PS-00452-2024

1/30  Expediente N.º: EXP202317228 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a YUNEXPRESS SPAIN, S.L. (en adelante, YUNEXPRESS), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202317228 (PS/00452/2024) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 9 de noviembre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a SERVICIOS URBANOS VAAM S.L. (URVAAM). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: El reclamante manifiesta que era destinatario de un envío cuya gestión de entrega fue realizada por SERVICIOS URBANOS VAAM S.L. (en adelante, URVAAM). Señala que URVAAM afirma que en fecha 31 de octubre de 2023 el referido paquete fue entregado en su domicilio, si bien el reclamante sostiene que no es cierta dicha afirmación. Al ponerse en contacto con el servicio de atención al cliente de URVAAM, se le facilitó un albarán de entrega del citado paquete en el que aparece una firma que el reclamante niega haber realizado. Asimismo, declara que el número de DNI que figura en ese albarán no se corresponde con el suyo y que la firma tampoco es suya. Por todo ello, entiende que, o bien se ha entregado el paquete erróneamente en otra dirección, sin su consentimiento, o el albarán ha sido manipulado. Considera que lo actuado contraviene la normativa en materia de protección de datos personales. Junto al escrito de reclamación, se aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/30  Tres capturas de pantalla correspondientes a una conversación mantenida a través de la aplicación WhatsApp con el servicio de atención al cliente de URVAAM: o La primera captura de pantalla se corresponde con un chat de WhatsApp de 01/11/2023. En el encabezado se observa el logo de una empresa junto al nombre de la misma (URVAAM). La imagen muestra dos mensajes remitidos por quien reclama. El primer mensaje contiene el siguiente texto: “Buenos días. Tengo un pedido que según su web está entregado pero no han entregado nada”. El segundo mensaje contiene una captura de pantalla en la cual se detalla la trazabilidad de un pedido correspondiente al número ***REFERENCIA.1. En la imagen se visualiza que el citado pedido fue entregado el 31-10-2023 a las 18:08:58 y el número de cliente (***REFERENCIA.2). o La segunda captura de pantalla se corresponde con el chat de WhatsApp de 02/11/2023 continuación del anterior. En ella se recoge la respuesta emitida por la empresa URVAAM. En el cuerpo del chat la empresa URVAAM incorpora imagen del recibo de entrega correspondiente al pedido en cuestión en la que se visualiza el nombre y apellidos, número de documento nacional de identidad (DNI) y firma manuscrita de la persona que recibió el producto. El hilo de la conversación prosigue con manifestaciones por parte del reclamante indicando “Disculpe pero yo no he firmado ese ni es mi DNI. A quien se lo han entregado? A quien pertenece ese DNI? Necesito una solución urgentemente. No es de recibo que no hayan comprobado el DNI”. URVAAM responde que se va a poner en contacto con la repartidora para ver qué le dice e incluye a continuación el número de pedido. o En la tercera captura de pantalla del chat de WhatsApp se prosigue con el contenido del intercambio descrito en las capturas de pantalla anteriores. En ella se recogen varios mensajes enviados por quien reclama en los que reitera su solicitud de información sobre el paradero de su paquete. Los mensajes se envían el 02/11/2023 y al día siguiente, en diferentes momentos del día, sin que conste respuesta alguna por parte de URVAAM.  Imagen del albarán de entrega referido en la primera captura de pantalla del chat de WhatsApp anteriormente mencionado. En ella figura, en la casilla rotulada como “Cliente de firma”, la parte reclamante identificada mediante nombre y apellidos, número de teléfono móvil y dirección postal. A continuación, se identifica al “Conductor de servicio” por nombre y apellido (A.A.A.) y como “Plataforma de servicio” a Urvaam-Mad. Asimismo, en una casilla distinta consta el nombre y apellidos del reclamante, la fecha y hora de entrega (31-10-2023 a las 18:08:58), una firma manuscrita que la parte reclamante no reconoce como suya y el número de DNI de una tercera persona. