1/13 Expediente N.º: EXP202308358 RESOLUCIÓN DE ARCHIVO DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ECOSCOOTING DELIVERY, S.L. con NIF B65874893 (en adelante, ECOSCOOTING o la parte reclamada). Los hechos que se pusieron en conocimiento de esta autoridad eran: La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de entrega fue operada por la entidad reclamada quienes, sin su consentimiento, entregaron el paquete del que era destinatario y en el que figuraban sus datos identificativos, postales y su DNI en un local, al que la parte reclamante nunca había ido, ni había autorizado dicha entrega, exponiendo sus datos a terceros. Junto a la reclamación aporta copia de la información del envío, donde se especifica que el paquete fue entregado en ***EMPRESA.1 y comunicación referida a la necesidad de autorización para la entrega de un paquete a terceros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ECOSCOOTING, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Realizado el traslado de reclamación y solicitud de información con fecha 19/06/2023, la parte reclamada no remitió la información solicitada. TERCERO: Con fecha 10 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 De la reclamación presentada, así como de la documentación que junto a la misma se acompaña, podría inferirse que a pesar de que, la parte reclamada, tiene establecido un procedimiento en el que exige una preautorización para poder recibir el paquete un conserje/portero o vecino; en este caso, no consta que se haya obtenido el consentimiento de la parte reclamante para entregar el paquete a un tercero a través de dicho procedimiento. En dicho pedido figuraban datos personales de la parte reclamante que fueron puestos de manifiesto a terceros, sin que conste que a la parte reclamante le haya llegado su pedido. En fecha 27 de mayo de 2024, la parte reclamada presenta escrito de contestación a requerimiento de esta Agencia en el que, entre otras manifestaciones, expresa: - - - Que, revisada toda la documentación adjunta, la ha contrastado con el Departamento afectado dentro de la organización (en concreto, Costumer Service y legal), y ha comprobado el funcionamiento del sistema de respuesta ante reclamaciones por parte de usuarios. Que en este supuesto el repartidor que debía realizar la entrega del paquete a A.A.A. forma parte de una de las flotas subcontratadas por Ecoscooting Delivery para proceder a los repartos, en concreto la empresa ***EMPRESA.2. Adjuntan como Documento número 1 el contrato de prestación de servicios y anexo de subencargado de tratamiento con la empresa suministradora del producto (***EMPRESA.3) y como Documento número 2 el contrato de subencargado de tratamiento entre Ecoscooting Delivery y la flota encargada del reparto. Que Ecoscooting Delivery firma con todas las flotas externas un protocolo de obligado cumplimiento por parte de las mismas donde se establecen las medidas que han de llevarse a cabo por los repartidores para realizar su trabajo con la diligencia debida (adjunta protocolo como Documento número 3) y entre cuyas premisas se encuentran las siguientes (soló se recogen las que resultan de interés al caso): o El Prestador se obliga a que, tanto él mismo como sus empleados o subcontratistas cumplan con el presente código de conducta, confidencialidad y protección de datos que detallamos a continuación: 1) Con anterioridad a la entrega comprobar si el usuario que va a recibir la entrega, a través del email enviado por Ecoscooting con anterioridad, ha preautorizado la recogida por una tercera persona. 2) En el momento de la entrega el repartidor OBLIGATORIAMENTE ha de cumplir con estas premisas: (…)
- b)El paquete ha de entregarse en el domicilio del usuario receptor del mismo. Debe requerirse el nombre y apellido del Cliente y número de DNI o equivalente a la persona que recoge el paquete (tanto si es el usuario receptor como algún familiar o tercera persona que se encuentra en el domicilio en el momento de la entrega). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 - - - - - -
- f)Si el usuario receptor del paquete no se encuentra en su domicilio, se puede contactar con el mismo para que autorice la entrega al conserje o a un tercero, debiendo requerir el número de DNI para que quede constancia que consiente dicha entrega, mientras él se encuentra ausente de su domicilio.
