PS-00455-2022

1/14  Expediente N.º: EXP202201725 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la reclamante) con fecha 02/02/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SEUR GEOPOST S.L.U. con NIF B82516600. Los motivos en que basa la reclamación son los siguientes: 1) La reclamante compró a un tercero un producto a través de una plataforma gestionada por Milanuncios por la que comprador y vendedor entablan contacto, llegan a un acuerdo respecto a la compraventa del producto y se gestiona el pago y envío del producto. 2) Al no quedar satisfecha con el producto recibido de parte de ese tercero, desea identificarlo, por lo que dirige esta solicitud a Milanuncios, como responsable del servicio, quien deniega tal posibilidad sobre la base de la normativa de protección de datos. 3) Pese a lo anterior, la afectada denuncia que el vendedor sí tuvo acceso a sus datos personales como compradora. Tal afirmación la sustenta sobre la base de una captura de la etiqueta que el mensajero le facilitó al comprador cuando fue a recoger el producto a casa del vendedor (esta opción de envío solo se facilita usando “Seur”). 4) En la etiqueta o albarán figura manuscrito el nombre y apellidos de la afectada y su domicilio. Cuando los envíos de hacen por Correos, hay que ir a la oficina, y utilizar la etiqueta que facilita Milanuncios. Aporta: - Captura de la etiqueta que el mensajero le facilitó al comprador cuando fue a recoger el producto a casa del vendedor. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ADEVINTA SPAIN, S.L., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/02/2022 como consta en el acuse de recibo que obra en el expediente. El 14/03/20221 dio respuesta señalando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 - Respecto al ejercicio de derecho de acceso efectuado por el reclamante, ADEVINTA (en adelante Milanuncios) ha señalado lo siguiente: o Que "cualquier usuario de Milanucios tiene, en todo momento, acceso fácil, remoto y automático a sus datos personales, incluyendo todas las conversaciones que mantiene con otros usuarios de la aplicación" o Por cada mensaje intercambiado con otro usuario el responsable "remite a su email un correo electrónico que contiene copia de dicho mensaje" o En este caso la primera reclamación presentada por el titular de los datos no se entendió como un ejercicio de derecho de acceso "ya que no lo indicaba así". No obstante, desde el servicio de Atención al Usuario se facilitó "una respuesta a la reclamante orientada a dar curso a su petición y facilitar el acceso a las comunicaciones solicitadas por la misma" - Respecto a los datos personales del comprador, aquí reclamante, facilitados al vendedor, Milanuncios manifiesta lo siguiente: o No se facilitan datos de carácter personal al comprador, si no únicamente información acerca del envío y un código de seguimiento del paquete. Así mismo, en ningún caso se facilitan datos personales del comprador al vendedor, sino que al primero se le hace llegar un código que deberá escribir en el paquete que vaya a enviar al comprador y que será gestionado por la empresa de mensajería. o En particular en este caso señalan que ha sido la empresa de mensajería la que "presuntamente ha facilitado sus datos de carácter personal al vendedor, en un albarán o similar en el que figuran datos identificativos y su dirección postal". El responsable se ha puesto en contacto con esta empresa (SEUR) "puesto (que) algunos usuarios se habían quejado de que recibían los datos de la otra parte al hacerse los envíos". Se ha informado a la citada empresa "que se optase por un medio que permitiese codificar o anonimizar los datos personales de los involucrados en la compraventa", se indica que "hasta ahora, la respuesta recibida ha sido que se estaba cumpliendo con la normativa de protección de datos". o Se ha verificado por el inspector actuante que en la Política de Privacidad publicada en el portal web de Milanuncios (https://www.milanuncios.com/legal/politica-privacidad) en la fecha del presente informe, consta el siguiente literal en el punto 5: “5. Destinatarios ¿A qué destinatarios se comunicarán tus datos? Tus datos personales serán comunicados a terceros en los siguientes supuestos: -Tus datos personales se comunicarán al anunciante