← España

PS-00443-2023

1/29  Expediente Nº: EXP202313042 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HISPAPOST, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202313042 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 28 de septiembre de 2022, se recibió en la Agencia Española de Protección de Datos Informe Nº Nl ***INFORME.1 de la POLICÍA LOCAL DEL AYUNTAMIENTO DE LA PALMA (en adelante, la POLICIA LOCAL). La POLICÍA LOCAL aporta informe de fecha 22 de septiembre de 2022 elaborado por agentes de la Policía Local, en el que se pone de manifiesto el hallazgo en un solar de correspondencia abandonada con datos personales, hasta un total de 1.404 cartas, con el logo de la empresa HISPAPOST SA(en adelante HISPAPOST), la cual fue contactada por los agentes, reconociendo dicha entidad que la correspondencia encontrada debía haber sido repartida por empleados de CORREO INTELIGENTE POSTAL SL (en adelante CI POSTAL), sin entender el motivo de que no se llevara a cabo dicho reparto y fuera abandonada la correspondencia. Las cartas pertenecían a varias empresas remitentes, entre otras La Caixa, BBVA, Energía XXI y Endesa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/29 Que el día 13 de septiembre de 2022 acudió a las dependencias de la POLICIA LOCAL una persona representante de la empresa CI POSTAL (Doña A.A.A.) y al serle mostradas las cartas encontradas reconoció el logo de su empresa, afirmando en su declaración que desconocía el motivo por el que la correspondencia no había sido repartida, las cartas pertenecían a los meses comprendidos entre febrero y mayo de 2022. Esta persona afirma que esa correspondencia debió ser repartida entre cuatro trabajadores, dos operarios que ya no estaban trabajando y dos que sí continuaban y que habían repartido su parte pertinente, que al tratarse de correspondencia ordinaria es imposible averiguar qué repartidor de los cuatro dejó de hacer su trabajo. En fecha 22 de septiembre de 2022 acude a las dependencias policiales esta misma persona representante de CI POSTAL tras ser requerida nuevamente por la policía, en este acto se le hace entrega de la correspondencia, un total de 1404 cartas de las empresas remitentes con la siguiente distribución: La Caixa (596 cartas), BBVA (57 cartas), Naturgy (33 cartas), Energia XXI (295 cartas), Imagin (59 cartas), Endesa (307 cartas), MasMovil(1 carta), Telefax (3 cartas), Totem (3 cartas), Laboral Kutxa(1 carta), PSA (1 carta), Yoigo (1 carta), Orange(6 cartas), Pra Group (1 carta), Jazztel (2 cartas). Constancia de HISPAPOST 13 septiembre 2022 EMPRESA AFECTADA CARTAS ENCONTRADAS LA CAIXA BBVA NATURGY ENERGÍA XXI IMAGIN ENDESA MASMOVIL TELEFAX LABORAL KUTXA PSA FINANCIAL YOIGO ORANGE PRA GROUP JAZZTEL 596 57 33 295 59 307 1 3 1 1 1 6 1 2 En fecha 17 de noviembre de 2022 se recibe en la Agencia Española de Protección de Datos nueva denuncia por parte de la Delegación Del Gobierno en Islas Baleares, en esta nos traslada un escrito remitido por la Jefatura Superior De Policía De Las Illes Balears en relación con la localización de un total de 5354 cartas abandonadas en dos ubicaciones distintas de La Palma, y de cuya gestión era responsable la empresa HISPAPOST que gestionaba el reparto por medio de su distribuidor en La Palma CI POSTAL. Se trata de un recuento total de 5354 cartas con el siguiente reparto de empresas afectadas y cartas localizadas: Puesto en conocimiento de HISPAPOST el 19 octubre 2022 EMPRESA ENERGY XXI ENDESA NATURGY GAES C/ Jorge Juan, 6 28001 – Madrid CARTAS 1420 1485 170 1470 EMPRESA LEXER EQUIFAX TELEFAX PSA FINANC. CARTAS 1 42 4 5 www.aepd.es sedeagpd.gob.es 3/29 VODAFONE JAZZTEL YOIGO ORANGE 16 51 5 21 MASMOVIL 17 BANCO SABADELL CAIXABANK BBVA 240 40 197 INVEST CAPITAL TR3A ZOLVA AYTO MADRID (AGENCIA TRIBUTARIA) AYTO SEVILLA (AGENCIA TRIBUTARIA) MC ABOGADOS 4 8 29 1 ASISA 2 5 3 En relación con este incidente se notificaron a esta Agencia, por parte de distintos responsables de tratamientos afectados por los abandonos postales las siguientes brechas de seguridad: 1. El responsable BANCO SABADELL SA notificó la brecha el ***FECHA.1. 2. El responsable PSA FINANCIAL SERVICES notificó la brecha en fechas ***FECHA.5 y 16 de noviembre de 2022. 3. El responsable ASNEF-EQUIFAX SERVICIOS INFORMACIÓN notificó la brecha en fechas ***FECHA.5 y 15 de noviembre de 2022. 4. El responsable INTRUM SERVICING SPAIN notificó la brecha en fechas 24 de octubre de 2022 y 21 de noviembre de 2022. 5. El responsable VODAFONE ESPAÑA notificó la brecha en fechas 27 de octubre de 2022 y 25 de noviembre de 2022. 6. El responsable PRA IBERIA SL notificó la brecha en fecha 1 de noviembre de 2022. 7. El responsable CABOT FINANCIAL SPAIN SA notificó la brecha en fechas 3 de noviembre de 2022 y 1 de diciembre de 2022. 8. El responsable INVESTCAPITAL LTD notificó la brecha en fecha 18 de noviembre de 2022. 9. El responsable EOS SPAIN SL notificó la brecha en fechas 17 de noviembre de 2022 y 7 de diciembre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CI POSTAL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de noviembre de 2022 como consta en el certificado que obra en el expediente. Con fecha 5 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta al traslado anterior presentado por la empresa QUICK LOPD SL en calidad de Delegado de Protección de Datos de CI POSTAL, Del análisis de la respuesta se extrae la siguiente afirmación: - “En CIPOSTAL tenemos conocimiento de este incidente el 9 de septiembre de 2022, cuando la empresa HISPAPOST, a quien realizamos el servicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/29 correo postal en Palma de Mallorca nos informa que la policía local se había puesto en contacto con ellos para indicarles que se han recogido 2 bolsas de basura de correspondencia con su logo”. TERCERO: Como consecuencia del traslado por la POLICIA LOCAL de la denuncia del hallazgo en un solar de numerosa correspondencia abandonada así como del descubrimiento en un descampado numerosas de cartas sin entregar dirigidas a particulares, que aparentemente habrían estado abandonadas varios meses y, ante la repercusión mediática, la Directora de la Agencia Española de Protección de Datos, por Nota Interior de fecha de 28 de diciembre de 2022, instó a la Subdirección General de Inspección de Datos a que inicie de oficio actuaciones previas de investigación tendentes a acreditar estos hechos y su autoría. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En relación con las brechas de seguridad notificadas ante esta Agencia, se señala: De la brecha notificada por el responsable BANCO SABADELL SA se extrae: - Se adjunta la denuncia interpuesta por HISPAPOST a Policía Nacional en fecha 14 de octubre de 2022. - Descripción del incidente: “Banco de Sabadell, a través de comunicación efectuada por su proveedor de servicios postales (HISPAPOST) del día ***FECHA.4, toma conocimiento de la existencia de varios envíos postales a sus clientes en Palma de Mallorca encontrados en distintos puntos del municipio arrojados por personal de la empresa encargada de la distribución (Correo Inteligente Postal). Una vez recuperada la documentación, en distintos estados de deterioro, por las FFCCEE son revisadas por Hispapost y nos trasladan que se ven afectadas 252 envíos de Banco Sabadell a sus clientes. Estos envíos, pendientes de su comprobación, podrían incluir movimientos de cuentas, información sobre saldos, mercadotecnia o cualquier otro tipo de información personal y financiera. Los hechos han sido denunciados”. - Volumen de afectados: 252. - Fecha de detección: ***FECHA.4. De la brecha notificada por el responsable PSA FINANCIAL SERVICES en fecha ***FECHA.5 se extrae: - Descripción del incidente: “Nuestro encargado de tratamiento, Servinform Sa , es conocedora a través de la empresa de correos Hispapost, el día 10/10, a través de un video publicado en redes sociales que la correspondencia realizada por otro subencargado fue abandonada en la vía pública por parte de su personal en la ciudad de Palma de Mallorca. Por la tipología de cartas enviadas, se identifican que un 90% aprox. corresponde a notificaciones vinculadas a los procesos de recuperación de deudas impagadas”. - Fecha de detección: ***FECHA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/29 - Volumen de afectados: 44. Las personas afectadas no serán comunicadas. Se adjunta un informe de incidencia de seguridad con fecha 14 de noviembre de 2022 del que se obtiene las siguientes afirmaciones:  “PSA Finance contrata los servicios de envío de correspondencia a SERVINFORM, S.A., que actúa en calidad de encargado del tratamiento. Servinform subcontrata los servicios en HISPAPOST, S.A., que a su vez subcontrata la actividad para la región de Palma de Mallorca en CORREO INTELIGENTE POSTAL, S.L., actuando estas dos entidades como subencargadas del tratamiento de PSA Finance”.  El 18 de octubre HISPAPOST recibió información de los envíos postales que fueron recuperados por la Policía, constatándose la existencia de 5 cartas correspondientes a PSA FINANCE. Al día siguiente, ***FECHA.2, SERVINFORM comunicó la incidencia de seguridad a PSA FINANCE.  Que se han visto potencialmente afectados 44 envíos y se estima que aproximadamente un 90% de las mismas se corresponde a notificaciones vinculadas a los procesos de recuperación de deudas impagadas. De las brechas notificadas por el responsable ASNEF-EQUIFAX el ***FECHA.5 y 15 de noviembre de 2022 se extrae: - - Descripción del incidente: “ASNEF-EQUIFAX como responsable del tratamiento del Bureau de ASNEF, realiza comunicaciones a los consumidores cuyos datos han sido incluidos en dicho fichero. Con fecha 20/10/2022 HISPAPOST notifica que un empleado de la empresa encargada de la distribución de notificaciones (CORREO INTELIGENTE POSTAL, S.L. en Palma de Mallorca ha dejado abandonado, en diversas localizaciones de Palma de Mallorca, comunicaciones que tenía encomendado entregar. El proveedor inicialmente nos indica que el número afectado de cartas es 187, si bien después de los análisis efectuados, las notificaciones suman un total 47 cartas de notificación de inclusión y 1 requerimiento de pago. El ejercicio que ha hecho Equifax ha sido (en lo que respecta al tratamiento del que es responsable): 1) dar de baja las operaciones de las notificaciones abandonadas que fueron recuperadas; 2) de manera cautelar, se han dado de baja todas las operaciones cuyas notificaciones de inclusión han podido verse potencialmente comprometidas (desde 1/1/22 hasta 20/10/22 en los CP 07004, 07006 y 07008) y 3) se ha procedido al bloqueo del alta de estas operaciones durante 45 días en el fichero ASNEF”. Volumen de afectados: 47. Fecha detección brecha: ***FECHA.1. De las brechas notificadas por el responsable INTRUM en fechas 24 de octubre de 2022 y 21 de noviembre de 2022 se extrae: - Descripción: “INTRUM SERVICING SPAIN tiene contratado con EQUIFAX un servcio de envío de notificaciones que, a su vez tiene como subencargado a Hispapost. El 21/10 a las 18 h nos comunica una incidencia que ha provocado que algunas de las notificaciones de Requerimientos Previos e inclusión al bureau no hayan sido realizadas. Como medidas tomadas hasta el momento por parte de Hispapost, se ha dejado de trabajar con la compañía encargada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/29 - de la distribución de comunicaciones en P. de Mallorca y ha presentado las acciones legales oportunas. Las actuaciones que están siendo llevadas a cabo por Equifax y de las que daremos información según se vayan llevando a cabo, son las siguientes:

  1. i)determinar el número de envíos de Intrum y el detalle de los mismos que han sido enviados a los códigos postales implicados en los meses indicados
  2. ii)determinar los destinatarios de las comunicaciones que han sido incluidos en el fichero ASNEF iii) Proceder a la baja de dichos datos en el fichero ASNEF, en su caso y el posible bloqueo de nueva alta en ASNEF
  3. iv)Determinar las reclamaciones que han podido efectuar sobre el fichero ASNEF los destinatarios de las comunicaciones implicadas.” Volumen de afectados: 1. Fecha detección brecha: ***FECHA.5. De las brechas notificadas por el responsable VODAFONE en fechas 27 de octubre de 2022 y 25 de noviembre de 2022 se extrae: - - Descripción: “Se han encontrado envíos postales (correspondencia) de varios clientes abandonados en diferentes zonas en los alrededores de la ciudad de Palma de Mallorca. La distribución postal en esta zona la realizaba Correo Inteligente Postal, S.L., actuando como subencargada del tratamiento de Hispapost S.A., entidad subcontratada por Equifax Ibérica, S.L, quien a su vez presta servicios de cobro de deuda a Vodafone en calidad de encargado de tratamiento. Las cartas afectadas contienen información sobre impagos del destinatario a la entidad Vodafone, incluyendo la cantidad adeudada. Vodafone fue notificado por Equifax el día 24 de octubre de 2022, a través de correo electrónico. Vodafone ha revisado el incidente y, tras un análisis del proveedor, se ha concluido que los clientes que potencialmente se han visto afectados se eleva a 361.” Fecha detección: 24 de octubre de 2022. Las medidas reactivas adoptadas por el encargado EQUIFAX fueron:  Proceder con la tramitación de baja manual de clientes incluidos en el fichero ASNEF.  