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/30 adelante LOPDGDD), se dio traslado de dicha reclamación a URVAAM, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. URVAAM dio respuesta a la actuación de traslado y solicitud de información en fecha 12/02/2024, indicando. “Que tras el análisis de los hechos descritos en la reclamación; SERVICIOS URBANOS VAAM, S.L. señala que no es el responsable del tratamiento recogido, debido a que la misma actuaba en el marco de una relación contractual de prestación servicios con YUN EXPRESS S.L. (con N.I.F B027040062 y domicilio social en Calle Eduardo Barreiros 104 – 7, 28041, Madrid). Concretamente, SERVICIOS URBANOS VAAM, S.L., presta servicios de intermediación comercial de productos a YUN EXPRESS S.L. (Como se muestra documento nº1, donde aparece su alta como cliente en el software de la entidad reclamada). De forma que, en el supuesto recogido, prestaba servicios para YUN EXPRESS S.L., con el fin de gestionar el envío del producto adquirido por el destinatario. (…) SERVICIOS URBANOS VAAM, S.L. no es el responsable del tratamiento; ya que el tratamiento tiene lugar debido a que el reclamante adquiere productos a YUN EXPRESS S.L., y es esta misma sociedad, quien decide llevar a cabo el tratamiento con el fin de la venta a domicilio del producto; a través de la entidad reclamada. Por otro lado, SERVICIOS URBANOS VAAM, S.L. subcontrato el servicio de entrega y reparto con LAN COURIER, S.R.L., bajo el conocimiento de YUN EXPRESS S.L., para ejecutar el contrato con el destinatario. Posteriormente, LAN COURIER, S.R.L., subcontrato también el servicio de entrega y reparto con la persona que presta servicios por cuenta propia (A.A.A.) bajo el cual se produzco el incidente señalado por el reclamante. Respecto a lo anteriormente mencionado, se entiende que la conducta no es imputable a SERVICIOS URBANOS VAAM, S.L., dado que el servicio de entrega a domicilio fue llevado a cabo por el tercero, el cual debió adoptar las medidas necesarias para garantizar la protección de datos personales de los destinatarios. Con ello, (…), se justifica la falta de necesidad de iniciar un procedimiento sancionador contra la entidad reclamada, de conformidad con el artículo 68 de dicha norma.” A continuación, se acompaña la siguiente documentación:  Captura de pantalla de una plataforma digital de URVAAM vinculada a servicios comerciales en la que se visualizan los datos correspondientes a la cuenta de empresa de YUN EXPRESS S.L.  Manual de Protección de Datos y Medidas de Seguridad de SERVICIOS URBANOS VAAM, S.L. de fecha 26 de abril de 2023. Versión: 1.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/30  Análisis de Riesgos de SERVICIOS URBANOS VAAM, S.L. de fecha 26 de abril de 2023.  Documentación de SERVICIOS URBANOS VAAM, S.L. de fecha 26 de abril de 2023: o Registro de Actividades de Tratamiento (como Responsable). o Resumen General o Cláusulas de Tratamientos o Contratos con Personal o Acuerdo de Confidencialidad o Consentimiento para la recogida y tratamiento de datos personales o Control de Firmas del Personal o Contratos con Encargados de Tratamiento o Control de Firmas de Contratos con Encargados de Tratamiento o Correo electrónico o Informe sobre las causas que han originado la reclamación En el “Informe sobre las causas que han originado la reclamación” se indica que: “La operación de envío de paquete llevada a cabo con el reclamante, tenía asignada el nº de paquete ***REFERENCIA.1 y nº de cliente : ***REFERENCIA.2 (como aparece en la etiqueta del envío; documento nº1). Tal y como se muestra en el documento nº2; dicho envío fue notificado como “Entregado, firmar recibo” por el repartidor externo, el día 31/10/2023 a las 18:08:58. Como se puede observar en la captura; ese mismo día y hora, el repartidor notifica el envío como “Incidencia (EXTRAVÍO)”; por lo que ambas acciones aparecen grabadas al mismo tiempo. SERVICIOS URBANOS VAAM, S.L desconoce concretamente el motivo de la anomalía descrita en el párrafo anterior. De forma complementaria, adjuntamos el documento nº3, donde aparece reflejado. el “registro de la operación”.” TERCERO: Con fecha 9 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/30 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 27/03/2024 se recibe escrito de URVAAM de respuesta a requerimiento de esta Agencia. De este escrito se extrae lo siguiente: - Afirman que YUNEXPRESS tenía constancia tanto de la subcontratación del