que se indique en el detalle de cada anuncio para posibilitar el contacto con este último. -Tus datos personales podrán ser accedidos por aquellos proveedores que prestan servicios a Adevinta Spain S.L.U., tales como servicios de alojamiento de contenido, de mensajería instantánea, de envío de notificaciones, servicios publicitarios, etc. Adevinta Spain S.L.U. ha suscrito los correspondientes contratos de encargo de tratamiento con cada uno de los proveedores que prestan servicios a Adevinta Spain S.L.U. -Tus datos personales podrán ser cedidos a las empresas de mensajería encargadas del servicio de transporte de Milanuncios Express para poder hacer llegar el paquete a su destino y, en su caso, gestionar las devoluciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 -Tus datos personales también podrán ser cedidos a las autoridades competentes en los casos que exista una obligación legal.” TERCERO: Con fecha 17/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - El 20/04/2022 se solicitó por la inspección de datos información y documentación al reclamado en relación con los hechos denunciados. De la respuesta facilitada por su representante se desprende lo siguiente: o “Con fecha 23 de septiembre de 2021, se estableció un acuerdo comercial para la prestación de servicios de transporte de mercancías entre la empresa ADEVINTA SPAIN, S.L.U, sociedad que gestiona la plataforma Milanuncios.com (en adelante Milanuncios) y SEUR GEOPOST, S.L.U (en adelante SEUR). Según los servicios descritos en el acuerdo comercial, SEUR se obliga a prestar a Milanuncios el servicio de transporte consistente en la recogida de los envíos que éste le solicite y en el lugar que le indique, para su entrega en el lugar de destino y plazo correspondiente. Con el objetivo de que SEUR pueda cumplir con sus obligaciones contractuales, Milanuncios debe realizar a SEUR tantas transmisiones de datos personales como recogidas de mercancía se vayan a efectuar, a fin de que SEUR trate dichos datos personales para prestar el servicio de transporte solicitado y, en calidad de Responsable del Tratamiento. Según lo descrito en el acuerdo comercial entre las partes , en el momento de la recogida, Milanuncios proporcionará a SEUR un listado de las expediciones a recoger (punto V del anexo “CUESTIONES TECNICAS Y OPERATIVAS”), con la información personal que sea estrictamente necesaria para efectuar el servicio de transporte, que según manifiesta el representante de SEUR, en concreto, los datos personales, tanto del remitente como del destinatario, (nombre, apellidos, dirección postal) y, que deberán ser necesariamente consignados en los paquetes para que SEUR efectúe su entrega al destinatario. Dicha comunicación de datos se realizará a través de la plataforma de servicios WS de SEUR puesta a disposición de Milanuncios, tal y como se indica en el Anexo X “Acuerdo Comercial Integración de Clientes y uso de Plataforma del Acuerdo Comercial con Milanuncios. El representante de SEUR manifiesta que, SEUR como prestador de servicios de transporte nacional e internacional, principalmente de mensajería y paquetería, se rige por la Ley 15/2009, de 11 de noviembre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 del contrato de transporte terrestre de mercancías (en adelante la Ley 15/2009), donde se recogen diversas obligaciones que han de cumplir tanto los porteadores, como los intermediarios del transporte y cargadores para el buen desarrollo del servicio prestado, así como la información que se debe ofrecer a los interesados. De esta forma, atendiendo a la definiciones establecidas en el artículo 4 de la citada Ley 15/2009, se identificará como cargador a quien contrata en nombre propio la realización de un transporte y frente al cual el porteador se obliga a efectuarlo, en este caso, al remitente o vendedor del envío; como porteador quien asume la obligación de realizar el transporte en nombre propio con independencia de que lo ejecute por sus propios medios o contrate su realización con otros sujetos, en este caso a SEUR y, por último, como destinatario, la persona a quien el porteador ha de entregar las mercancías en el lugar de destino, en este caso, el destinatario o comprador del envío. Entre las obligaciones establecidas en la Ley 15/2009, destaca