PS-00498-2023

1/6  Expediente N.º: EXP202301654 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en adelante, AEPD) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 11 de enero de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A. con NIF A82261280 (en adelante, la parte reclamada/ ZELERIS). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que era destinataria de un paquete cuya gestión de entrega correspondía a la parte reclamada, y que el mismo fue depositado en el ascensor comunitario del inmueble donde la parte reclamante tiene su vivienda, exponiendo sus datos postales y su número de teléfono, que figuraba en la etiqueta del paquete, a la vista de cualquier inquilino o visitante del inmueble. Señala que un vecino, a través de un grupo de WhatsApp de la Comunidad, avisó de que se había encontrado en el ascensor de la Comunidad el paquete y envió a dicho grupo una imagen de la etiqueta del paquete. Junto a la reclamación se aporta copia de la referencia de seguimiento del paquete y conversación de WhatsApp donde se publica una imagen del paquete y en cual se alerta de que el mismo fue abandonado en el ascensor comunitario. En la imagen del paquete se observa que figuran datos personales de la reclamante: nombre, apellidos, dirección postal y localidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13/02/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 13/03/2023 se recibe en esta Agencia escrito de respuesta al citado traslado manifestando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 - Sobre la aportación de informes técnicos y recomendaciones: ZELERIS incluye como documento anexo una circular interna elaborada por su equipo de seguridad. En este documento se detalla el protocolo denominado "entrega a titular", el cual establece de forma expresa lo siguiente: “RECORDAD LA OBLIGATORIEDAD DE LA SOLICITUD DE IDENTIFICACIÓN Y VERIFICACIÓN DE DNI EN TODAS AQUELLAS ENTREGAS DE EXPEDICIONES Y/O ENTREGAS MARCADAS COMO “ENTREGA A TITULAR”, EN CASO DE NO SER POSIBLE LA IDENTIFICACIÓN DE TITULAR DE LA EXPEDICIÓN, NO SE EFECTUARÁ LA ENTREGA. ASIMISMO, NO PODRÁ ENTREGARSE EN UNA DIRECCIÓN DISTINTA A LA INDICADA EN LA EXPEDICIÓN. Las incidencias reiteradas sobre este punto se propondrán para penalización por incumplimiento GRAVE del servicio requerido, con penalizaciones amparadas en la relación contractual.” Afirma que, en el caso específico de la reclamación, ZELERIS actúa como encargado del tratamiento de los datos personales, mientras que Telefónica de España S.A.U. y Telefónica Móviles España S.A.U. son los responsables del tratamiento. - Sobre la decisión adoptada respecto a la reclamación: Afirma que, ante la recepción de la reclamación, ZELERIS llevó a cabo un análisis interno del caso, identificando lo sucedido y verificando los hechos mencionados por la reclamante. Sostiene que dicho análisis fue realizado para comprender si hubo un incumplimiento de las normativas de protección de datos o una mala praxis por parte de su personal. - Sobre las causas de la incidencia: ZELERIS identificó que la causa principal de la reclamación radica en el uso indebido de los datos personales por un tercero ajeno a la compañía. Afirma que fue un vecino de la afectada quien compartió datos visibles en el paquete (como nombre, apellidos y dirección) en un grupo de WhatsApp. Señala que el trabajador de ZELERIS verificó la identidad de la titular del paquete a través de los datos personales proporcionados previamente, siguiendo las instrucciones de la reclamante para dejar el paquete en el ascensor comunitario. Sostiene que este tipo de entregas, denominadas “contacto cero”, se han adoptado desde el inicio de la pandemia de COVID-19 en marzo de 2020 como una práctica habitual y preferida por muchos destinatarios. Indica que los datos que aparecen en las etiquetas de los paquetes no difieren de los que suelen estar disponibles en los buzones de cualquier comunidad, por lo que no representan un tratamiento ilícito de datos personales. Además, argumenta que no puede ser considerada responsable del mal uso o difusión de los datos personales por parte de terceros, como el vecino señalado por la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 - Sobre las medidas adoptadas para prevenir incidencias similares: En respuesta al incidente y con el objetivo de evitar situaciones similares en el futuro, ZELERIS afirma haber implementado las siguientes medidas: - Se han actualizado y fortalecido los protocolos de trabajo relacionados con las entregas a titular. El equipo encargado de la distribución ha sido informado para extremar las precauciones en la ejecución de las entregas. TERCERO: Con fecha 22/03/2023 se dictó resolución por la presente autoridad a través de la cual se procedía a inadmitir a trámite la reclamación, al no constatar indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. CUARTO: Frente a dicha resolución, con fecha 20/04/2023 se interpuso, recurso de reposición interpuesto por la parte reclamante en la que manifestaba que no era cierto que hubiera indicado al repartidor a través del telefonillo que depositara el pedido en el ascensor, puesto que estaba fuera de su domicilio en ese momento, señalando tener soporte documental al respecto. Destaca que la parte reclamada no ha demostrado contar con su consentimiento para el tratamiento objeto de reclamación, y que además en los buzones de su edificio no aparecen datos personales, y mucho menos su número de teléfono, por lo que sí que se habría producido una revelación personal de sus datos a terceros al depositarse su envío en un espacio de acceso público. QUINTO: En relación con estas alegaciones, se dio trámite de audiencia a la parte reclamada, la cual respondió reiterando que el repartidor siguió las instrucciones de “la persona que atendió al telefonillo para darle acceso al edificio”. Si embargo, no se explicaba ni acreditaba el medio por el cual se comprobó que esta persona era la titular de los datos recogidos en el paquete, limitándose a indicar que “el trabajador encargado de realizar cada entrega cuenta de antemano con todos los datos personales del titular al que debe dirigirse, entre otros, nombre completo, apellidos y DNI. En este sentido, una vez verificada la identidad de la interesada, el trabajador procedió conforme a las instrucciones indicadas sin que nada pueda reprochársele”. Por último, destacaba que no es posible responsabilizar a la parte reclamada de la difusión posterior de los datos de la parte recurrente realizada por un tercero. SEXTO: En fecha 27/10/2023, se dictó resolución por parte de la AEPD, por la que estimaba el recurso de reposición. OCTAVO: Con fecha 7 de enero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5.
2. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el 30 de enero de 2025 la parte reclamada presentó escrito de alegaciones. DÉCIMO: Con fecha 27 de noviembre de 2025 se formuló propuesta de resolución, en la que se daba respuesta a las alegaciones aducidas. UNDÉCIMO: Con fecha 2 de diciembre de 2025 se presenta escrito solicitando ampliación del plazo para presentar alegaciones, a lo que se accede en fecha 9 de diciembre de 2025. DUODÉCIMO: Con fecha 19 de diciembre de 2025 se recibe en esta Agencia escrito de ZELERIS en el que aducía alegaciones a la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad del procedimiento El artículo 64.2 de la LOPDGDD, con relación a la duración de los procedimientos establece lo siguiente: “(…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones”. Por otro lado, el artículo 25.1.
3. b)de la LPACAP establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 “En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver, produciendo los siguientes efectos: (…)
4. b)En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95.” El artículo 21.1 de la LPACAP, después de establecer la obligación de la Administración de dictar resolución expresa y notificarla en todos los procedimientos, añade que, en los casos de caducidad del procedimiento, la resolución consistirá en la declaración de caducidad, con indicación de los hechos producidos y las normas aplicables. Por su parte, el artículo 95.3 de la LPACAP se ocupa de los efectos de la caducidad y la posibilidad de reabrir otro nuevo expediente si no ha prescrito la acción de la Administración, indicando lo siguiente: "3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado". El acuerdo de inicio del presente procedimiento sancionador fue dictado el 7 de enero de 2025, por lo que, el 7 de enero de 2026, al no haberse dictado resolución expresa que finalizara el mencionado procedimiento, se produjo la caducidad de este. Por tanto, de conformidad con el artículo 21.1 de la LPACAP, procede dictar resolución expresa por la que se declare la caducidad del procedimiento sancionador y el consecuente archivo de actuaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta, en tanto que no se produjera la prescripción de la presunta infracción. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE RESUELVE: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador en el marco del expediente EXP202301654 y proceder al ARCHIVO de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF A82261280. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la AEPD en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
5. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es