servicio con LAN COURIER como de la prestación del servicio por parte de A.A.A.; debido a que el cliente, al darse de alta en la plataforma de URVAAM, se le proporciona usuario y código de usuario, que le permite acceder a la misma donde figura la trazabilidad del envío. Aportan captura de pantalla de la plataforma web del servicio en la que se muestra el contenido de la plataforma habiendo hecho login con el usuario perteneciente a YUNEXPRESS. - Afirman que YUNEXPRESS tenía acceso a las plataformas de reparto desde las que se gestiona el envío, así como de los terceros que participan en la misma. - Aportan captura de pantalla de la plataforma web del servicio, apartado “Leyenda de albarán” donde se muestra un listado de operaciones y los empleados entre ellos, A.A.A.. - Aportan contrato de encargado de tratamiento firmado entre URVAAM como encargado y LAN COURIER como subencargado. - Afirman que no disponen del contrato de prestación de servicios ni de encargado firmado entre LAN COURIER y A.A.A.. El “Contrato de encargado de tratamiento por prestación de servicios con entrega de datos” aportado, firmado en Madrid el 15 de enero de 2021 por URVAAM como encargado y por LAN COURIER como subencargado, habilita al subencargado a tratar los datos personales que resulten necesarios para la prestación de servicios de mensajería y transporte. En él se recoge que el subcontratista tendrá la condición de encargado del tratamiento estando obligado igualmente a cumplir las obligaciones establecidas para el encargo del tratamiento y las instrucciones que dicte el responsable, pero no se autoriza a LAN COURIER a subcontratar. No se identifica en este contrato de subencargo al responsable del tratamiento. Con fecha 31/05/2024 se recibe escrito de LAN COURIER de respuesta a requerimiento de esta Agencia, del que se extrae lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/30 - Afirman que no disponen del contrato firmado con A.A.A. debido a que subcontrataron el servicio de mensajería con un profesional autónomo (B.B.B.); de forma que no tiene conocimiento sobre la persona con la que el mismo subcontrató dicho servicio, dado que no le fue comunicado. - Aportan contrato de encargado de tratamiento firmado entre LAN COURIER S.R.L. y B.B.B.. En el contrato de encargado de tratamiento aportado se indica como fecha y lugar de celebración Valdemorillo (Madrid), 24 de septiembre de 2024, figurando como partes LAN COURIER, S.R.L. como encargado y B.B.B. como subencargado. El contrato habilita al subencargado a tratar los datos personales que resulten necesarios para la prestación de servicios de mensajería y transporte. En él se recoge que el subcontratista tendrá la condición de encargado del tratamiento estando obligado igualmente a cumplir las obligaciones establecidas para el encargo del tratamiento y las instrucciones que dicte el responsable, pero no se autoriza a B.B.B. a subcontratar. En el contrato sólo consta la firma del subencargado. Tampoco se identifica en este contrato de subencargo al responsable del tratamiento. Con fecha 18/06/2024 se realiza una consulta en Axesor y se localiza al profesional autónomo con nombre completo B.B.B. y NIF ***NIF.1. Con fecha 28/06/2024 se recibe escrito de B.B.B. de respuesta a requerimiento de esta Agencia, afirmando lo siguiente afirmando lo siguiente: - “...Mi relación con A.A.A. fue puntual, (…) era colaboradora de la empresa URVAAM al igual que yo, y en un momento puntual debido a la recarga de trabajo colaboró conmigo en la entrega de algunos envíos para poder cumplir con los tiempos de entrega. Dicha colaboración duró dos días y en pedidos puntuales. - Debido al corto tiempo de colaboración se me pasó por alto firmar con A.A.A. el CONTRATO DE ENCARGADO DE TRATAMIENTO.” Con fecha 19/07/2024 se recibe escrito de URVAAM de respuesta a requerimiento de esta Agencia, aportando el acuerdo de encargo de tratamientos suscrito entre YUNEXPRESS y URVAAM. En el “Contrato de encargado de tratamiento por prestación de servicios con entrega de datos” aportado se indica como fecha y lugar de celebración Madrid, 1 de enero de 2021, figurando como partes YUN EXPRESS S.L. como responsable y SERVICIOS URBANOS VAAM, S.L. como encargado. En la cláusula 5 del contrato, relativa a la subcontratación se establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/30 “El responsable autoriza al encargado a subcontratar el servicio de MENSAJERIA Y TRANSPORTE. El subcontratista, que también tendrá a condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en los referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas.” En la cláusula 9, bajo la rúbrica “Medidas de Seguridad” se dispone: “El encargado deberá implantar mecanismos para: a.- Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. b.- Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. c.- Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. d.- Seudonimizar y cifrar los datos personales, en su caso. El encargado del tratamiento, ha adoptado las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, perdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.” QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad YUNEXPRESS es una empresa constituida en el año 2020, y con un volumen de negocios de 1.318.342 euros en el año 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/30 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

1. f)de la LPACAP. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Por su parte, las Directrices del CEPD 07/2020 del Comité Europeo de Protección de Datos (CEPD), Versión 2.0, adoptadas el 7 de julio de 2021 (en adelante Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/30 “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados, con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” A lo ya expuesto, cabe añadir que dichas Directrices 07/2020 destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que YUNEXPRESS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas a las que van dirigidos los paquetes que entrega, así como la comunicación a sus encargados del tratamiento de los datos personales de los destinatarios de los envíos que han de entregar. Entre los datos personales tratados por YUNEXPRESS se encuentran el nombre y apellidos, DNI, la dirección postal y el número de teléfono de sus clientes. YUNEXPRESS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/30 Por su parte, URVAAM, como prestador de servicios de intermediación comercial de productos, trata los datos personales de los clientes de YUNEXPRESS con objeto de gestionar el envío de los productos adquiridos por éstos. URVAAM realiza esta actividad como encargado del tratamiento en virtud del artículo 4.8 del RGPD. Las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
2. a)ser un ente independiente del responsable del tratamiento; y
3. b)tratar datos personales por cuenta del responsable.” Ambas condiciones concurren en el supuesto analizado. Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Tal y como prevé el artículo 28.3 del RGPD “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.” En este caso, esta relación jurídica se evidencia en el “Contrato de encargado de tratamiento por prestación de servicios con entrega de datos” suscrito entre YUNEXPRESS (como responsable) y URVAAM (como encargado) el 1 de enero de 2021 y cuya vigencia se ha estipulado por tiempo indefinido. En cuanto a la figura del subencargado, el RGPD alude a la posibilidad de que el encargado recurra a “otro encargado” en su artículo 28.2. También se hace referencia a “otro encargado” en el artículo 28.4 del RGPD al determinar que “cuando el encargado del tratamiento recurra a otro encargado para llevar determinadas actividades de tratamiento por cuenta del responsable, se impondrán a ese otro encargado (…) las mismas obligaciones de protección de datos que las estipuladas (…) entre el responsable y el encargado”. En este sentido, se pronuncian también las Directrices 07/2020 que, en el punto 1.6 del apartado II, definen a ese “otro encargado” del RGPD como “subencargado” en aquellos supuestos en los que el encargado del tratamiento desea recurrir a otro participante y le encomienda actividades que requieren el tratamiento de datos personales, añadiendo así otro eslabón a la cadena. A este respecto se prevé: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/30 “75 (…) en el tratamiento de datos personales pueden participar múltiples encargados. Por ejemplo, un responsable del tratamiento puede decidir por su cuenta involucrar directamente a múltiples encargados recurriendo a encargados diferentes en distintas fases independientes del tratamiento (en lo sucesivo, «múltiples