la necesidad de emitir una carta de porte para cada envío realizado que deberá contener la información descrita a continuación (artículo 10.1 y 3 de la citada Ley 15/2009): - Lugar y fecha de la emisión. – (…). - Nombre y dirección del porteador y, en su caso, del tercero que reciba las mercancías para su transporte. - Lugar y fecha de la recepción de la mercancía por el porteador. - Lugar y, en su caso, fecha prevista de entrega de la mercancía en destino. – (…) - Naturaleza de las mercancías, número de bultos y signos y señales de identificación. - Identificación del carácter peligroso de la mercancía enviada, así como de la denominación prevista en la legislación sobre transporte de mercancías peligrosas. - Cantidad de mercancías enviadas, determinada por su peso o expresada de otra manera. - Clase de embalaje utilizado para acondicionar los envíos. Precio convenido del transporte, así como el importe de los gastos previsibles relacionados con el transporte. - Indicación de si el precio del transporte se paga por el cargador o por el destinatario. Por su parte, el artículo 11 de la Ley 15/2009 indica que la carta de porte se emitirá en tres ejemplares originales, que firmarán el cargador y el porteador y que deberán ser entregados de la siguiente forma; el primer ejemplar de la carta de porte al cargador, el segundo viajará con las mercancías transportadas y el tercero quedará en poder del porteador para justificar la entrega. En base a lo anterior, SEUR, según manifiesta su representante, cumple con la obligación de entregar cada ejemplar de carta de porte a los sujetos indicados en la Ley 15/2009 y según el procedimiento descrito, un ejemplar viajará con el bulto, otro se queda en manos del porteador (SEUR) para justificar la entrega y, el tercero se le entrega al cargador (remitente), lo que implicará que éste, tenga conocimiento de los datos personales incluidos en dicha carta de porte, entre los cuales se encuentran los datos personales del destinatario o comprador. QUINTO: Con fecha 21/12/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SEUR, S.A. por la presunta infracción del artículo 5.1.

1. f)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
2. a)del citado RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 SEXTO: Notificado el acuerdo de inicio el 27/12/2022, SEUR GEOPOST, S.L.U., esta entidad solicitó copia del expediente y ampliación de plazo para formular alegaciones; copia que fue remitida y plazo que le fue concedido mediante escrito del instructor de 04/01/2023. El 12/01/2023 tanto SEUR GEOPOST, S.L.U., como SEUR, S.A., presentaron el mismo escrito de alegaciones reiterando los argumentos expuestos y, además, manifestado las incoherencias existentes en el mismo que esencialmente afectan a la validez del mismo; la identificación incorrecta del responsable; la ausencia de antijuridicidad en su conducta, la falta de culpabilidad en su actuación y, subsidiariamente, para el supuesto de que no se tuvieran en cuenta los argumentos esgrimidos, se minorara o redujera la sanción inicialmente propuesta. SEPTIMO: Con fecha 23/06/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - “Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar a ADEVINTA acreditación y documentación de dichos contactos en los que se le insta a SEUR a codificar o anonimizar los datos personales de los involucrados en la compraventa, de tal modo que ni el comprador tenga acceso a los datos del vendedor, ni viceversa; que dado que se producen dos operaciones de transporte: primera, porteador que recoge la mercancía en el domicilio del vendedor y, segunda, porteador que entrega la mercancía al vendedor: Informe y describa como se realizan dichas operaciones, ¿Cómo se documenta cada una de dichas operaciones? ¿Qué documentos se entregan por el porteador al vendedor? ¿Qué documentos se entregan por el porteador al comprador?; copia de las conversaciones mantenidas por la reclamante, compradora; contrato concertado entre con SEUR.” El 30/06/2023 ADEVINTA dio respuesta a las pruebas practicas cuyo contenido obra en el expediente. OCTAVO: En fecha 24/07/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivara a SEUR, S.A., por la presunta infracción del artículo 5.1.
3. f)del RGPD, tipificada en el artículo 83.5.
