1/13 Expediente N.º: EXP202400731 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de diciembre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GENERAL LOGISTICS SYSTEMS SPAIN, S.A. con NIF A61441523 (en adelante, la parte reclamada/GLS). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que adquirió un ordenador portátil a la entidad MEDIAMARKT. Señala que, al tener problemas con la batería del ordenador, depositó el mismo en un establecimiento de dicha entidad para que se procediera a su reparación. Manifiesta que no pudo realizar una copia de seguridad del contenido del ordenador, con información personal de la parte reclamante, dada la avería del ordenador. y que, cuando le indicaron que, para proceder a la reparación, debía resetear el ordenador, lo que supondría la pérdida de la información contenida en el mismo, solicitó la devolución del ordenador, indicándole MEDIAMARKT que el ordenador le sería entregado por la empresa GLS, en fecha 20 de diciembre de 2022. Dado que en dicha fecha no se le entregó el paquete se puso en contacto en diversas ocasiones con MEDIAMARKT quienes, en fecha 20 de enero de 2023 le indicaron que finalmente GLS había localizado el paquete del que era destinataria y se lo facilitaría. En fecha 23 de enero de 2023 recibió en su domicilio un paquete con un ordenador que no era el suyo, sino de otra cliente de la parte reclamada, figurando los datos de dicho tercero en el parte de reparación. Se puso en contacto de nuevo con MEDIAMARKT y estos le indicaron que se trató de un cruce de etiquetas de envío y que procederían a través de SEUR a recoger el ordenador erróneamente facilitado, y le remitirían su equipo, si bien no se produjo la restitución de su portátil, planteando reclamaciones ante MEDIAMARKT y GLS, sin que le dieran otra solución que el abono del importe del portátil, si bien el mismo se ha extraviado, conteniendo información personal de la parte reclamante. Junto al escrito, se aporta: factura de compra del portátil, imagen de intento de copia de seguridad del contenido del portátil con ficheros con datos personales, que no se pudo realizar en su totalidad por la avería del portátil; documentación relativa a la reparación del ordenador y recogida por parte de GLS; correos intercambiados con MEDIAMARKT y GLS en relación al paradero del portátil; imágenes del portátil de otra cliente entregado a la parte reclamante, con datos de dicha cliente; denuncia presentada ante la Guardia Civil y llamadas realizadas al servicio de atención al cliente de MEDIAMARKT. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 adelante LOPDGDD), se dio traslado de dicha reclamación a GLS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: EL 19 de febrero de 2024, en escritos con registro de entrada REGAGE24e00013052078 y REGAGE24e00013052230, la parte reclamada responde a esta Agencia: “[…] con fecha 19 de diciembre de 2022 recibimos un encargo de nuestro cliente, MediaMarkt Online S.A.U (en adelante MediaMarkt) con el número de expedición ***REFERENCIA.1, que consistía en el envío de un paquete desde las instalaciones del cliente en Pinto (Madrid) hasta el domicilio de la reclamante, en ***LOCALIDAD.1. Se adjunta el Contrato de Prestación de Servicios de Transporte suscrito entre las partes el 27 de octubre de 2022 como DOCUMENTO Nº1 y el histórico de esta expedición como DOCUMENTO Nº2. El referido paquete tuvo un punteo en nuestras instalaciones de San Fernando de Henares (Madrid) el 19 de diciembre de 2022, a las 19:21 horas. Sin embargo, por motivos que desconocemos, tras este punteo se pierde la referencia del paquete por nuestras cintas y no sale a reparto. Semanas más tarde, al no localizarse el paquete con el número de expedición ***REFERENCIA.1 recibimos la reclamación de MediaMarkt para que el paquete fuera entregado a la destinataria. Es por ello que el 16 de enero de 2023 se solicitó información al cliente para intentar localizar dicho paquete, con el fin de poder verificar si se encontraba en el Departamento de “Mercancía Sin Identificar” […] El 17 de enero de 2023 MediaMarkt informó a nuestro Departamento de ATC que la mercancía buscada era un “portátil Lenovo ***REFERENCIA.2”. Dicha información se remitió al Departamento de Seguridad, que el día 19 de enero nos informó que el paquete enviado por MediaMarkt había sido localizado en Mercancía Sin Identificar. De este modo, en Mercancía Sin Identificar habrían vuelto a guardar la caja del portátil en su caja original de MediaMarkt y lo habrían cerrado con cinta americana de GLS, pegaron una nueva etiqueta con los datos de la expedición ***REFERENCIA.1 y lo sacaron a reparto el día 20 de enero de 2023, siendo finalmente entregado a la reclamante en la mañana del 23 de enero de 2023. Acompañamos el hilo de correos cruzados entre MediaMarkt y nuestros Departamentos de Atención al Cliente y Seguridad como DOCUMENTO Nº3. Posteriormente, el 1 de febrero de 2023 volvemos a tener noticias de MediaMarkt en relación con este envío, poniendo de manifiesto el cliente que la destinataria habría recibido un portátil que no era suyo, constando en el interior de la caja de MediaMarkt con sus datos, la caja de un portátil similar, a nombre de “A.A.A.”