encargados»). Un responsable del tratamiento también puede decidir recurrir a un encargado, que, a su vez, recurra ―con la autorización del responsable― a otro u otros encargados (en lo sucesivo, «subencargados»). Las actividades de tratamiento que le son atribuidas al encargado pueden limitarse a una tarea o contexto muy específico o pueden ser más generales y amplias.” Establecido este concepto, las mencionadas Directrices señalan que para determinar si una entidad actúa como subencargada, debe hacerse el mismo análisis que se ha reflejado en párrafos anteriores respecto al encargado, esto es, determinar si cumplen las dos condiciones básicas de independencia y de tratar por cuenta de otro: “151. En las actividades de tratamiento de datos suele intervenir un gran número de participantes y la cadena de subcontrataciones es cada vez más compleja. (…) Para analizar si el prestador de servicios actúa como subencargado, debe tenerse en cuenta lo descrito previamente en relación con el concepto de encargado”. Sin olvidar que quien determinará los fines y medios es, en cualquier caso, el responsable: “152. A pesar de que la cadena puede ser bastante larga, el responsable del tratamiento conserva su papel central en la determinación de los fines y medios del tratamiento (…)” En definitiva, de acuerdo con las Directrices 07/2020 el subencargado es aquel que ha sido contratado para realizar actividades de tratamiento específicas por alguien (el encargado) que, a su vez, ha sido contratado para tratar datos personales por cuenta de un tercero y conforme a las instrucciones de este tercero. En este caso, según la documentación que obra en el expediente, el encargado del tratamiento (URVAAM), con conocimiento de YUNEXPRESS, subcontrató el servicio de entrega y reparto del paquete asignado al reclamante con la entidad LAN COURIER, S.R.L., la cual, a través de una nueva subcontratación, encomendó la prestación del servicio a un profesional autónomo (B.B.B.). Finalmente, este último, recurrió a A.A.A. sin formalizar el correspondiente contrato o acto jurídico exigido por el artículo 28 del RGPD. Por tanto, sin perjuicio de la falta de contrato formal entre los dos últimos sujetos intervinientes en la cadena de tratamiento y de la posible ausencia de autorización previa y por escrito del responsable del tratamiento exigida por el artículo 28.2 del RGPD, de los indicios recabados se desprende que LAN COURIER, S.R.L., B.B.B. y A.A.A. son profesionales independientes que realizan operaciones de tratamiento de datos personales en el marco del contrato que URVAAM mantiene con el responsable del tratamiento (YUNEXPRESS). De este modo, LAN COURIER, S.R.L., B.B.B. y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/30 A.A.A. tratarían los datos de clientes YUNEXPRESS y ostentarían la condición de “encargados del encargado” del tratamiento. En conclusión, LAN COURIER, S.R.L., B.B.B. y A.A.A. son, en consecuencia, subencargados del tratamiento. IV Obligación incumplida. Artículo 28.3 del RGPD. Contrato de encargo Las previsiones respecto al contrato de encargo del tratamiento están recogidas en el artículo 28 del RGPD, que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
4. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
5. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
6. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
7. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
8. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
9. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/30
10. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
11. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
12. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías¡ suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/30 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” En el presente caso, el encargo del tratamiento se formalizó mediante el “Contrato de encargado de tratamiento por prestación de servicios con entrega de datos” aportado a la AEPD el 19 de julio de 2024. Procede, en este contexto, examinar el contenido del contrato de encargo aportado con objeto de valorar su adecuación a lo dispuesto en el artículo 28.3 del RGPD. En primer lugar, resulta conveniente señalar que en la cláusula introductoria del contrato, correspondiente a la identificación de las partes, se advierte que la representación legal de YUN EXPRESS S.L. no ha sido consignada. En el espacio destinado a tal efecto figura únicamente una línea punteada, sin mención del nombre, cargo o poder del representante correspondiente. Esta omisión puede comprometer la validez del contrato, ya que impide verificar si la parte en cuestión estuvo debidamente representada en el momento de la firma. Con relación al contenido del contrato, se hace aconsejable revisar, con carácter previo, algunas observaciones generales que al respecto se realizan en las Directrices 07/2020: “112. Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento. De hecho, la «protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento [...] requieren una atribución clara de las responsabilidades» en virtud del RGPD. 113. Al mismo tiempo, el contrato debe tener en cuenta «las funciones y responsabilidades específicas del encargado en el contexto del tratamiento que ha de llevarse a cabo y del riesgo para los derechos y libertades del interesado».51 Por lo general, el contrato entre las partes debe redactarse a la luz de la actividad de tratamiento de datos concreta. (…) 114. Por lo que respecta al contenido obligatorio del contrato u otro acto jurídico, el CEPD interpreta el artículo 28, apartado 3, en el sentido de que prescribe la inclusión de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/30  El objeto del tratamiento (…). Aunque el objeto del tratamiento es un concepto amplio, debe formularse de un modo suficientemente detallado como para que quede claro cuál es el principal objetivo del tratamiento.  La duración del tratamiento: deben especificarse el período de tiempo exacto o los criterios empleados para determinarlo. Por ejemplo, podría hacerse referencia a la duración del acuerdo de tratamiento.  La naturaleza del tratamiento, es decir, el tipo de operaciones realizadas como parte del tratamiento (...); y la finalidad del tratamiento (…). Esta descripción debe ser lo más exhaustiva posible, en función de la actividad de tratamiento concreta, para que las partes ajenas al contrato (por ejemplo, las autoridades de control) puedan comprender el contenido y los riesgos del tratamiento encomendado al encargado.  El tipo de datos personales: este elemento debe especificarse con el mayor grado de detalle posible (…). No bastaría meramente con indicar que se trata de «datos personales con arreglo al artículo 4, apartado 1, del RGDP» o de «categorías especiales de datos personales con arreglo al artículo 9 (…).  Las categorías de interesados: esto también debe especificarse con bastante grado de detalle (por ejemplo, visitantes, empleados, servicios de reparto, etc.).  Las obligaciones y derechos del responsable: los derechos del responsable del tratamiento se abordan de un modo más exhaustivo en las secciones siguientes (por ejemplo, el derecho del responsable a llevar a cabo inspecciones y auditorías). Por lo que respecta a las obligaciones del responsable, algunos ejemplos son la obligación de proporcionar al encargado los datos mencionados en el contrato; la obligación de proporcionar al encargado instrucciones relativas al tratamiento de datos y documentarlas; la obligación de garantizar, antes del tratamiento y durante este, el cumplimiento de las obligaciones impuestas al encargado en el RGPD; y la obligación de supervisar el tratamiento, incluida la realización de auditorías e inspecciones del encargado. 115. Aunque el RGPD estipula los elementos que deben incluirse en todo caso en el acuerdo, dependiendo del contexto y de los riesgos del tratamiento, así como de cualquier otro requisito adicional que resulte aplicable, es posible que deba incluirse otra información pertinente.” El documento aportado, sin perjuicio de la omisión anteriormente señalada, no parece cumplir la obligación de contenido estipulada en la letra
13. c)del artículo 28.3 del RGPD. La cláusula 9 del contrato, bajo la rúbrica “Medidas de Seguridad”, se limita a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/30 reproducir el artículo 32.1 del RGPD y acaba indicando, sin más, que el encargado del tratamiento ha adoptado las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos de carácter personal y evitar su alteración, pérdida, tratamiento o acceso no autorizado. En lo concerniente al artículo 28.3.
