recibido el paquete, cuando no habría sido así. En este sentido, el artículo 47 de la LOPDGDD, referido a las “Funciones y potestades de la Agencia Española de Protección de Datos” establece en su apartado primero: “Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo.” De este modo, el artículo 58 del RGPD, referido a los “Poderes” establece, en su apartado 2: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/38
  41. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  42. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; “ Asimismo, el artículo 64 de la LOPDGDD referido al “la forma de iniciación del procedimiento y duración” establece en su apartado 2: “Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica.” Por tanto, de conformidad con lo señalado en los párrafos anteriores, dentro de las funciones atribuidas a esta Agencia se encuentra la posibilidad de incoar procedimientos sancionadores e imponer las multas y las medidas correspondientes. Además, las actividades de investigación podrán o no ser realizadas, de conformidad con lo dispuesto en el artículo 64 de la LOPDGDD. Por lo tanto, esta alegación no puede ser tenida en cuenta. Por otro lado, en relación con la manifestación referida a que se entregó el albarán de entrega con datos personales a la persona que recibió el paquete, cuando no fue así, es necesario reiterar de nuevo que, como ya se ha señalado anteriormente, en este procedimiento sancionador no se cuestionaba el hecho de que el albarán se haya entregado a la persona que recogió el paquete, sino que el mismo, ha servido para determinar que la infracción se habría cometido en la medida en que prueba que el envío no se entregó a la parte reclamante. No se imputa en este caso a ZELERIS una falta de confidencialidad por la entrega del albarán a un tercero, sino por la entrega de un paquete junto con una etiqueta que contenía los datos personales de la parte reclamante. En relación con el incumplimiento del principio de proporcionalidad, es necesario manifestar que el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual efectivas, proporcionadas y disuasorias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/38 (artículo 83.1 y 2 RGPD), condiciones generales para la imposición de las multas administrativas que sí han sido objeto de análisis por esta Agencia, a las que hay que sumar los criterios de graduación previstos en la LOPDGDD. Hay que señalar que la multa administrativa acordada será efectiva porque conducirá a la compañía a aplicar las medidas técnicas y organizativas que garanticen los derechos y libertades de los interesados, habida cuenta del valor de la criticidad del tratamiento. También es proporcional a la vulneración identificada, en particular a su gravedad, el círculo de personas físicas afectadas y los riesgos en los que se han incurrido y a la situación financiera de la compañía. Y, por último, es disuasoria. Una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” La Sentencia de fecha 11 de mayo de 2006 dictada en el recurso de casación 7133/2003 establece que: “Ha de tenerse en cuenta, además, que uno de los criterios rectores de la aplicación de dicho principio régimen sancionador administrativo (criterio recogido bajo la rúbrica de «principio de proporcionalidad» en el apartado 2 del artículo 131 de la citada Ley 30/1992) es que la imposición de sanciones pecuniarias no debe suponer que la comisión de las infracciones tipificadas resulte más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/38 beneficiosa para el infractor que el cumplimiento de las normas infringidas”. También es importante la jurisprudencia que resulta de la Sentencia de la Sala Tercera del Tribunal Supremo, dictada en fecha 27 de mayo de 2003 (rec. 3725/1999) que dice: La proporcionalidad, perteneciente específicamente al ámbito de la sanción, constituye uno de los principios que rigen en el Derecho Administrativo sancionador, y representa un instrumento de control del ejercicio de la potestad sancionadora por la Administración dentro, incluso, de los márgenes que, en principio, señala la norma aplicable para tal ejercicio. Supone ciertamente un concepto difícilmente determinable a priori, pero que tiende a adecuar la sanción, al establecer su graduación concreta dentro de los indicados márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de la antijudicidad como de la culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable -y, en particular, como resulta del artículo 131.3 LRJ y PAC, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia-. (SSTS 19 de julio de 1996, 2 de febrero de 1998 y 20 de diciembre de 1999, entre otras muchas). Asimismo, cuando ZELERIS pone de manifiesto que en el acuerdo de inicio no se motiva el cálculo del importe de las sanciones, sin una explicación y limitándose a mencionar que existen agravantes, y que por ello se estaría vulnerando el principio de proporcionalidad hay que señalar que esto no es así, en la medida en que se especifica que la sanción por la infracción del artículo 5.1.
  43. f)del RGPD asciende a 70.000 euros, y la sanción por la infracción del artículo 32 del RGPD es de 30.000 euros, y se explica con claridad la aplicación de circunstancias concurrentes, como se puede comprobar en el acuerdo de inicio y en el presente documento. Por tanto, esta alegación no puede ser tenida en cuenta. 5. ADOPCIÓN DE MEDIDAS. ZELERIS muestra su disconformidad con la imposición de la adopción de medidas para el caso de confirmarse las infracciones imputadas, ya que, como se ha expuesto a lo largo del escrito de alegaciones al acuerdo de inicio, ZELERIS habría explicado motivadamente su correcta forma de proceder en virtud de los datos con los que contaba, siguiendo una operativa estricta y en respeto tanto de la normativa sectorial como en materia de protección de datos. En relación con esta cuestión, tal y como se ha señalado anteriormente, dentro de las funciones de esta Agencia se encuentra la posibilidad de imponer medidas correctivas. Las medidas recogidas en el acuerdo de inicio se refieren a la posibilidad de ordenar que ZELERIS acredite en el plazo de 6 meses la adopción de las medidas adecuadas conforme el RGPD, para que sus repartidores no incumplan los protocolos establecidos y no realicen entregas sin comprobar fehacientemente la identidad de la persona a la que se entrega el paquete. ZELERIS ha manifestado que se habrían adoptado medidas internas para reforzar las operativas internas para este tipo de entregas a todos los trabajadores, pero no se han acreditado, por lo que no se puede tener en cuenta esta alegación, y se mantiene la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/38 propuesta para que se ordene la aplicación de las medidas en la resolución que ponga fin al presente procedimiento sancionador, sin perjuicio de la posibilidad de su presentación a lo largo del presente expediente sancionador. IV Respuesta a las alegaciones a la propuesta de resolución del procedimiento sancionador En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por ZELERIS: I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE EXPEDIENTE SANCIONADOR. Primera. Inexistencia de comisión de la infracción. disconformidad con la propuesta de Resolución.
  44. a)Sobre la diligencia debida en las entregas. Esta cuestión ya fue contestada en las alegaciones al acuerdo de inicio, en el apartado 1 referido a la “inexistencia de comisión de infracción” a la que nos remitimos.
  45. b)Sobre las medidas de seguridad, operativa actualizada y refuerzo a los empleados y proveedores. En este punto, ZELERIS quiere manifestar que cuenta con medidas técnicas y organizativas apropiadas en lo que respecta al tratamiento de datos personales que se lleva a cabo, toda vez que esta Agencia ha propuesto el archivo de la infracción del artículo 32 RGPD. En relación con esta cuestión, es necesario destacar que la infracción que se imputa a ZELERIS es una infracción del artículo 5.1.
  46. f)del RGPD, en la que también se exige la aplicación de medidas técnicas y organizativas apropiadas que garanticen la seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito. Además, quiere destacar las siguientes medidas que tiene implantadas:
  47. i)la continua actualización de la operativa interna que realiza el equipo de seguridad y operaciones, y que se hace llegar a todos los trabajadores mediante circulares y que se adjunta al escrito de alegaciones a la propuesta de resolución.
  48. ii)inclusión de cláusulas en los contratos de distribución de paquetería y mensajería con proveedores. iii) una vez detectada la incidencia, ZELERIS informó a la empresa colaboradora que había realizado este servicio para identificar al trabajador que realizó este servicio y le amonestara. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/38 ZELERIS quiere poner de manifiesto que esta actuación evidenciaría que habría actuado con la diligencia debida. La cuestión referida a que la actuación de ZELERIS evidenciaría que habría actuado con la diligencia debida ya ha sido contestada, y hay que añadir que, a pesar de estas medidas, se efectuó la entrega del envío sin tener en cuenta dichas medidas implementadas.