Se han analizado todos los envíos desde enero hasta octubre. De la brecha notificada por el responsable PRA IBERIA SL el 1 de noviembre de 2022 se extrae: - Descripción del incidente: “Recibimos comunicación el ***FECHA.5 por parte de Equifax Ibérica, S.L.U. (Equifax) informándonos de un incidente con la correspondencia relativo a las cartas de notificación de inclusión del fichero Asnef. Revisados los ficheros de comunicación a Asnef, comprobamos que no tenemos ningún registro de alta, no pudiendo afectar esta incidencia a nuestros clientes en relación a la comunicación al fichero Asnef. Posteriormente preguntamos a Equifax si el servicio de envío de correspondencia a clientes de PRA Iberia, S.L.U. (PRA) se ha visto igualmente afectado. Con fecha 28 de octubre de 2022, recibimos la confirmación oficial de Equifax del abandono de correspondencia por un empleado de un operador postal subcontratado por Equifax (Correo Inteligente Postal, S.L. -CI POSTAL-, por medio de Hispapost, distribución de Palma de Mallorca), que afecta a la correspondencia remitida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/29 - por PRA para los códigos postales 07004, 07006 y 07008 desde el 1 de enero de enero de 2022 hasta el 10 de octubre de 2022”. Afirman como fecha de detección: 28 octubre de 2022. Se afirma la existencia de 1023 potenciales afectados. De las brechas notificadas por el responsable CABOT FINANCIAL en fechas 3 de noviembre de 2022 y 1 de diciembre de 2022 se extrae: - Afirman como fecha de detección: 1 noviembre 2022. Volumen de afectados: 326. Aportan un informe con el análisis y valoración de la brecha, de su análisis se extraen las siguientes afirmaciones:  “Se ha tratado de una brecha de seguridad que ha comprometido la confidencialidad de los datos en tanto en cuanto terceros podrían haber accedido a la información contenida en la comunicación de inclusión al fichero ASNEF, así como la disponibilidad, en la medida en la que habría un número indeterminado de comunicaciones extraviadas que, a fecha del presente Informe de Cierre, no ha podido aun determinarse”.  “EQUIFAX confirma el número de 326 cartas afectadas dirigidas a deudores”. De la brecha notificada por el responsable EOS SPAIN SL el 17 de noviembre y 7 de diciembre de 2022 se extrae: - - Fecha detección: 15 de noviembre de 2022. Aportan informe del incidente del que se extraen las afirmaciones:  “Equifax ha recibido de Hispapost 84 cartas físicas que han recuperado directamente de los lugares donde se abandonaron. La Policía dispone también de cartas físicas que hoy en día siguen retenidas por las autoridades por constituir pruebas de la investigación iniciada por el Juzgado de Instrucción competente para la tramitación del procedimiento penal correspondiente. Equifax desconoce el contenido que esa correspondencia en poder de la Policía.”  “Las notificaciones afectadas comprenden tanto las notificaciones de inclusión realizadas por ASNEF-EQUIFAX para informar a los deudores de su inclusión en el fichero ASNEF, como notificaciones de requerimientos previos de pago de clientes”. Volumen potencial afectados:1067. Investigación dirigida al encargado de tratamiento HISPAPOST SA: En fecha 30 de marzo de 2023 se realiza requerimiento de información a HISPAPOST, marcado por la siguiente línea de investigación: - Investigar el registro de incidentes y el registro de actividades de tratamientos afectados por la brecha. Obtener información sobre la notificación de la brecha ante esta Agencia y la comunicación a los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/29 - Investigar las notificaciones de la brecha a las empresas afectadas y con las que se tenía contrato de encargo. Investigar la existencia de contratos de encargo con las empresas afectadas. Investigar el contrato de encargo con el subencargado CI POSTAL SL. Investigar el posible análisis de riesgo y la acreditación de las medidas preventivas implantadas. En fecha 24 de abril de 2023 se recibe respuesta al requerimiento anterior, de su análisis se extrae como información relevante: - Se adjunta el registro documentado de la brecha de seguridad del que se obtienen las siguientes afirmaciones:  Se afirma un total de 7924 envíos postales recuperados.  No se considera que el contenido de las cartas haya sido expuesto en ningún caso por lo que los datos afectados fueron “nombre y apellidos del destinatario y dirección postal de entrega”. Afirman que las cartas han sido encontradas en lugares remotos abandonados por lo que se descarta exposición a un gran número de personas.  Afirman que las cartas son envíos ordinarios (no certificados), por lo que se descarta consecuencias importantes para los interesados derivadas de la no recepción de la carta, y que se dio traslado a cada uno de sus clientes (que actuaban en su mayoría como responsables del tratamiento) para evaluar este impacto. Que se consideró que “no se podrían producir daños sobre los derechos y libertades de los afectados”.  Aportan la siguiente cronología de los hechos (la cual únicamente hace referencia a las cartas encontradas en el mes de octubre, no haciéndose referencia en esta cronología a la remesa de cartas localizada por la Policía Local en septiembre de 2022):  El 10 de octubre a las 17:20 horas les llega información sobre un vídeo publicado en internet. La correspondencia se consigue recuperar por personal de HISPAPOST.  El ***FECHA.3se localizan nuevos envíos tras alerta de un ciudadano.  El 14 de octubre se comunica incidencia a DPO y se interpone denuncia en Policía Nacional.  El 17 de octubre de 2022 llega a las instalaciones de HISPAPOST en Madrid la correspondencia encontrada para el análisis y cuantificación de clientes afectados. Este mismo 17 de octubre de 2022 se descubren nuevos hallazgos por policía y medios de comunicación.  El 19 de octubre se recibe información detallada de los envíos recuperados por la policía, las cartas se devuelven a los clientes o se desechan en base a sus instrucciones.  Del 14 al 21 de octubre se realiza la notificación del incidente a los clientes afectados.  Se afirma que “los envíos realizados a la ciudad de Palma de Mallorca no permiten realizar el control de trazabilidad que HISPAPOST aplica a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/29 - - sus envíos ordinarios ya que existe una dificultad logística por el transporte”.  Aportan listado con las medidas reactivas adoptadas por la empresa:  Cierre distribución Palma de Mallorca.  Aumentar inspecciones en red reparto.  Recordatorio personal sobre responsabilidades en los repartos.  Evitar trabajar en Códigos Postales donde no se disponga de envíos con trazabilidad para poder evaluar diariamente el estado de estos (considerando disponer de un número mínimo de envíos con trazabilidad).  Despliegue de panelistas internos para hacer seguimiento de correspondencia.  Refuerzo en la formación y sensibilización de empleados. Se adjunta la denuncia interpuesta por HISPAPOST en fecha 14 de octubre de 2022, del análisis de esta denuncia se extraen las siguientes afirmaciones relevantes:  Se afirma: “en fecha 10 de octubre de 2022 HISPAPOST recibe mensaje de CI POSTAL en el cual les envían un vídeo sacado de Telegram en el que se puede observar a un hombre comentando y filmando miles de cartas esparcidas en un desguace enviadas desde HISPAPOST y las cuales contienen datos personales de clientes (Naturgy y Endesa entre otros)… que dichas cartas fueron recogidas por la distribuidora de Mallorca el día 11 de octubre de 2022 y siendo enviadas de vuelta el día ***FECHA.3a la empresa dicente”.  “Que el día ***FECHA.3se recibe mensaje por parte de la empresa CaixaBank comunicando que quien resulta ser B.B.B., ha encontrado aproximadamente 4000 cartas dirigidas a Caixabank en perfectas condiciones, las cuales fueron arrojadas por un individuo desconocido desde un vehículo a las 19 horas del 10 de octubre de 2022”. Se aporta el Registro de Actividades de Tratamiento (RAT) de HISPAPOST como encargado de tratamiento, actualizado a 14 de diciembre de 2022. Del análisis de este RAT por el presente inspector se concluye que HISPAPOST realizaba tratamientos por cuenta de los siguientes responsables:  Para el responsable de tratamiento AMPLIFÓN IBÉRICA SAU:  Descripción tratamiento: Servicio distribución postal.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas.  Para el responsable de tratamiento BANCO SABADELL SA:  Descripción tratamiento: Prestación de servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”  Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas.  Para el cliente responsable de tratamiento BBVA SA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/29 Descripción tratamiento: Cartería, Telegrama y Burofaxes, Valija, Mensajería Nacional e Internacional.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en plazo inmediato. Para el cliente responsable de tratamiento CAIXABANK FACILITIES MANAGEMENT SA:  Descripción tratamiento: Recogida y entrega domiciliaria de correspondencia de CaixaBank.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo inmediato. Para el responsable de tratamiento EQUIFAX IBERICA SL (B80855398):  Se afirma que este cliente actúa como Responsable del Tratamiento de los datos personales tratados.  Descripción tratamiento: Servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento ENDESA SA:  Descripción tratamiento: servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 48 horas. Para el cliente responsable de tratamiento NATURGY CLIENTES SA:  Descripción tratamiento: servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas. Para el cliente SERVINFORM SA:  Se afirma que este cliente actúa como Encargado de Tratamiento de los datos personales.  Descripción tratamiento: distribución postal para PSA FINANCIAL SERVICES SPAIN, E.F.C., S.A (que actúa como Responsable del Tratamiento).  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.       C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/29 Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento AYUNTAMIENTO DE MADRID (Dirección General Contratación y Servicios):  El cliente es Responsable de Tratamiento.  Descripción tratamiento: Distribución postal para el Ayuntamiento de Madrid y sus Organismos Autónomos.  Datos: datos de carácter identificativo (nombre, apellidos y dirección postal), correspondientes a la actividad de tratamiento “Recaudación Ejecutiva”.  Existe autorización para subcontratación: SI.  Plazo de conservación 3 meses.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 48 horas. Para el cliente responsable de tratamiento GRUPO MEDINA CUADROS (MC ABOGADOS SL + TELEFAX):  El cliente es Responsable de Tratamiento.  Descripción tratamiento: servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento AYUNTAMIENTO DE SEVILLA (Agencia Tributaria de Sevilla):  Descripción tratamiento: servicios postales.  Existe autorización para subcontratación: SI.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: en un plazo 24 horas. Para el cliente responsable de tratamiento ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER:  Descripción tratamiento: servicios postales.  Existe autorización para subcontratación: SI.  Plazo de conservación 3 meses.  “Medidas de seguridad ISO 27001 y medidas de seguridad nivel básico, medio y alto RD 1720/2007”.  Sobre notificación de brechas: en un plazo 24 horas.      - En relación con la notificación de la brecha afirma: “Hispapost como encargado del tratamiento de los datos implicados en la incidencia, informó a sus clientes (Responsables del Tratamiento) sobre la incidencia ocurrida para que estos realizaran la valoración de la incidencia y si pudiese considerarse brecha de seguridad, y en su caso realizar la oportuna comunicación de la brecha de seguridad a la Agencia de Protección de Datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/29 - - - Se adjunta documento con un informe redactado por el DPD de HISPAPOST, la empresa Ascendia Reingeniería Y Consulting, S.L., firmado en fecha 21 de abril de 2023 y conteniendo la valoración de la brecha. Del análisis de este informe se extraen las siguientes conclusiones: “HISPAPOST, como Encargado de Tratamiento y conforme al artículo 33 del RGPD, no está obligada a notificar el incidente de seguridad, por no estar dentro de su responsabilidad y porque no se han visto afectados los derechos y libertades de los interesados”. “No sería necesario comunicar la brecha se seguridad a los afectados, al no apreciarse que pueda existir un riesgo alto o muy alto para los derechos y libertades de los sujetos afectados”. En relación con la notificación de la brecha a todas las empresas afectadas y que actuaban como responsables de tratamiento de los datos personales afectados (clientes de HISPAPOST), se acredita documentalmente las siguientes:  Notificación realizada al responsable ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER (AECC), aportándose captura de correo electrónico enviado el FECHA.1.  Notificación realizada a la AGENCIA TRIBUTARIA DE SEVILLA aportándose captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a ASISA aportando captura de correo electrónico enviado el ***FECHA.2. Esta notificación se hace en primer lugar al cliente SERVINFORM el ***FECHA.2, este cliente actúa como encargado de tratamiento del responsable ASISA, quedando acreditado que este mismo día ***FECHA.2 remitió la notificación con el informe del incidente a este responsable.  Notificación efectuada a BBVA aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a CAIXABANK aportando captura de correo electrónico enviado el ***FECHA.2.  Notificación efectuada a ENDESA aportando captura de correos electrónicos enviados el ***FECHA.3 y el ***FECHA.1.  Notificación efectuada a EQUIFAX aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a GAES (Antes denominada AMPLIFON IBÉRICA SAU) aportando captura correo electrónico remitido el ***FECHA.4.  Notificación efectuada a GRUPO MASMOVIL aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a NATURGY aportando captura de correo electrónico enviado el ***FECHA.3 con un comunicado general sobre la incidencia.  Notificación efectuada a GRUPO ORANGE aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a PSA FINANCIAL aportando captura de correo electrónico enviado desde la dirección ***EMAIL.1 el ***FECHA.1. Según el RAT, HISPAPOST actúa como encargado de tratamiento de SERVINFORM, y este al mismo tiempo actúa como encargado de tratamiento para la distribución postal del responsable PSA FINANCIAL SERVICES. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/29 Notificación efectuada a BANCO SABADELL aportando captura de correo electrónico enviado el ***FECHA.4.  Notificación efectuada a MC ABOGADOS Y TELEFAX aportando captura de correo electrónico enviado el ***FECHA.5.  Notificación efectuada a TR3A aportando captura de correo electrónico enviado el ***FECHA.1, el correo es enviado desde la dirección ***EMAIL.2 hacia el destinatario ***EMAIL.3. Se adjunta copia del contrato de encargo de tratamiento entre HISPAPOST y CI POSTAL, de su análisis se extrae la siguiente información relevante:  La fecha de firma del contrato es el 10 de enero de 2022 y en él se detallan los tipos de datos afectados por el encargo, las categorías de interesados, las operaciones de tratamiento, sobre las transferencias internacionales y los datos de ambos DPD.  Se afirma que HISPAPOST tiene el carácter de encargado de tratamiento siendo CI POSTAL subencargado de tratamiento, actuando EL CLIENTE DE HISPAPOST como responsable de tratamiento de los datos afectados por el encargo.  Se detallan las obligaciones del proveedor CI POSTAL como subencargado del tratamiento, entre las que se destacan:  Garantizar que las personas autorizadas para tratar los datos personales se comprometan de forma expresa y por escrito a respetar la confidencialidad y cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.  Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas.  A tenor del art 32 RGPD, CI POSTAL se compromete a adoptar las medidas necesarias para evitar la alteración, pérdida, tratamiento o acceso no autorizado a los datos personales de los clientes de HISPAPOST, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos expuestos, ya provengan de la acción humana o de medio físico o natural. CI POSTAL manifiesta que posee Manual de Privacidad en el que se determinan las medidas técnicas y organizativas a implementarse.  CI POSTAL notificará a HISPAPOST sin dilación indebida y con la mayor celeridad posible y en cualquier caso antes de las 24 horas, a través de correo electrónico ***EMAIL.4 las brechas de seguridad salvo que sea improbable que constituya un riesgo para los derechos y libertades de personas físicas.  Corresponde a HISPAPOST o a su cliente (responsable de tratamiento) notificar las brechas a la AEPD y a los interesados.  De acuerdo con la evaluación de riesgos realizada por el cliente de HISPAPOST, y lo establecido en el art 28 RGPD, CI POSTAL como mínimo deberá implementar las medidas de seguridad correspondientes al nivel medio de conformidad con lo dispuesto en el Reglamento de desarrollo de la LOPD (RLOPD) RD 1720/2007, mientras no se especifique en su sustitución otras medidas.  - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/29 - Se aportan copias de los contratos de encargo de tratamiento que existían formalizados entre HISPAPOST y cada uno de sus clientes a los que prestaba el servicio de distribución postal y que fueron afectados por la brecha, se acreditan:  Se aporta copia de contrato de encargo con el responsable de tratamiento ASISA, con fecha de firma 1 de enero de 2022. Se constata que este encargo detalla las obligaciones de encargado y responsable, la subcontratación autorizada, notificación de violaciones de la seguridad de los datos en un plazo máximo de 24 horas, y derechos. Tiene como anexo una plantilla con la tipología de datos afectados por el contrato, no obstante, este anexo no está relleno, no constando el detalle de la tipología de datos afectados por el encargo.  Se aporta copia del contrato de encargo con AYUNTAMIENTO DE MADRID, con fecha de firma de la licitación 26 de enero de 2021. En este contrato se especifica la autorización para subcontratar el servicio con CI POSTAL.  Se aporta copia de contrato de encargo con el responsable de tratamiento BBVA, con fecha de firma 13 de abril de 2021.  Se aporta copia de contrato de encargo con el responsable de tratamiento CAIXABANK con fecha de firma 19 de julio de 2019 entre su contenido se encuentra regulado la obligación de notificar incidentes con la siguiente cláusula: “el encargado garantiza que establecerá medidas de máxima diligencia para detectar violaciones y que comunicará a CAIXABANK sin dilación indebida y tan pronto como sea posible”.  Se aporta copia de contrato de encargo con EQUIFAX IBERICA SL, con fecha de firma 1 de abril de 2019. Este contrato está suscrito entre HISPAPOST y EQUIFAX-IBÉRICA SL con NIF B80855398. Entre su clausulado se detallan las obligaciones a las que se compromete el encargado de tratamiento (HISPAPOST) en relación con la confidencialidad de los datos tratados: C/ Jorge Juan, 6 28001 – Madrid  A las personas autorizadas en el tratamiento de datos personales se les exigirá un compromiso de confidencialidad y una asunción de responsabilidades en caso de ruptura.  Garantizar que las personas autorizadas para tratar los datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y cumplir las medidas de seguridad, de las que hay que informarles convenientemente.  Garantizar la formación necesaria a las personas autorizadas.  Obligación de notificar las violaciones antes de las 24 horas a través de email, no será necesaria esta notificación cuando sea improbable que la violación constituya un riesgo para los derechos y libertades de los afectados, correspondiendo a HISPAPOST comunicar las violaciones de seguridad de datos www.aepd.es sedeagpd.gob.es 15/29 personales a la Agencia Española de Protección de Datos y a EQUIFAX-IBERICA comunicar la brecha a los afectados, en su caso.  Se aporta copia de contrato de encargo con AMPLIFON IBERICA SAU A59198770 (antigua denominación de GAES), con fecha de firma 30 de marzo de 2021. Entre su clausulado se autoriza a HISPAPOST para subcontratar los servicios con todos los integrantes de su red de reparto donde no se tenga cobertura propia y se especifica la obligación de notificar las violaciones antes de las 24 horas vía email.  Se aporta copia del contrato de encargo con SERVINFORM, con fecha de firma 15 de enero de 2019. Del análisis de este contrato se extraen las afirmaciones:  La notificación de violaciones de seguridad debe realizarse en plazo máximo de 24 horas desde su detección.  En el contrato se autoriza la subcontratación de CI POSTAL.  Se aporta también copia del contrato de encargo entre PSA FINANCIAL SERVICES y SERVINFORM SA, autorizando la posibilidad de subcontratar a HISPAPOST y especificando la obligación de notificar las violaciones en un plazo de 24 horas.  Se aporta copia del contrato de encargo con BANCO SABADELL, con fecha de firma 24 de febrero de 2022. De su contenido destaca la obligación de notificar las violaciones de seguridad en plazo máximo de 24 horas desde la detección.  