4. a)del citado RGPD. La presente Propuesta de Resolución, fue notificada tanto a SEUR, S.A. como a SEUR GEOPOST, S.L.U., transcurrido el plazo de alegaciones no se presentó escrito de alegaciones. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 02/02/2022 tiene entrada en la AEPD escrito de la reclamante en el que manifiesta que compró a un tercero un producto a través de la plataforma Milanuncios, a través de la cual el comprador y vendedor entablan contacto, llegando a un acuerdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 respecto a la compra, gestiona el pago así como el envío del producto; al no quedar satisfecha con el producto recibido, su deseo es identificar al vendedor, por lo que dirige a Milanuncios, como responsable del servicio, quien deniega tal posibilidad sobre la base de la normativa de protección de datos; a pesar de ello la reclamante manifiesta que por el contrario el vendedor sí tuvo acceso a sus datos personales como compradora, sustentándose sobre la base de una captura de la etiqueta que el mensajero le facilitó cuando fue a recoger el producto a casa del vendedor; en el albarán figura manuscrito el nombre y apellidos de la reclamante y su domicilio (cuando la entrega se realiza a través de “SEUR”), sin embargo, cuando los envíos se hacen utilizando el servicio de Correos, hay que ir a la oficina, y utilizar la etiqueta que facilita Milanuncios. SEGUNDO. Consta aportada captura de la imagen del albarán que el mensajero le facilitó a la reclamante cuando fue a recoger el producto a casa del vendedor, en la que constan sus datos personales. TERCERO. Constan aportados por la reclamante correos electrónicos cruzados con ADEVINTA (Milanuncios) entre el 17/08/2021 y 07/10/2021; ADEVINTA en e-mail remitido a la reclamante en el que se quejaba de la compra defectuosa de unos cartuchos de tinta, le respondía el 06/09/2021 señalando: “(…) Lo sentimos, pero no entendemos tu consulta. Por favor, indícanos más detalles para poder ayudarte, El 4 de Agosto del 2021 nos escribiste a atención al cliente para devolver la compra con el número de pedido LEMONPAY-92665. Después de estudiar tu caso se realizó la devolución y el dinero de tu compra fue reembolsado. Hemos comprobado tu cuenta y vemos que hiciste otro pedido con el mismo vendedor anteriormente. Sobre este pedido no recibimos ninguna incidencia y fue abonado al vendedor. Recuerda que cuando recibes el paquete dispones de 24 horas para avisarnos en nuestra sección de ayuda, aquí mismo. Pasado ese tiempo el dinero se abona automáticamente al vendedor. Milanuncios no revisa ni da el visto bueno a los productos que los usuarios compran y venden a través del servicio; por tanto, Milanuncios, en ningún caso será responsable, ni directa ni indirectamente, ni subsidiariamente, de los daños y perjuicios de cualquier naturaleza. (…)” La reclamante en e-mail de 16/09/2021 respondía: “(…) “Compra 1 (https://www.milanuncios.com/impresoras/cartucho-62-xl409602092.htm): Cartucho de tinta que no iba bien. Se lo digo por aquello de las 24 horas, pero me responde que no pasa nada, que me envía otro gratis y me dice que vuelva a comprar otro cartucho igual por un importe inferior (***URL.1. Compra 2 (***URL.1: Me envía 2 cartuchos por si acaso. Uno no funciona en absoluto (la impresora ni lo reconoce) y el otro funciona bien (o eso parecía). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 En esta parte me dice que os pida la devolución del dinero y meta el cartucho de la primera compra y el que no va de la segunda compra, y eso hice. Así se quedaba el tema correctamente. Pagué 15,75 € por un cartucho en condiciones. Tengo la sensación de que esta forma de actuar suya y de la que me hizo partícipe no es muy lícita y creo que puediera contravenir las normas de Milanuncios. Al menos a mí, no me hizo ninguna gracia. Es difícil que recibáis una incidencia en 24 horas porque puede haber "vicios ocultos" que se ven después, como ha sido este el caso. He imprimido 7 páginas desde que me llegó hace 1 mes, de las cuales las 3 últimas son inservibles. Yo no pago 15,75 € para imprimir 4 páginas. ¿Cómo puedo valorar a este vendedor? No sé dónde ni cómo... También quiero reportarlo. Por otro lado, quiero todos los datos de este vendedor para interponer la denuncia correspondiente. (…)” Milanuncios