. Por ello, se abrió la correspondiente investigación por parte de GLS. Nuestro Departamento de Seguridad indicó que subió la fotografía de la caja del portátil localizada en Mercancía Sin Identificar al Drive habitual y que se identificó dicha caja como el paquete que MediaMarkt estaba buscando en relación con la expedición ***REFERENCIA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 CUARTO.- Que al respecto del contenido de la expedición ***REFERENCIA.1 que debía ser entregado a la reclamante, se hace necesario por nuestra parte realizar una serie de apreciaciones: - Nuestra entidad sólo acepta paquetes cerrados y en ningún caso se ocupa del embalaje de los mismos, por lo que su contenido es desconocido tanto para GLS como para nuestras empresas colaboradoras. Por tanto, cuando GLS recibe el paquete de MediaMarkt (que, además, como es costumbre en el sector tecnológico, lleva doble embalaje o “térmica”, es decir, la caja del comercio y dentro, la del fabricante del producto), no sabe que dentro va un portátil y menos aún si este es nuevo o tiene información y datos personales en su interior. - En relación con esto último, debemos señalar que GLS excluye expresamente en sus Términos y Condiciones lo siguiente: “Mercancías cuyo valor venga determinado por su contenido y cuya pérdida o deterioro podría causar elevados daños colaterales (por ejemplo, soportes de datos con información confidencial, documentación, etc.)”. Es evidente, por tanto, que de conocer nuestra entidad que el paquete contenía un ordenador con diversos gigabytes de información de la reclamante, habría efectuado las reservas oportunas a su transporte al cliente. Para nuestra entidad el contenido era desconocido, era un paquete dentro de los cientos de miles de paquetes que se introdujeron en nuestra red nacional durante ese día 19 de diciembre de 2022. Que se pierda o destruya cualquier paquete durante su transporte es sin duda una cuestión indeseable para nuestra entidad y que tratamos de evitar por todos los medios, sea cual sea su contenido y valor. Sin embargo, como en cualquier negocio, este tipo de siniestros pueden llegar a ocurrir. Ninguna precaución o seguridad adicional se nos requirió para el transporte de este paquete y no se nos puede imputar una responsabilidad diferente a la que asume GLS en tanto que porteador, en virtud de la legislación en materia de transporte terrestre de mercancías, siendo indiferente en este caso el hecho de que en el interior del paquete hubiera un portátil con información personal de la destinataria (y esto suponiendo que efectivamente GLS llegase a recibir de MediaMarkt el portátil de B.B.B.). Que en cuanto al paquete que B.B.B. recibió y que era propiedad de A.A.A., no creemos que esté acreditado que se trate de un error por parte de GLS. En primer lugar, ese portátil a nombre de A.A.A. se encontraba en nuestras instalaciones porque previamente había sido remitido por MediaMarkt. Habida cuenta que no se ha localizado ningún envío de ese cliente del que fuera destinataria A.A.A. y a MediaMarkt tampoco le consta haber encomendado a GLS ese transporte, está claro que MediaMarkt envió dicho paquete por error a nuestra entidad pues, a la vista de las fotos que aporta al expediente la reclamante, había contratado el transporte con otra empresa de transporte. Igualmente, no consideramos relevante que en el paquete remitido a la reclamante figurase una etiqueta de otra entidad a nombre de A.A.A.. Esa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 etiqueta no era de GLS, ni correspondía a un envío nuestro, posiblemente el operario, si llegó a ver dicha etiqueta, pensase que se trataba de alguna devolución de un portátil que previamente había sido remitido a otra persona por otra entidad del sector. QUINTO.