Se aporta copia del contrato de encargo con ENDESA, con fecha de firma 1 de febrero de 2022, de su contenido destaca la obligación de notificar las violaciones en plazo máximo 48 horas.  Se aporta copia del contrato de encargo con NATURGY CLIENTES SA, con fecha de firma 31 de marzo de 2022, de su contenido destaca la obligación del encargado de notificar las violaciones en plazo máximo de 24 horas. Se autoriza la subcontratación de CI POSTAL de forma expresa en el contrato. - En la respuesta al requerimiento también se aporta documento con un informe de la Evaluación de Impacto para la Protección de Datos (EIPD) sobre la actividad de tratamiento de distribución postal, del análisis de este documento se extraen las siguientes consideraciones:  Tiene fecha inicial de realización el 28 de octubre de 2021 y se modificó posteriormente tras la brecha el ***FECHA.1.  Se afirma la participación del DPD.  Se realiza una descripción del tratamiento y el flujo de información existente.  Se analizan, entre otras, las siguientes amenazas y riesgos:  Deficiencias organizativas en la gestión del control de accesos.  Violaciones de la confidencialidad de los datos personales por parte de los empleados de la organización y operadores externos.  Falta de formación del personal.  Gestión deficiente de las subcontrataciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/29  La actualización de 2022 se realizó tras la brecha de seguridad y consistió en elevar el valor cuantitativo asignado a la probabilidad para el factor de riesgo “Violaciones de la confidencialidad de los datos personales por parte de los empleados de la organización”, concluyéndose nuevas medidas de mitigación, entre ellas:  Evitar trabajar con códigos postales donde no se disponga de suficientes envíos con trazabilidad estableciendo un valor bloqueante para ello.  Aumentar frecuencia de inspecciones a la red de reparto.  Envíos de recordatorios a todo el personal.  Implantación de panelistas internos para poder hacer seguimiento de la correspondencia. - Se aporta documento conteniendo el listado de medidas reactivas implantadas por HISPAPOST tras la brecha de seguridad, destacando las siguientes:  Control y seguimiento interno de trazabilidad de entregas de los envíos y entregas.  Aumentar la frecuencia de las inspecciones a toda la red de reparto.  Lanzar nuevo recordatorio a todo el personal sobre las repercusiones legales que conlleva la retención, almacenamiento, ocultación, apertura o destrucción de cualquier envío postal.  Evitar trabajar en códigos postales donde no se disponga de suficientes envíos con trazabilidad para poder evaluar diariamente el resultado de los mismos.  Revisión servicios actuales con características compatibles con el defecto de trazabilidad para valoración de riesgos del servicio y establecer acciones.  Implantar panelistas internos en el mayor número de poblaciones posibles, para poder efectuar seguimiento de la llegada de correspondencia.  Refuerzo de la formación y sensibilización de todo el personal de HISPAPOST sobre la normativa de Protección de Datos y de cumplimiento del deber de confidencialidad. - En respuesta para que indiquen posibles hechos similares que han tenido lugar en la organización, afirman que ocurrió otra incidencia relacionada con el abandono de cartas ordinarias de forma intencionada por parte de un trabajador de la empresa encargada de la distribución postal en la ciudad de León, en concreto se trata de la empresa SOLIDARIDAD Y TRABAJO VIRGEN DEL CAMINO, SL (SOLTRA), centro especial de empleo. En relación con esta incidencia afirman:  Que SOLTRA informó a HISPAPOST el 25 octubre 2022.  Que el 26 de octubre de 2022 la persona trabajadora reconoció los hechos y entregó 2887 cartas que tenía en su casa. No se tuvo certeza del número de cartas ni clientes afectados, ya que esa información quedó en manos de la Policía y los Juzgados. Ha sido en la primera semana de abril cuando hemos tenido confirmación de clientes afectados y número de cartas totales recuperadas, 8881 cartas cerradas (correo postal ordinario). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/29  Que HISPAPOST procedió a informar a los clientes afectados. En fecha 20 de junio de 2023 se decide realizar segundo requerimiento de información a HISPAPOST marcado por la siguiente línea de investigación: - Se solicita que acredite si existieron notificaciones de la brecha de seguridad a los responsables (clientes) afectados por los abandonos que localizó la Policía Local en septiembre de 2022, y del que tuvieron constancia el mismo 13 de septiembre de 2022, según parte de la policía. - Que aclare algunas de las medidas implantadas para garantizar la trazabilidad de los envíos. - Que acredite la medida reactiva adoptada “Acciones de sensibilización a toda la red de reparto y Recogida de evidencias de impartición de acciones de sensibilización entre la red de colaboradores”, en concreto se solicita acreditación de los resultados obtenidos para el distribuidor CI POSTAL. En fecha 29 de junio de 2023 se recibe respuesta al requerimiento anterior, de su análisis se extraen las siguientes afirmaciones: - “El día 13 de septiembre personal de CI Postal acude a la comisaría e identifica las cartas (1404 cartas de diferentes clientes) y el 22 de septiembre CI Postal recoge las cartas de la comisaria de la Policía Local de Palma, ninguna carta ha sido abierta ni manipulada”. - “Tras realizar una evaluación de los factores que intervienen en el incidente (durante la última semana de septiembre y primera de octubre, conforme se obtuvo la información): la cantidad limitada de cartas afectadas, el buen estado de las mismas sin abrir ni manipular, la posibilidad de reanudar la distribución, la localización del hallazgo en lugar remoto y poco accesible (que reduce la probabilidad de que fueran accesibles), la tipología de las cartas que eran correo ordinario (que descarta contenidos que puedan generar consecuencias importantes para los interesados), la causa intencionada por parte de trabajadores de CI Postal; se consideró que sería improbable que se pudieran producir daños sobre los derechos y libertades de las personas físicas cuyos datos fueron expuestos, al no apreciarse que pueda existir un riesgo alto o muy alto para los derechos y libertades de los afectados, y en ese momento no se consideró necesaria la comunicación a los clientes afectados. Comunicación a dichos clientes que se realizó días después en los nuevos hallazgos que se produjeron en el mes de octubre (detectados en fecha 11 de octubre de 2022)”. - “Los códigos postales sensibles o con defecto de trazabilidad, son todos los de Palma de Mallorca (única ciudad de Baleares que Hispapost distribuía), siendo el subencargado del tratamiento la empresa CI Postal, y ante la imposibilidad de realizar un control del servicio, desde la ocurrencia de la incidencia se decidió no reanudar el