el 17/09/2021: “(…) Lo sentimos pero Milanuncios realiza la devolución del producto si nos avisas dentro de las 24 horas. En la primera compra no lo hiciste y el dinero fue abonado al vendedor. Milanuncios no revisa ni da el visto bueno a los productos que los usuarios compran y venden a través del servicio; por tanto, Milanuncios, en ningún caso será responsable, ni directa ni indirectamente, ni subsidiariamente, de los daños y perjuicios de cualquier naturaleza. Por otro lado, según la Ley de Protección de Datos, no podemos facilitar información de anuncios o usuarios a particulares. En cambio, sí podemos hacerlo ante un juez o a la policía. Si presentas una denuncia, di a las autoridades que contacten con nosotros a través de nuestra sección de ayuda - en el apartado de Organismos Oficiales- para poder colaborar con ellos. Indícales, por favor, que nos faciliten el número de referencia, teléfono o email del anuncio. Así agilizaremos el proceso. Desde Milanuncios queremos ayudarte en todo lo posible. (…)” La reclamante el 17/09/2021: “(…) Si Milanuncios sólo intermedia entre las partes y se desentiende de todo, la Ley de Protección de Datos no la puede manejar a su antojo porque en un trato entre particulares y ambos deben tener los datos del otro. La otra parte tiene mis datos. ¿Qué tipo de discriminación es esta que yo no puedo tener los de la otra parte? ¿O es que se los habéis dado incumpliendo la Ley de Protección de Datos que mencionáis? Entonces, ¿tengo que denunciar también a Milanuncios por no haberla cumplido? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Como comprenderéis, no puedo poner una denuncia si no tengo datos del denunciado. Nunca me la recogerían. ¿Cómo puedo valorar a este vendedor? No sé dónde, ni cómo... También quiero reportarlo. (…)” ADEVINTA por último en correo de 07/10/2021 le señalaba ante la posibilidad de interponer una reclamación: “(…) Indica a las autoridades que contacten con nosotros a través de nuestra sección de ayuda -en el apartado de Organismos Oficiales- para poder colaborar con ellos. Indícales, por favor, que nos faciliten el número de referencia, teléfono o email del anuncio. Así agilizaremos el proceso. Desde Milanuncios queremos ayudarte en todo lo posible. (…)” CUARTO. Constan aportados por la reclamante impresiones de pantalla en formato pdf de las conversaciones mantenidas con el vendedor a través de la web sobre los cartuchos de tinta: Reclamante: Pero si ya pagué el otro día y tenía que aceptar Vendedor: Si, pero ahora no me sale para aceptar 21 de julio R: Jolín, pues ahora no puedo volver a repetirlo V: ¿Por qué? R: Porque no tengo tarjeta de pago conmigo. V: Bueno cuando puedas 2 de agosto V: hola, te llamas A.A.A. R: Hola Es el nombre que puse como destinatario, ¿por? V: Ah, vale Porque han venido a por el paquete A continuación, figura la imagen del albarán que consta en el hecho probado 2. Me han dado esto y no sabía si eras tu. 14 de septiembre R: Hola He impreso 6 folios desde que me mandaste el cartucho: uno de prueba, otros 2 para billetes de avión y 3 ahora para unas notificaciones y de estos 3 uno ha salido a medias y los otros dos nada de nada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 V: Hola, en verano si no imprimes regularmente se secan Haz esto A continuación, figura captura de imagen QUINTO. ADEVINTA en correo electrónico remitido a la reclamante el 11/03/2022 señalaba que:”… Por otro lado, le confirmamos que ADEVINTA SPAIN está comprometida con sus usuarios y con la normativa de protección de datos, de tal modo que, en ningún caso se han facilitado por nuestra parte datos de carácter personal suyos al vendedor. Desde Milanuncios, se facilita al vendedor un código numérico sin referencia a ningún dato de carácter personal del comprador, que deberá escribir en el paquete que vaya a enviar al comprador y que será gestionado por la empresa de mensajería, en este caso SEUR, servicio externo e independiente contratado por ADEVINTA SPAIN para llevar a cabo el envío de los paquetes y que tratará los datos personales de compradores y vendedores conforme a su política de privacidad. Los hechos que usted relata relacionados con la actividad de la empresa de mensajería, son ajenos a los tratamientos de datos llevados a cabo por ADEVINTA