14. c)del RGPD, las Directrices 07/2020 disponen que: “126. (…) el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer referencia a información sobre las medidas de seguridad que se adoptarán, la obligación del encargado de obtener la aprobación del responsable antes de realizar cualquier cambio y una revisión periódica de las medidas de seguridad a fin de garantizar su adecuación a los riesgos, que pueden variar con el tiempo. El grado de detalle de la información sobre las medidas de seguridad que debe incluirse en el contrato debe poder permitir al responsable evaluar la adecuación de las medidas con arreglo al artículo 32, apartado 1, del RGPD. Esta descripción también es necesaria para que el responsable pueda cumplir con su deber de responsabilidad proactiva previsto en el artículo 5, apartado 2, y en el artículo 24 del RGPD en relación con las medidas de seguridad impuestas al encargado.” Por tanto, reproducir el artículo 32.1 del RGPD no satisface el nivel de detalle exigido por el artículo 28.3 del RGPD al no definir con claridad qué medidas debe implementar el encargado lo que impide evaluar la adecuación al riesgo y la trazabilidad del cumplimiento normativo. Por otra parte, la cláusula 5 del referido contrato, relativa a la subcontratación, recoge una autorización general del responsable del tratamiento al encargado para la contratación de subencargados. Esta alternativa se contempla en las Directrices 07/2020 en los siguientes términos: “152. A pesar de que la cadena puede ser bastante larga, el responsable del tratamiento conserva su papel central en la determinación de los fines y medios del tratamiento. El artículo 28, apartado 2, estipula que el encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable (inclusive en formato electrónico). En el caso de la autorización general por escrito, el encargado del tratamiento debe informar al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. En ambos casos, el encargado debe obtener la autorización por escrito del responsable antes de encomendar el tratamiento de datos personales al subencargado. A fin de que el responsable del tratamiento pueda realizar la evaluación y decidir si autoriza la subcontratación, el encargado deberá presentarle una lista de los subencargados previstos (incluyendo, en relación con cada uno de ellos, su ubicación, la actividad que se le asignará y la prueba de las salvaguardias aplicadas). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/30 156. Como alternativa, el responsable del tratamiento puede conceder una autorización general para la contratación de subencargados (por medio del contrato, incluyendo en un anexo al mismo una lista de dichos subencargados), que debe complementarse con criterios que orienten la elección del encargado (p. ej., garantías relativas a medidas técnicas y organizativas, conocimiento especializado, fiabilidad y recursos). En este caso, el encargado debe informar al responsable, de manera oportuna, de cualquier incorporación o sustitución prevista de los subencargados, de manera que se dé al responsable la oportunidad de oponerse.” Ya se trate de autorización general o específica la Directrices prevén: “158. En ambos casos, el contrato debe incluir información detallada sobre el plazo para la aprobación u oposición por parte del responsable del tratamiento y sobre el modo en que las partes prevén comunicarse sobre esta cuestión (p. ej., plantillas). Este plazo debe ser razonable en vista del tipo de tratamiento, la complejidad de las actividades encomendadas al encargado (y a los subencargados) y la relación entre las partes. Además, el contrato debe incluir información sobre las acciones concretas posteriores a la oposición del responsable (p. ej., especificando el plazo en el que el responsable y el encargado deben decidir si se pondrá fin al tratamiento).” A la luz de lo establecido en las Directrices 07/2020 y una vez examinada la cláusula citada del contrato, se desprende que la misma no se ajusta a las exigencias del artículo 28.3.