  49. c)obligación de medios y no de resultados. Con esta manifestación, ZELERIS afirma que, con la propuesta de resolución, esta Agencia estaría imponiendo una obligación de resultados, y que las medidas de seguridad sean infalibles, basándose en el resultado de operativas que deben seguir los trabajadores y mensajeros más allá de la exigencia establecida en los artículos 32 y 25 RGPD. Sin embargo, en relación con esta cuestión hay que hacer referencia a la SAN de 29 de octubre de 2024, rec. 1824/2021, que dispone que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo, en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. En este sentido, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo. De este modo, en el caso que nos ocupa ha quedado constatado que la entrega del envío se realizó sin tener en cuenta sus propias instrucciones puesto que, tal y como se recogía en el SMS que se envió a la parte reclamante, el envío solo podía ser recogido por el titular del contrato de fusión, y a lo largo de este expediente se ha constatado que la entrega se realizó sin que se confirmara quien recogía el envío, lo que supone un claro incumplimiento de las medidas contenidas en las citadas instrucciones, que no se siguieron de un modo diligente por ZELERIS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/38 Por lo tanto, procede rechazar esta alegación.
  50. d)volumen de entregas. ZELERIS quiere manifestar que, desde el año 1999, fecha en la que se constituyó la empresa, no había tenido ninguna reclamación en materia de privacidad, a pesar de que la gran mayoría de sus envíos son a personas físicas. Desde esta Agencia se quiere manifestar que, en el presente procedimiento, ha quedado acreditado que se ha producido una vulneración del artículo 5.1.
  51. f)RGPD, sin que sea motivo de valoración el hecho de que sea la primera infracción que se le imputa en materia de protección de datos. 2. Sobre la inclusión del número de teléfono de contacto en la etiqueta. ZELERIS presenta una serie de razones por las que considera que es necesario incluir el número de teléfono en la etiqueta del paquete. No obstante, lo que se está valorando en el presente expediente y los hechos que constituyen la infracción es que se ha producido una pérdida de confidencialidad, en la medida en que una persona no autorizada ha tenido acceso a los datos personales de la parte reclamante, que no tiene por qué conocer, por una actuación indebida de ZELERIS, esto es, a consecuencia de que se entregara un paquete a un tercero no autorizado, y sin haber verificado su identidad, en una dirección incorrecta, sumado a que su protocolo interno indica claramente que esto no se puede hacer. Asimismo, manifiesta que los hechos que han motivado la apertura del procedimiento sancionador se produjeron en el año 2022, y considera que los riesgos existentes en dicho año ya no son los mismos que en la actualidad, y añade que hace esta manifestación porque entiende que la sensibilidad de que un dato personal quedara expuesto no es la misma que en la actualidad. En relación con estas manifestaciones hay que tener en cuenta que la vulneración del artículo 5.1.
  52. f)RGPD en el supuesto que nos ocupa la pérdida de confidencialidad se produce tras haberse incumplido las normas con las que ya contaba ZELERIS, y es, por tanto, innegable y ha quedado constatada a lo largo del procedimiento sancionador, al haber quedado expuesto a terceros datos personales de la parte reclamante, por lo tanto, procede rechazar la presente alegación. Además, el RGPD es plenamente aplicable desde mayo de 2018 y desde esta fecha los responsables tienen que dar cumplimiento al principio de confidencialidad, sin que pueda quedar debilitado el sistema de garantías que el RGPD recoge por una supuesta “falta de sensibilización”, Por otro lado, ZELERIS presenta una relación de medidas que ha ido implementando, entre las que cita:
  53. i)implementadas: inclusión del (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/38
  54. ii)en proceso de implantación: -(…). -(…). En relación con estas manifestaciones, desde esta Agencia se quiere señalar que estas medidas, han sido adoptadas y comunicadas a esta Agencia en las alegaciones a la propuesta de resolución, el 16 de enero de 2025, lo que significa que se han adoptado o están en vías de implementación con posterioridad al inicio del procedimiento sancionador, cuyo acuerdo de inicio fue notificado el día 12 de febrero de 2024. Por tanto, a todos los efectos, la infracción ha tenido lugar. Cuestión distinta es si, a la vista de las medidas adoptadas por la parte reclamada, esta Agencia procede a ordenar medidas en el marco del artículo 58.2.
  55. d)del RGPD. II. SOBRE LOS FUNDAMENTOS DE DERECHO. Primera. Sobre la presunta infracción cometida por parte de ZELERIS: ausencia de tipicidad, antijuridicidad y culpabilidad. En relación con esta alegación, hay que señalar que la misma ya fue contestada en el apartado 2 de la contestación a las alegaciones al acuerdo de inicio, a la que nos remitimos, y por ello, procede rechazar la presente alegación. Segunda. Incumplimiento del principio de proporcionalidad en las sanciones. Las razones de ZELERIS para considerar que se vulnera el principio de proporcionalidad son las siguientes:
  56. i)este es el primer expediente sancionador desde el año 1999.