SPAIN, al ser estos responsabilidad de la empresa de transporte utilizada (en este caso SEUR, S.A.). No obstante, debido a nuestra preocupación por la privacidad de los datos personales tratados en todos los procesos relacionados con nuestros portales, hemos procedido a entablar conversaciones con SEUR S.A., con el objetivo de asegurar y confirmar la privacidad de nuestros usuarios en estas transacciones. SEXTO. El 23/09/2021 ADEVINTA SPAIN, S.L.U. , sociedad que gestiona la plataforma Milanuncios.com, y SEUR GEOPOST, S.L.U. suscribieron en Barcelona Acuerdo Comercial para la prestación de servicios de transporte de mercancías. SEPTIMO. ADEVINTA en escrito de 14/03/2022 ha señalado que “…En este sentido, y como se observa en la previsión contractual, se exige al cesionario, en este caso, la empresa de mensajería, que actúe conforme a lo dispuesto en la normativa en protección de datos en el tratamiento de los datos facilitados para proceder a prestar el servicio solicitado por los usuarios. (…) Por tanto, confirmamos que Milanuncios en ningún momento facilita datos de carácter personal al comprador, si no únicamente información acerca del envío y un código de seguimiento del paquete (…) Igualmente, en ningún caso se facilitan los datos personales del comprador al vendedor, si no que al primero se le hace llegar un código que deberá escribir en el paquete que vaya a enviar al comprador y que será gestionado por la empresa de mensajería (…) En el caso que nos ocupa ha sido la empresa de mensajería, en este caso SEUR S.A., en calidad de responsable del tratamiento, la que conforme a lo señalado por la demandante, presuntamente ha facilitado sus datos de carácter personal al vendedor, en un albarán o similar en el que se figuran datos identificativos y su dirección postal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 Para más abundamiento, y conforme al principio de responsabilidad proactiva, Milanuncios se ha puesto en contacto en reiteradas ocasiones con SEUR S.A., instándole a revisar su sistema de envíos, en calidad de responsable del tratamiento, puesto algunos usuarios se habían quejado de que se recibían los datos de la otra parte al hacerse los envíos, sugiriendo que se optase por un medio que permitiese codificar o anonimizar los datos personales de los involucrados en la compraventa, de tal modo que ni el comprador tenga acceso a los datos del vendedor, ni viceversa. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El procedimiento administrativo se encuentra regulado en el Título IV, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el cual se regulan las bases del procedimiento para el ejercicio de la potestad sancionadora. En su artículo 64. Acuerdo de iniciación en los procedimientos de naturaleza sancionadora, se establece que: [El subrayado es nuestro] . “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
5. a)Identificación de la persona o personas presuntamente responsables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
6. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
7. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
8. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
9. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
10. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. Lo anterior, en concordancia con lo dispuesto en el Capítulo III, del Título Preliminar, de la Ley 40/2015, de 1 de octubre, de Régimen jurídico del sector Público (LRJSP), en el cual se establecen los principios de la potestad sancionadora, entre los que se encuentra el principio de responsabilidad, En su artículo 28, Responsabilidad, se señala que: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. (…)” La norma sigue el criterio vigente en nuestro ordenamiento jurídico conforme al cual es imprescindible la exigencia de culpabilidad para que nazca responsabilidad sancionadora lo que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La exigencia de responsabilidad sancionadora presupone la existencia de la conducta antijurídica descrita en el tipo sancionador y del elemento subjetivo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 infracción. La presencia de este elemento como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible para imponerlas. III En el caso presente, SEUR GEOPOST, S.L.U. ha manifestado en el trámite de alegaciones al acuerdo de inicio, que éste le ofrecía dudas debido a la existencia de determinadas incoherencias detectadas en el citado documento que esencialmente afectan a la validez del mismo, al no ser identificado correctamente el responsable de la infracción, a los efectos contemplados en el artículo 64.2
11. a)de la LPACAP. De esta forma, si bien en el Antecedente PRIMERO se señala que: “PRIMERO: Dña. A.A.A. (en adelante la reclamante) con fecha 02/02/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SEUR GEOPOST S.L.U. con NIF B82516600 (en adelante el reclamado). Los motivos en que basa la reclamación son los siguientes:”, Y, posteriormente, en la parte dispositiva del mismo se señala en su punto primero que: “Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a SEUR, S.A. con NIF A28985992, por la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
12. a)del citado RGPD. Y en el punto 5: “5. NOTIFICAR el presente Acuerdo a SEUR, S.A. con NIF A28985992, indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes.” Lo que provoca dudas sobre quien es el responsable y la exigencia de responsabilidad, puesto que SEUR, S.A., si bien es una mercantil del mismo grupo empresarial, no tiene relación alguna con los hechos objeto de reclamación, como se desprende además de la documentación aportada al expediente. Según reiterada jurisprudencia los principios que inspiran el orden penal se aplican, con ciertos matices, al Derecho Administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado. Entre esos principios tiene especial virtualidad el elemento o principio de culpabilidad. La Sentencia del Tribunal Constitucional (STC) 76/1990, de 26 de abril, (F.J. 8.B) señalaba que la presunción de inocencia tiene que ver con la prueba de la autoría de los hechos y, además, con la culpabilidad imputable al que, en su caso, los realiza, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 ya que toda resolución sancionadora, sea penal o administrativa, requiere a la par certeza de los hechos imputados, obtenida mediante pruebas de cargo, y certeza del juicio de culpabilidad sobre esos mismos hechos. En ese sentido, y ceñido al ámbito del procedimiento administrativo sancionador, cabe citar la sentencia del Tribunal Supremo, Sala tercera, de 24/06/1998 (Rec. 1776/1994), Fundamento Jurídico 2, que dice: “La responsabilidad personal se convierte en la base sobre la que se asienta el sistema punitivo ya que nadie puede ser condenado o sancionado sino por actos que, bien a título de dolo o de culpa, le puedan ser directamente imputados.” A tenor de las alegaciones formuladas y de la documentación aportada al expediente, SEUR, S.A., que figura en la parte dispositiva del acuerdo de inicio como responsable, está exento de responsabilidad, al no figurar como responsable del tratamiento en los hechos objeto del procedimiento y que son causa de la apertura del mismo. A estos efectos, se informa que, en la medida en la que el tratamiento de datos que es objeto de la reclamación, y que presuntamente resulta contrario al RGPD, no ha prescrito, nada impide a la AEPD, en relación con el citado tratamiento, proceder a la apertura de un procedimiento sancionador frente al sujeto responsable, la mercantil SEUR GEOPOST, S.L. Hay que señalar, que el tratamiento de datos personales sobre el que versa la reclamación formulada ante esta AEPD podría ser constitutivo de una infracción del artículo 5.1.
13. f)del RGPD y que el artículo 72 de la LOPDGDD califica la infracción del artículo 5.1.
14. f)del RGPD de muy grave, para la cual fija un plazo de prescripción de tres años. Respecto al cómputo del plazo de prescripción, el artículo 30 de la LRJSP dice que “comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.” Puesto que el tratamiento de los datos personales de la parte reclamante no es imputable a SEUR, S.A. contra quien en la parte dispositiva del acuerdo de inicio figura y se dirige este procedimiento sancionador, procede acordar el archivo del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a SEUR, S.A., con NIF A28985992, por una infracción del Artículo 5.1.
15. f)del RGPD, tipificada en el Artículo 83.5.
16. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a SEUR, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es