15. d)del RGPD. En efecto, el contrato no precisa la/s empresa/s con las que el encargado está autorizado a subcontratar. Tampoco recoge el deber del encargado de informar por escrito al responsable de cualquier incorporación o sustitución prevista de los subencargados para que éste pueda, en su caso, manifestar su oposición, ni especifica el plazo para la aprobación u oposición, ni los detalles sobre las acciones concretas posteriores a la posible oposición del responsable. Esta omisión conlleva una pérdida efectiva de control, por parte del responsable, sobre la posible cadena de tratamiento en la medida en que le impide verificar si los eventuales subencargados ofrecen las garantías suficientes exigidas por el RGPD para aplicar medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con la normativa y se garantice la protección de los derechos de los interesados. En cuanto a las previsiones establecidas en el artículo 28.3 f), tampoco se precisa en el contrato de manera detallada el modo en que el encargado deberá ayudar al responsable a cumplir con sus obligaciones conforme a lo dispuesto en las Directrices 07/2020: “133. El contrato no debe limitarse a reproducir estos deberes de asistencia: debe detallar el modo en que el encargado deberá ayudar al responsable a cumplir las obligaciones indicadas. Por ejemplo, pueden incluirse procedimientos y formularios tipo en los anexos al contrato, de modo que el encargado pueda proporcionar al responsable toda la información necesaria.” Como indican las citadas Directrices, el deber de asistencia, con relación a las obligaciones establecidas en los artículos 32 a 36 del RGPD, no implica un traspaso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/30 de responsabilidades, puesto que estas obligaciones se imponen al responsable del tratamiento. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a YUN EXPRESS S.L., por vulneración del artículo 28.3 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 28.3 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
16. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
17. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." VI Propuesta de sanción por incumplimiento del artículo 28.3 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/30 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
18. a)a
19. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
20. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
21. b)la intencionalidad o negligencia en la infracción;
22. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
23. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
24. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
25. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
26. g)las categorías de los datos de carácter personal afectados por la infracción;
27. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
28. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
29. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
30. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
32. a)El carácter continuado de la infracción.
33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
35. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
37. f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/30
38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de YUNEXPRESS (1.318.342 euros en el año 2022). Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.4 del RGPD, la sanción que se imponga podrá ser de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El 2% del volumen de negocio de 1.318.342 euros es de 26.366 euros. Por ello, la sanción que se imponga necesariamente deberá oscilar entre 0 y 10.000.000 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes:   La gravedad de la infracción (artículo 83.2 letra a), del RGPD): en el presente caso la falta de formalización adecuada de las relaciones con SERVICIOS URBANOS VAAM, S.L conforme a la normativa del RGPD impide conocer con certeza las obligaciones correspondientes a cada uno de los participantes en la cadena de tratamientos. Esto impacta negativamente en el control de los afectados sobre sus datos personales, que desconocen la relación entre los diferentes participantes en la cadena de tratamiento de datos personales, así como el papel jugado por cada uno de ellos, siendo el control sobre estos elemento fundamental y eje vertebrador del RGPD. La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD): En este sentido, YUN EXPRESS S.L. está realizando tratamientos de datos personales sin prestar la atención debida a los elementos exigidos para la formalización de un contrato de encargo. Se aprecia una especial negligencia en la medida en que el cumplimiento de las previsiones contenidas en el artículo 28.3 no puede entenderse como una obligación meramente formal, al contrario, la regularidad en la existencia de contratos de encargo y su pulcritud jurídica es un elemento esencial para garantizar el cumplimiento de las obligaciones tanto del responsable como del encargado. La omisión de las obligaciones del artículo 28 repercute negativamente en el cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/30 obligaciones que el RGPD prevé para el responsable, así como en su potestad de control sobre el encargado y los subencargados. La deficiencia del contrato de encargo tiene mayores implicaciones, si cabe, al quedar amparados en el mismo subencargados de tratamiento. Circunstancia que, en última instancia, provocó los hechos acaecidos. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
40. k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): YUN EXPRESS S.L. como prestador de servicios de almacenamiento logístico de mercancías en almacenes y/o plataformas logísticas, incluyendo la descarga y/o recepción entrante de mercancías y la clasificación y distribución de las mismas en el almacén, realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados (todos sus clientes) imprescindible para el desarrollo de su negocio. La realización de su actividad principal implica necesariamente operaciones de tratamiento de datos personales. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza YUN EXPRESS S.L. en su negocio y ligado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000 euros. VII Obligación incumplida. Artículo 5.1.
41. d)del RGPD. Exactitud La letra
42. d)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
43. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);" Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “