PS-00414-2021

1/5  Procedimiento Nº: PS/00414/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la parte reclamante) con fecha 18/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ASM PRAT (en adelante la parte reclamada). Los motivos en que basa la reclamación son los siguientes: que la empresa mencionada, para hacer entrega de los paquetes a sus destinatarios, está imponiendo como condición necesaria realizar una fotografía al anverso y al reverso de su DNI. El empleado de la empresa la toma con su terminal móvil en el momento de la entrega. Posteriormente, la imagen obtenida es cedida a la empresa que remitió el paquete. Además, la empresa ha rehusado ofrecer información sobre dicho tratamiento de datos personales a la afectada, y tampoco recaba su consentimiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/09136/2020, se dio traslado de dicha reclamación al reclamado el 02/09/2020, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 04/11/2020, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Con fecha 02/09/2020 se recibe en esta Agencia, escrito de la empresa GENERAL LOGISTICS SYSTEMS SPAIN, S.A., manifestando lo siguiente: - La reclamada realiza envíos por si misma o bien a través de empresas subcontratadas. - La reclamada tiene una modalidad de entrega denominado Identservice (DNI + foto) que tiene su origen en el requerimiento del cliente Información Control y Verificación S.A. (en adelante, ICP) para aportar una mayor seguridad de que el paquete ha sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 entregado al destinatario. - Indican que su responsabilidad es la de encargado del tratamiento, siendo el responsable de éste, el cliente que solicitó este tipo de verificación en la entrega (ORANGE). Por lo tanto, la base de legitimación no es el consentimiento del remitente, sino la ejecución del contrato con su cliente, siendo éste el que informe de este tratamiento y recabe el consentimiento del destinatario para el tratamiento. Y adjuntan los siguientes documentos: - Documento 1: Contrato de servicio con ICP en el que la entidad reclamada figura como encargado de tratamiento, siendo el responsable de este tratamiento, ICP. - Documento 2: Adenda contrato de servicio con ICP (DNI + foto) en el que la reclamada figura como mandatario. - Cartel descriptivo de los tres tipos de identificación del remitente Solicitados por esta Agencia, los contratos con los clientes correspondientes a los envíos remitidos a los reclamantes, con fecha de 28/10/2020 se reciben en esta Agencia tres escritos, manifestando: (…) - Respecto al envío de la reclamante, admiten que, aunque en el documento de expedición nº 463189162 figura “NO DNINOM” (validación estándar, que no permite la utilización de la cámara, y en el que solamente se solicita que sea mostrado el DNI con objeto de comprobar que el nombre y apellidos y número de DNI concuerdan con los que el mensajero tiene registrados en la aplicación) el mensajero eligió otra modalidad de validación en la aplicación que le permitió tomar la fotografía del DNI de la reclamante indebidamente. El trazado del envío fue el siguiente: - Optimego, S.L.U. contrata el transporte del producto comprado por la reclamante con Granasur Express S.L. - Granasur Express, S.L. introduce el paquete en la red de distribución de la reclamada. - La empresa colaboradora con la reclamada, ASM PRAT, entrega el paquete al destinatario mediante mensajero. Concluyen por tanto, que el mensajero, perteneciente a la empresa colaboradora ASM PRAT, cometió un error al entregar el paquete, no ajustándose a las normas de la reclamada para la entrega de este tipo de paquetería. Añaden que en cuanto han tenido constancia del error han eliminado de sus sistemas la fotografía tomada por el mensajero y han enviado comunicación a esta reclamante expresando sus disculpas, pero no aportan este documento. Y adjuntan los siguientes documentos: - Acuerdo de tratamiento de carácter personal entre la reclamada y ASM PRAT en donde ASM PRAT figura como encargado del tratamiento. - Contrato de colaboración con Granasur Express, S.L. Respecto a la reclamación formulada por la reclamante ha quedado constancia, durante las actuaciones del traslado de la reclamación a la reclamada, que la toma de la fotografía del DNI de esta reclamante fue debido a un error del mensajero (de la entidad ASM PRAT colaboradora de la reclamada como encargada del tratamiento) al no ajusC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 tarse a las normas de la reclamada para la entrega de este tipo de paquetería. En cuanto al nivel de seguridad del tratamiento de digitalización del DNI, según la información recibida de la reclamada, se puede considerar seguro debido a que las fotografías del DNI no son en ningún momento almacenadas en el terminal del mensajero ya que son captadas por una aplicación específica de la reclamada y son transmitidas a los sistemas de esta en cuanto se digitaliza. Así mismo, los datos previos del destinatario como Nombre y Apellidos, número de DNI, etc. se eliminan del terminal del mensajero en cuanto se realiza la entrega. Respecto a los accesos a la información de un determinado envío, estos están restringidos al remitente del producto, al encargado de la entrega, y al personal de reclamada de las diferentes áreas involucradas. QUINTO: Con fecha 17/09/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD, considerando que la infracción que pudiera corresponder seria multa de 5.000 euros. SEXTO: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones. SEPTIMO: El 15/11/2021 se solicitó a la AEAT información del reclamado respondiendo al día siguiente que no se conocía su NIF y que no se tenía certeza de dirección postal conocida de dicha entidad. OCTAVO: En fecha 25/11/2021 se abrió un periodo de pruebas acordándose la siguiente: solicitar a D. B.B.B., con DNI ***NIF.1, para que remita, en su condición de representante del reclamado, el número de CIF/NIF de la citada sociedad. No ha habido respuesta a la prueba practicada FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Hay que señalar que con carácter previo al inicio de actuaciones sancionadoras, es necesario identificar al presunto responsable de la infracción administrativa. El artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, referido al Acuerdo de iniciación en los procedimientos de naturaleza sancionadora, establece lo siguiente: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
2. a)Identificación de la persona o personas presuntamente responsables. (…)” Al no constar en el expediente la identificación del presunto responsable, por no figurar el número de NIF, se solicitó el mismo a la Agencia Tributaria. Como consta en los antecedentes la Agencia Tributaria respondió al requerimiento de la Agencia Española de Protección de Datos el 16/11/2021 indicando que no se conocía su NIF y que no se tenía certeza de dirección postal. También en periodo probatorio se solicitó a la persona que consta como representante del reclamado para que aportase el NIF de la entidad sin haber obtenido respuesta a la citada petición. III Por lo tanto, aunque la reclamación presentada pudiera suponer una infracción a la normativa sobre protección de datos, no es posible continuar con las actuaciones sancionadoras al no tener identificación fiscal del presunto responsable. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
3. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es