- Sin perjuicio de lo expuesto en los puntos anteriores, es posible que se produjera un error por parte del operario de Mercancía Sin identificar y que este no identificase correctamente el portátil y la referencia que le había pedido buscar MediaMarkt. Sea como fuere y pese a que no está claro si efectivamente se produjo un error interno por parte de GLS, nuestra entidad ha optado por implementar una serie de medidas adicionales para evitar que en el futuro se pudieran producir errores de esta clase. De este modo, por parte de GLS se ha reforzado el procedimiento interno para la gestión de la mercancía sin identificar/sin manifestar, el cual adjuntamos como DOCUMENTO Nº4. Así a las medidas ya previstas con anterioridad, consistentes en subir las fotos correspondientes de la mercancía sin identificar a un fichero Drive al que tienen acceso las empresas colaboradoras y pedir siempre y sin excepción que aporten imei o número de serie o fabricación del producto para comprobar que corresponde exactamente con el reclamado, se ha añadido un nuevo requisito, con el que garantizar una doble verificación por parte del cliente. De este modo, en adelante, en aquellos casos en que se localice la mercancía que se corresponda con los datos de identificación (como la descripción de embalaje) y los números de referencia aportados por el cliente (como el número de fabricación o IMEI), el Departamento de Averías remitirá fotos del producto al remitente para que este confirme que esa es su mercancía, así como que aporte instrucciones sobre si se debe sacar a reparto o devolver a origen. Asimismo, por parte de los responsables del Departamento de Mercancía Sin Identificar se ha concienciado a su personal para cuando manipulen los paquetes en busca de mercancía perdida, a fin de que tomen todas las cautelas necesarias para evitar que se pueda producir cualquier error en la identificación, así como que se les ha recordado el protocolo ya establecido para el reembalaje y reetiquetado de los paquetes que se sacan a reparto en dicho departamento.” CUARTO: Con fecha 6 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 De la respuesta de la parte reclamada, del 25 de junio de 2024, REGAGE24e00047089685, a la que adjunta “los diversos documentos que recogen nuestra operativa a seguir con carácter general durante el procedimiento de cualquier envío a través de nuestra red” entre los que se incluye el “Procedimiento mercancía sin identificar/manifestar”, se obtiene la siguiente información relevante: 1. El 19 de diciembre de 2022, MediaMarkt envió a la reclamante el paquete con número de expedición ***REFERENCIA.1 desde Pinto a ***LOCALIDAD.1 en Madrid. 2. El 19 de diciembre de 2022, ese paquete entró en las instalaciones de la parte reclamada en San Fernando de Henares (Madrid), a las 19:21 horas. Sin embargo, por motivos desconocidos, tras este punteo se pierde la referencia del paquete y no sale a reparto. 3. El 16 de enero de 2023 la parte reclamada solicitó información a MediaMarkt para intentar localizar dicho paquete y verificar si se encontraba en el Departamento de “Mercancía Sin Identificar”. 4. El 17 de enero de 2023 MediaMarkt informó que la mercancía buscada era un “portátil Lenovo ***REFERENCIA.2”. 5. El día 19 de enero el departamento “Mercancía Sin Identificar” informó que había identificado el paquete. En las instalaciones de la parte reclamada se volvió a guardar la caja del portátil en su caja original de MediaMarkt, se cerró con cinta americana de GLS con una nueva etiqueta con los datos de la expedición ***REFERENCIA.1 y se sacó a reparto el día 20 de enero de 2023, siendo finalmente entregado a la reclamante en la mañana del 23 de enero de 2023. 6. El 1 de febrero de 2023 MediaMarkt informa que la destinataria habría recibido un portátil que no era el suyo, sino un portátil similar, a nombre de “A.A.A.”. 7. De la correspondiente investigación de GLS se extrajo que la fotografía de la caja del portátil localizada en “Mercancía Sin Identificar” se identificó (de forma errónea) como el paquete que MediaMarkt estaba buscando en relación con la expedición ***REFERENCIA.1. 8. La parte reclamada manifiesta que si el portátil a nombre de A.A.A. (sin un número de expedición en el sistema de GLS) se encontraba en sus instalaciones era porque previamente había sido remitido por MediaMarkt. Habida cuenta que no se localizó ningún envío de MediaMarkt del que fuera destinataria A.A.A. y a MediaMarkt tampoco le consta haber encomendado a GLS ese transporte, está claro que MediaMarkt envió dicho paquete por error a nuestra entidad pues, a la vista de las fotos que aportó al expediente la reclamante, MediaMarkt había contratado el transporte con otra empresa de transporte (nótese que lleva etiqueta de TIPSA). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 9. Manifiesta que existe evidencia de que el paquete cuyo transporte le encomendó MediaMarkt el 19 de diciembre de 2022 con el número de expedición ***REFERENCIA.1 pasó por sus instalaciones. Ahora bien, GLS desconoce el contenido de dicho paquete, no pudiendo acreditar si el contenido de dicho envío era el portátil de B.B.B., o si se trataba de otro producto distinto. 