  57. ii)la proporción del volumen de envíos en un año y el número de reclamaciones por vulnerar la privacidad evidencia que las medidas de seguridad implantadas son eficaces. iii) el dato expuesto ha afectado a una sola persona, y se ha producido a (…).
  58. iv)ZELERIS ha adoptado las medidas pertinentes para ir reduciendo el riesgo de que los datos queden expuestos en caso de producirse alguna incidencia. En relación con el incumplimiento del principio de proporcionalidad, hay que señalar que fue contestado en la respuesta a las alegaciones al acuerdo de inicio, en el apartado 4, a la que nos remitimos, de tal manera que esta alegación no puede ser tenida en cuenta. Tercera. Sobre los criterios de graduación de la sanción. ZELERIS pone de manifiesto su disconformidad con la aplicación de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/38 agravantes.
  59. i)La naturaleza, gravedad y duración de la infracción, en el que se reiteran en las alegaciones presentadas al acuerdo de inicio, y además solicita a esta Agencia que valore todas circunstancias expuestas, al tratarse de un error puntual y aislado, en el que no se habría causado perjuicios a la parte reclamante, y que el dato personal tuvo una difusión mínima. En relación con estas manifestaciones, hay que señalar que ya fueron analizadas en la contestación a las alegaciones al acuerdo de inicio, apartado 3, al que nos remitimos. Sin embargo, en relación con la manifestación referida a que no se habrían causado perjuicios a la parte reclamante y que el dato personal tuvo una difusión mínima, conviene señalar que no se puede afirmar que la parte reclamante no haya sufrido ningún perjuicio, en la medida en que el envío del que era destinatario nunca le llegó, y además, el hecho de que la difusión de sus datos personales fuera “mínima” como afirma ZELERIS no puede tenerse en consideración, en la medida en que la brecha de confidencialidad existió, al facilitarse datos personales a una vecina, con quien, además, según manifiesta la parte reclamante, tiene mala relación. Por lo tanto, esta alegación no puede ser tenida en cuenta.
  60. ii)Intencionalidad/negligencia. Esta cuestión ya ha sido contestada en la contestación a las alegaciones al acuerdo de inicio, apartado 3, al que nos remitimos, procediendo desestimar dicha alegación. iii) la vinculación de la actividad del infractor en la realización de tratamiento de datos personales En relación con este agravante, hay que señalar que ya ha sido contestado en las contestaciones a las alegaciones al acuerdo de inicio, apartado 3, al que nos remitimos. Por otro lado, ZELERIS manifiesta que, de conformidad con las Directrices sobre la aplicación y fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas por el Grupo de Trabajo del artículo 29, los factores que prevé el artículo 83.2 del RGPD deben evaluarse de manera combinada, de tal manera que debería realizarse teniendo en cuenta el número de interesados junto con el posible impacto sobre ellos. Y añade que en este mismo sentido se pronunciaría el Considerando 75 del RGPD. En relación con esta cuestión, ZELERIS debería recordar que el artículo 83 del RGPD, referido a las Condiciones Generales para la imposición de multas administrativas, en su apartado 5 establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/38
  61. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; Es decir, que las infracciones que afecten al artículo 5 RGPD como es este caso pueden ser sancionadas con una multa administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior. En el presente caso, el porcentaje es de 0,017, y considerándose que los agravantes han sido debidamente valorados, procede rechazar esta alegación. Por otro lado, ZELERIS considera que deberían haberse tenido en cuenta las siguientes atenuantes:
  62. a)grado de cooperación con la autoridad de control.
  63. b)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Estas manifestaciones ya fueron contestadas en la contestación a las alegaciones al acuerdo de inicio, en el apartado 3, a la que nos remitimos, procediendo a rechazar dicha alegación. V Integridad y confidencialidad El artículo 5.1.