servicio”. - “Los envíos ordinarios no permiten aplicar ningún tipo de trazabilidad directa ni por Hispapost ni por ningún operador postal. El procesamiento de este tipo de envíos se realiza de manera manual (en papel) y el único dato que maneja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/29 Hispapost son los volúmenes de clientes y cartas. En cuanto al control de la trazabilidad que Hispapost aplica para este tipo de envíos se realiza de forma indirecta por las siguientes vías:  Control indirecto a través de los envíos certificados  Control de reclamaciones  Inspecciones periódicas”. - Se acreditan evidencias de algunas inspecciones periódicas realizadas en centros de reparto, aportándose también el manual que utilizan para llevarlas a cabo. - En relación con nuestra solicitud para que acrediten las acciones de sensibilización que habían obtenido del subencargado CI POSTAL, aportan:  Acreditación de una comunicación informativa dirigida a los trabajadores de CI POSTAL en fecha 19 de noviembre de 2021 sobre las consecuencias de incumplimiento de normas, código ético y programa COMPLIANCE.  Acreditan sesión formativa en diciembre de 2021 con el siguiente contenido, sin especificar tiempo de duración de la formación: Código Ético, Acuerdo de Confidencialidad, Riesgos Penales en el trabajo, Régimen Disciplinario y Canal de Denuncias. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad HISPAPOST, S.A. es una gran empresa constituida en el año 2018, y con un volumen de negocios de 30.996.274 € en el año 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/29 II Cuestiones previas En el artículo 4 del RGPD, se establece que: A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; En el punto 2 del mismo artículo se define el concepto de “tratamiento” de datos personales. 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En el presente caso y de conformidad con el informe de la POLICIA LOCAL, de fecha de 22 de septiembre de 2022, se pone de manifiesto el hallazgo en un solar de correspondencia abandonada con datos personales (nombre y apellidos, y dirección postal), hasta un total de 1.404 cartas pertenecientes a diversas empresas, y en las que figuraba el logo de la empresa HISPAPOST, motivo por el cual ésta fue contactada por los agentes de la POLICIA LOCAL, reconociendo dicha entidad que la correspondencia encontrada debía haber sido repartida por empleados de CI POSTAL, sin entender el motivo de que no se llevara a cabo dicho reparto y fuera abandonada la correspondencia. Posteriormente, se recibe nueva denuncia por parte de la Delegación Del Gobierno en Islas Baleares, en el que se da traslado de un escrito remitido por la Jefatura Superior De Policía De Las Illes Balears en relación con la localización de un total de 5354 cartas abandonadas en dos ubicaciones distintas de La Palma, y de cuya gestión era responsable la empresa HISPAPOST que gestionaba el reparto por medio de su distribuidor en La Palma CI POSTAL SL En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/29 determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento...” En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. En el presente caso, HISPAPOST es el encargado del tratamiento de datos de carácter personal de diversas empresas (Amplifón Ibérica S.A.U., Banco Sabadell, S.A., BBVA, S.A., Caixabank Facilities Management, S.A., Equifax Ibérica, S.L., Endesa, S.A., Naturgy Clientes, S.A., Servinform, S.A., Ayuntamiento de Madrid, Grupo Medina Cuadros, Ayuntamiento de Sevilla, Asociación Española contra el Cáncer, Asisa, PSA Financial Services) con las que ha suscrito el correspondiente contrato de encargo para prestarlas servicios de distribución postal. III Artículo 28 del RGPD La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/29 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  4. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  5. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  6. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  7. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  8. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  9. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado; (…). Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. En relación con la notificación de la brecha, consta en el expediente que: “Hispapost como encargado del tratamiento de los datos implicados en la incidencia, informó a sus clientes (Responsables del Tratamiento) sobre la incidencia ocurrida para que estos realizaran la valoración de la incidencia y si pudiese considerarse brecha de seguridad, y en su caso realizar la oportuna comunicación de la brecha de seguridad a la Agencia de Protección de Datos”. Es evidente la obligación que tiene HISPAPOST de notificar a los responsables del tratamiento todo incidente de seguridad sufrido y así se refleja en el Registro de Actividades de Tratamiento (RAT) de HISPAPOST como encargado de tratamiento, actualizado a 14 de diciembre de 2022: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/29             Para el responsable de tratamiento AMPLIFÓN IBÉRICA SAU: existe la obligación de notificar en un plazo de 24 horas. Para el responsable de tratamiento BANCO SABADELL SA: existe la obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento BBVA SA: existe la obligación de notificar en plazo inmediato. Para el cliente responsable de tratamiento CAIXABANK FACILITIES MANAGEMENT SA: existe la obligación de notificar en un plazo inmediato. Para el responsable de tratamiento EQUIFAX IBERICA SL (B80855398): existe la obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento ENDESA SA: existe la obligación de notificar en un plazo de 48 horas. Para el cliente responsable de tratamiento NATURGY CLIENTES SA: existe la obligación de notificar en un plazo de 24 horas. Para el cliente SERVINFORM SA: existe la obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento AYUNTAMIENTO DE MADRID (Dirección General Contratación y Servicios): existe la obligación de notificar en un plazo de 48 horas. Para el cliente responsable de tratamiento GRUPO MEDINA CUADROS (MC ABOGADOS SL + TELEFAX): existe la obligación de notificar en un plazo de 24 horas. Para el cliente responsable de tratamiento AYUNTAMIENTO DE SEVILLA (Agencia Tributaria de Sevilla): existe la obligación de notificar en un plazo 24 horas. Para el cliente responsable de tratamiento ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER: existe la obligación de notificar en un plazo 24 horas. También se refleja tal obligación en los siguientes contratos suscritos por HISPAPOST:      Con ASISA, el 1 enero de 2022, donde se indica la obligación de notificar las violaciones de la seguridad de los datos en un plazo máximo de 24 horas. Con CAIXABANK, el 19 julio de 2019, entre cuyo contenido se indica que el encargado le comunicará las violaciones de la seguridad de los datos “sin dilación indebida y tan pronto como sea posible.” Con EQUIFAX-IBÉRICA SL, el 1 de abril de 2019, entre cuyo clausulado se encuentra la obligación de notificar las violaciones de la seguridad de los datos antes de las 24 horas a través de email, no siendo necesaria esta notificación cuando sea improbable que la violación constituya un riesgo para los derechos y libertades de los afectados. Con AMPLIFON IBERICA SAU el 30 de marzo de 2021, entre cuyo clausulado se especifica la obligación de notificar las violaciones de seguridad de los datos antes de las 24 horas vía email. Con SERVINFORM, el 15 de enero de 2019, el cual indica que la notificación de violaciones de seguridad de los datos debe realizarse en plazo máximo de 24 horas desde su detección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/29     Con PSA FINANCIAL SERVICES y SERVINFORM SA, especificando la obligación de notificar las violaciones de seguridad de los datos en un plazo de 24 horas. Con el BANCO SABADELL, el 24 de febrero de 2022, en el cual se recoge la obligación de notificar las violaciones de seguridad de los datos en plazo máximo de 24 horas desde la detección. Con ENDESA, el 1 de febrero de 2022, en el que se recoge la obligación de notificar las violaciones de seguridad de los datos en plazo máximo 48 horas. Con NATURGY CLIENTES SA, el 31 de marzo de 2022, en el que se recoge la obligación del encargado de notificar las violaciones en plazo máximo de 24 horas. En relación con la notificación de la brecha a todas las empresas afectadas y que actuaban como responsables de tratamiento de los datos personales afectados (clientes de HISPAPOST), se acreditan documentalmente las siguientes:  Notificación realizada al responsable ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER (AECC), aportándose captura de correo electrónico enviado el ***FECHA.1.  Notificación realizada a la AGENCIA TRIBUTARIA DE SEVILLA aportándose captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a ASISA aportando captura de correo electrónico enviado el ***FECHA.2. Esta notificación se hace en primer lugar al cliente SERVINFORM el ***FECHA.2, este cliente actúa como encargado de tratamiento del responsable ASISA, quedando acreditado que este mismo día ***FECHA.2 remitió la notificación con el informe del incidente a este responsable.  Notificación efectuada a BBVA aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a CAIXABANK aportando captura de correo electrónico enviado el ***FECHA.2.  Notificación efectuada a ENDESA aportando captura de correos electrónicos enviados el ***FECHA.3y el ***FECHA.1.  Notificación efectuada a EQUIFAX aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a GAES (Antes denominada AMPLIFON IBÉRICA SAU) aportando captura correo electrónico remitido el ***FECHA.4.  Notificación efectuada a GRUPO MASMOVIL aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a NATURGY aportando captura de correo electrónico enviado el ***FECHA.3con un comunicado general sobre la incidencia.  Notificación efectuada a GRUPO ORANGE aportando captura de correo electrónico enviado el ***FECHA.1.  Notificación efectuada a PSA FINANCIAL aportando captura de correo electrónico enviado desde la dirección ***EMAIL.1 el ***FECHA.1. Según el RAT, HISPAPOST actúa como encargado de tratamiento de SERVINFORM, y este al mismo tiempo actúa como encargado de tratamiento para la distribución postal del responsable PSA FINANCIAL SERVICES. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/29    Notificación efectuada a BANCO SABADELL aportando captura de correo electrónico enviado el ***FECHA.4. Notificación efectuada a MC ABOGADOS Y TELEFAX aportando captura de correo electrónico enviado el ***FECHA.5. Notificación efectuada a TR3A aportando captura de correo electrónico enviado el ***FECHA.1, el correo es enviado desde la dirección ***EMAIL.2 hacia el destinatario ***EMAIL.3. Toda vez que fue en septiembre de 2022 cuando la Policía Local contacta con HISPAPOST SA para informarla del hallazgo en un solar de la correspondencia abandonada y que las notificaciones que ésta hizo a sus clientes tuvieron lugar entre el 13 y el 21 de octubre de 2023, HISPAPOST no ha cumplido con lo establecido en los correspondientes contratos de encargado suscritos con tales clientes, que son, a la postre, los responsables del tratamiento de los datos personales afectados. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a HISPAPOST por vulneración del 28.3 del RGPD. IV Tipificación de la infracción del artículo 28.3 del RGPD De confirmarse, las citada infraccione del artículo 28.3 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;(…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/29
  11. q)El incumplimiento del deber del encargado del tratamiento de notificar al responsable del tratamiento las violaciones de seguridad de las que tuviera conocimiento (…) V Sanción por la infracción del artículo 28.3 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD y el artículo 76.2 de la LOPDGDD: Como agravante:
  12. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
  13. b)de la LOPDGDD). HISPAPOST se dedica a la prestación de toda clase de servicios postales, incluyendo la recogida, admisión, clasificación, tratamiento, curso, transporte, distribución y entrega de toda clase de envíos postales, publicidad y paquetería, así como la lectura de contadores. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de 60.000 € (SESENTA MIL EUROS). VI Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  14. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/29 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a HISPAPOST, S.A., con NIF A88201546, por la presunta infracción: - Del artículo 28.3 del RGPD, tipificada en el artículo 83.4.
  15. a)del RGPD. SEGUNDO: NOMBRAR como instructor/a a C.C.C. y, como secretario/a, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, las denuncias interpuestas y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  16. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería: - Por la supuesta infracción del artículo 28.3 del RGPD, tipificada en el artículo 83.4.
  17. a)de dicha norma, multa administrativa de cuantía 60.000,00 euros. QUINTO: NOTIFICAR el presente acuerdo a HISPAPOST, S.A., con NIF A88201546, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  18. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/29 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 36.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (48.000,00 euros o 36.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 36000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/29 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/29 PRIMERO: DECLARAR la terminación del procedimiento EXP202313042, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a HISPAPOST, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  19. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.