10. En relación con la reclamación añade las siguientes apreciaciones: Sólo acepta paquetes cerrados y en ningún caso se ocupa del embalaje, por lo que su contenido es desconocido para GLS. GLS excluye expresamente en sus Términos y Condiciones lo siguiente: “(…)” “Ninguna precaución o seguridad adicional se nos requirió para el transporte de este paquete y no se nos puede imputar una responsabilidad diferente a la que asume GLS en tanto que porteador, en virtud de la legislación en materia de transporte terrestre de mercancías, siendo indiferente en este caso el hecho de que en el interior del paquete hubiera un portátil con información personal de la destinataria. Acepta la posibilidad de que su operario de “Mercancía Sin Identificar” no identificase correctamente el portátil y la referencia que le había pedido buscar MediaMarkt, aunque considera que no está claro si efectivamente se produjo un error interno por parte de GLS. Constatado que hubo un error previo de MediaMarkt, no es menos cierto que parece que hubo una equivocación interna por parte de GLS, al enviar a la destinataria un paquete que no era suyo, se procedió a revisar los procedimientos internos conjuntamente con los Departamentos de Legal, Seguridad y Calidad a fin de adoptar las medidas tendentes a evitar que este tipo de equivocaciones vuelvan a producirse. La parte reclamada manifiesta que ha optado por implementar medidas adicionales: C/ Jorge Juan, 6 28001 – Madrid En febrero de 2024 ha reforzado el procedimiento interno para la gestión de la mercancía sin identificar/sin manifestar, por el que además de subir las fotos correspondientes de la mercancía sin identificar a un fichero Drive al que tienen acceso las empresas colaboradoras y pedir siempre y sin excepción que aporten imei o número de serie o fabricación del producto para comprobar que corresponde exactamente con el reclamado, se ha añadido un nuevo requisito, con el que garantizar una doble verificación por parte del cliente. De este modo, en adelante, en aquellos casos en que se localice la mercancía que se corresponda con los datos de identificación (como la descripción de embalaje) y los números de referencia aportados por el cliente (como el número de fabricación o www.aepd.es sedeaepd.gob.es 7/13 IMEI), el Departamento de Averías remitirá fotos del producto al remitente para que este confirme que esa es su mercancía, así como que aporte instrucciones sobre si se debe sacar a reparto o devolver a origen. […]“por parte de los responsables del Departamento de Mercancía Sin Identificar se ha concienciado a su personal para cuando manipulen los paquetes en busca de mercancía perdida, a fin de que tomen todas las cautelas necesarias para evitar que se pueda producir cualquier error en la identificación, así como que se les ha recordado el protocolo ya establecido para el reembalaje y reetiquetado de los paquetes que se sacan a reparto en dicho departamento.” “Finalmente, de la mano de la Delegada de Protección de Datos, junto con los responsables del Departamento de Seguridad, se han acordado nuevas medidas con las que evitar en lo posible cualquier tratamiento de datos equivocado de paquetes que pudieran encontrarse en Mercancía Sin Identificar. Así, por un lado, se ha vuelto a reforzar el procedimiento a seguir por dicho Departamento añadiendo un nuevo párrafo por el que se indica que “En caso de que se saque a reparto o devuelva a origen un paquete recuperado en Mercancía Sin Identificar, se deberán eliminar la etiqueta o etiquetas originales que, en su caso, llevara el envío.” De este modo se persigue que, en caso de un indeseable error, los datos personales de un destinatario no puedan ser conocidos por otra persona distinta.” “Igualmente se ha dado instrucción para que todos los emails intercambiados con los clientes relativos a un determinado envío que se encuentre en mercancía sin identificar se archiven, de cara a poder acreditar que por parte de los Departamentos involucrados de GLS se han seguido todos los pasos correctos con el cliente, según se indican en el procedimiento.” “Finalmente, se ha acordado realizar, junto con el Departamento de Calidad, una auditoría interna en próximas fechas al Departamento de Seguridad y en concreto al área de Mercancía Sin Identificar/Averías, a fin de comprobar que se vienen poniendo en práctica todas las medidas recogidas en el procedimiento.” En la “Diligencia GLS exclusiones mercancía” de 28 de octubre de 2024 se evidencia que en los Términos y Condiciones publicados en la web de la parte reclamada el 25 de octubre de 2022 se incluía como no aceptables: “Mercancías cuyo valor venga determinado por su contenido y cuya pérdida o deterioro podría causar elevados daños colaterales (por ejemplo, soportes de datos con información confidencial, documentación, etc.)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 SEXTO: Con fecha 28 de enero de 2025, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por dos presuntas infracciones del artículo 5.1.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.