  64. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  65. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante, en especial su teléfono de contacto, que no tiene por qué ser conocido por su vecino, ha sido indebidamente expuesto a un tercero, en la medida en que los datos personales de la parte reclamante figuraban en la etiqueta del paquete a entregar a la parte reclamante (nombre, apellidos, dirección y número de teléfono). Hay que tener en cuenta que la etiqueta presentaba el error en la letra del piso al que había que hacer la entrega, y que esta entrega debía hacerse única y exclusivamente al titular de la línea de fusión, que es la parte reclamante, circunstancia que no se ha producido, y la entrega se realiza a otra persona que vive en el mismo edificio que la parte reclamante De este modo, al haberse producido la entrega del paquete a una persona que no era el destinatario del envío o titular del contrato de fusión, es decir, la parte reclamante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/38 ha supuesto una vulneración del principio de confidencialidad de los datos personales de la parte reclamante. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ZELERIS por vulneración del artículo 5.1.
  66. f)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1.
  67. f)del RGPD La citada infracción del artículo 5.1.
  68. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  69. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  70. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
  71. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/38 Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  72. a)a
  73. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  74. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  75. b)la intencionalidad o negligencia en la infracción;
  76. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  77. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  78. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  79. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  80. g)las categorías de los datos de carácter personal afectados por la infracción;
  81. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  82. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  83. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  84. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/38 2. De acuerdo a lo previsto en el artículo 83.2.
  85. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  86. a)El carácter continuado de la infracción.
  87. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  88. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  89. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  90. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  91. f)La afectación a los derechos de los menores.
  92. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  93. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): se han cedido los datos personales de la parte reclamante, en particular su teléfono, a un tercero no autorizado para ello toda vez que se hizo entrega de un paquete con la citada información a quien no se debía. A lo anterior cabe añadir que el reclamante no recibió el terminal solicitado tal y como consta en la documentación obrante en el expediente. - Intencionalidad/ Negligencia en la infracción (apartado b). En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/38 constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. En este caso, se ha producido una falta de diligencia, al no haberse seguido las instrucciones de la propia compañía en el momento de efectuar la entrega. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): ZELERIS lleva a cabo de manera habitual y continua el tratamiento de datos de carácter personal, en la medida en que ZELERIS como consecuencia de su actividad empresarial (servicio de transporte y logística), realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados. La realización de actividades de transporte de mercancías, que es su actividad principal, implica necesariamente operaciones de tratamiento de datos personales. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza ZELERIS en su negocio y ligado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.f del RGPD, permite fijar una sanción de 70.000 € (setenta mil euros). VII Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  94. a)la seudonimización y el cifrado de datos personales;
  95. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  96. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  97. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/38 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” Revisadas las alegaciones formuladas por la parte reclamada, y en atención a las mismas, revisada la documentación obrante en el expediente administrativo y la aportada por la parte reclamada, se evidencia que todas las medidas técnicas y organizativas de seguridad cuya ausencia ha quedado probada, posibilitando directamente la brecha de datos personales, sin que se haya producido una conculcación, en el caso concreto, del artículo 32 del RGPD al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de la brecha de datos personales. VIII Medidas correctivas De acuerdo con lo establecido en el citado artículo 58.2
  98. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se requiere a ZELERIS para que, en el plazo de 6 meses notifique a esta Agencia la adopción de las siguientes medidas - Acreditar en el plazo de 6 meses la adopción de las medidas técnicas y organizativas adecuadas conforme el RGPD, para que sus repartidores no incumplan los protocolos establecidos y no entreguen un paquete a un tercero no autorizado, ni realicen entregas sin comprobar fehacientemente la identidad de la persona a la que se entrega el paquete. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la orden de medidas de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/38 Asimismo, se recuerda que ni el reconocimiento de la infracción cometida, ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de acreditar el cumplimiento de las medidas correctivas propuestas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, por una infracción del artículo 5.1.
  99. f)del RGPD tipificada en el artículo 83.5 del RGPD, una multa de setenta mil euros (70.000 euros). ARCHIVAR a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, la infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: ORDENAR a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280, que en virtud del artículo 58.2.
  100. d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, la adopción de las medidas técnicas y organizativas adecuadas conforme el RGPD, para que sus repartidores no incumplan los protocolos establecidos y no entreguen un paquete a un tercero no autorizado, ni realicen entregas sin comprobar fehacientemente la identidad de la persona a la que se entrega el paquete. TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  101. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/38 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  102. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.