- g)Si el usuario receptor del paquete no está en el domicilio ni es posible contactar con él, se deberá programar nueva entrega. NUNCA puede dejarse un paquete a un tercero sin autorización del usuario que debería recibirlo. Que desde Ecoscooting existe trazabilidad de las comunicaciones entre el equipo de costumer service y los usuarios tanto si estos se comunican por chat o por email. Que también existe trazabilidad del paquete pero la situación se complica cuando el repartidor de la flota no realiza de manera correcta su trabajo, no cumpliendo ni con el DPA firmado por la flota ni con el protocolo aplicable directamente a él, y realiza entregas a terceras personas no consentidas por el usuario receptor del paquete. La entrega no se realiza al usuario final pero a este le consta que el paquete ha sido entregado a un tercero (en este supuesto en un bar al lado de su domicilio). Que en el asunto tratado, desde Costumer service de Ecoscooting no se tenía constancia de que el paquete fue entregado a un tercero sin el consentimiento de A.A.A. puesto que el mismo, no presentó ningún tipo de reclamación a Ecoscooting y se finalizó la entrega como correcta. Que el repartidor no ha actuado de manera diligente y ha entregado el paquete a un tercero no consentido por el usuario final. Que esto implica que el repartidor y la empresa para la que trabaja han incumplido con el DPA firmado con Ecosccoting y a su vez con el anexo 5 donde se explica de manera detallada como deben realizarse las entregas de paquetería. Que Ecoscooting pone todos los medios para que los repartos se realicen de manera eficiente, asimismo, en el seguimiento del paquete se visualiza todo el recorrido que se hace con el mismo, así como la persona encargada de realizar su reparto. Que ante estas falsas entregas ha acordado con las flotas que se prescinda de estos empleados que no realizan su trabajo de manera profesional, poniendo en riesgo tanto a las flotas para las que trabajan como a Ecoscooting como operador logístico. Que desde el mes de agosto en Ecoscooting se ha procedido a iniciar la implementación de nuevas medidas de seguridad para que la confidencialidad de los datos de los usuarios quede protegida y para que los repartidores de las flotas que le prestan los servicios realicen su trabajo de manera profesional: La prueba piloto implantada en Valencia en agosto en la que se modificaba la caratula de los envíos pasando a prescindir del número de móvil de los usuarios en las mismas (dejando solo los últimos cuatro dígitos del teléfono) se está implantando al resto de España y se prevé que durante el año 2024 se consolide en todo España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 - - - - - - De esta manera, los datos que constaran en las carátulas de envío de los usuarios son Nombre y apellidos y dirección. Por otra parte, la prueba piloto iniciada en el mes de agosto donde los repartidores, para contactar al usuario final pueden utilizar un servicio de llamadas de terceros facilitado por Ecoscooting para realizar llamadas a través de la APP, se irá implementando paulatinamente en el resto de España, ciudad por ciudad. De esta manera el repartidor sigue sin tener el contacto del usuario final y todo se gestiona desde la App de Ecoscooting en la que quedará la trazabilidad de lo ocurrido con el paquete en caso de que haya alguna complicación en la entrega (la dirección esté incorrecta, el usuario no se encuentre en su domicilio y delegue en una tercera persona para recoger el paquete o el usuario no se encuentre en su domicilio y se programe una nueva entrega, etc). Desde Ecoscooting se prevé que paulatinamente todas las ciudades de España dispongan de estas dos medidas de seguridad. Asimismo, se está requiriendo a las flotas el cumplimiento del DPA firmado con Ecoscooting como del anexo 5 puesto que ellos son responsables de que sus repartidores tengan una formación básica en protección de datos y cumplan con los protocolos establecidos en materia de protección de datos y confidencialidad de los datos y pasen a tomar medidas disciplinarias con los empleados/as que no cumplan con las directrices establecidas en la empresa. Que en caso de que Ecoscooting detecte malas prácticas reiteradas de las flotas externas a las que contrata, rescindirá el contrato de prestación de servicios que tiene con las mismas por incumplimiento de las medidas de seguridad a las que se obligan a través de la firma del contrato de prestación de servicios y del DPA. Asimismo, las flotas están prescindiendo de los empleados que no cumplen con la Normativa de la empresa. Que las causas que han motivado la incidencia es la falta de profesionalidad del repartidor, que haciendo caso omiso a los protocolos establecidos, y de obligado cumplimiento así como la responsabilidad de dar cumplimiento a todas las obligaciones contenidas en el DPA firmado entre Ecoscooting y la flota para la que trabaja, ha realizado una entregada a un tercero no autorizado. Que esta mala práctica del repartidor solo es conocida por parte de Ecoscooting cuando el usuario final reclama (supuesto que no ha sucedido) o cuando se recibe una denuncia por parte de la Administración, en este caso la AEPD. Por lo que se ha optado desde Ecoscooting a implementar las siguientes medidas establecidas que resumen: o Contactar con la flota cada vez que uno de sus repartidores realice falsas entregas o entregas no preautorizadas para que tomen las medidas pertinentes para que este tipo de prácticas dejen de realizarse, ya que en el contrato firmado con Ecoscooting se obligan como subencargados de tratamiento a cumplir con las medidas técnicas, organizativas y de seguridad que se detallan en el DPA. Asimismo, también se obligan a que sus repartidores cumplan con el protocolo que se incluye como Anexo 5 a todos los contratos. o Desaparición del número de móvil completo en los envíos. o Que los repartidores solo puedan ponerse en contacto con el usuario final a través de un servicio ofrecido a través de la app de Ecoscooting. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 - - - - - - Que Ecoscooting Delivery SL a causa del volumen tan grande de repartos (tiene alrededor de 4.000.000 de usuarios dados de alta en su plataforma), se ha visto en la obligación de externalizar su servicio de reparto para poder dar un buen servicio a sus usuarios finales. Que con todas las flotas externas, Ecoscooting firma el contrato de subencargado de tratamiento que hemos aportado como Documento número 2 y tanto en las flotas externas como en la propia empresa existen protocolos a seguir por parte de los repartidores para que las entregas se realicen de manera correcta y no se vea afectada la confidencialidad y los datos personales de los usuarios que reciben los paquetes por parte de ***EMPRESA.4. Que aun con el compromiso adquirido por parte de Ecoscooting de adoptar las medidas organizativas y técnicas tanto en su implantación como en su utilización para conseguir un resultado óptimo, con medios que razonablemente pueden calificarse de idóneos y suficientes para su consecución, pueden surgir inconvenientes como el provocado a A.A.A. por parte de un repartidor que entrega un paquete a un tercero sin su consentimiento. Que los protocolos que se siguen en la actualidad en Ecoscooting Delivery SL y las medidas organizativas y técnicas instauradas a raíz de la entrada en vigor del RGPD y de la LOPDGDD son fiables, aun y así al delegar nuestros servicios a terceras compañías que a su vez contratan a sus empleados/as pierden la trazabilidad de las acciones llevadas a cabo por estos empleados y que con las medidas de seguridad que se están instaurando paulatinamente en todas las ciudades de España, si los repartidores tienen un acceso mucho más limitado a los datos personales de los usuarios finales (implementando que desconozcan el teléfono de los mismos y que realicen las llamadas a través de terceros desde la app implementada por Ecoscooting para tales acciones) la tasa de éxito en las entregas bien realizadas será mayor y el cumplimiento de las obligaciones impuestas en el DPA y el protocolo firmado con la Compañía para la que trabajan también. Que hay acciones de los repartidores que escapan del control de Ecoscooting. Cuando esto suceda, Ecoscooting notificará a la flota este tipo de conductas irresponsables para que tome las medidas convenientes con sus trabajadores, puesto que es en todo caso la flota, la que ha de cumplir con las medidas de seguridad especificadas en el contrato de prestación de servicios y DPA para asegurarse que sus trabajadores cumplen con el trabajo que se les delega. Que no existió autorización para entregar el paquete a un tercero autorizado. En este supuesto, el driver de la flota ***EMPRESA.2 incumplió el protocolo de reparto y realizó una entrega sin la diligencia debida”. Junto a su escrito aporta: - Contrato de encargado de tratamiento de Ecoscooting con ***EMPRESA.3 (encargado, a su vez de ***EMPRESA.5), (Este documento está redactado en inglés, y también contiene caracteres de lenguas orientales, y no se ha presentado la traducción del mismo en castellano). Figurando como fecha de firma de dicho contrato el 23/03/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 - Acuerdo de tratamiento de datos personales suscrito entre Ecoscooting y ***EMPRESA.2. (la flota externa a la que pertenecía el repartidor) Figurando como fecha de firma de dicho contrato el 08/11/2022. Protocolo a seguir por repartidores de flotas externas Nueva carátula de envíos en el que no figura el DNI de los clientes. En el Acuerdo de tratamiento de datos personales suscrito entre Ecoscooting y ***EMPRESA.2 figura, entre otra información, lo siguiente: En el apartado D (SEGURIDAD) de dicho documento se indica que: “El Subencargado de Tratamiento deberá implementar y mantener medidas técnicas y organizativas diseñadas para prevenir una Violación de Datos Personales. Dichas medidas tendrán en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, pero incluirán, como mínimo, las medidas especificadas en el Acuerdo de Cooperación, el presente DPA, su Apéndice 1 y su Apéndice 2, tal y como puedan ser modificados por Ecoscooting en cada momento”. Por otra parte, en el Apéndice primero, figura: “1.10 El Proveedor de Servicios Logísticos garantizará la confidencialidad de los datos obtenidos de Ecoscooting, y en ningún caso revelará los datos de Ecoscooting a terceros de ninguna forma sin el consentimiento por escrito de Ecoscooting” El protocolo a seguir por las flotas externas aportado (“doc_3_Anexo_5_ECOFLOTAS.pdf” relativo a “PROTOCOLO DE ENTREGA”) señala lo siguiente: “Este es un protocolo a seguir por los prestadores que Ecoscooting Delivery, S.L, contrata para el reparto de paquetes en todo el territorio nacional. El Prestador se obliga a que, tanto él mismo, como sus empleados o subcontratistas cumplan con el presente código de conducta, confidencialidad, y protección de datos que detallamos a continuación: 1) Con anterioridad a la entrega comprobar si el usuario que va a recibir la entrega, a través del email enviado por Ecoscooting con anterioridad, ha preautorizado la recogida por una tercera persona. 2) En el momento de la entrega el repartidor obligatoriamente ha de cumplir con estas premisas:
- a)no se puede dejar el paquete en el ascensor, felpudo, o cualquier área común del domicilio del cliente sin que este autorice.
- b)el paquete ha de entregarse en el domicilio del usuario receptor del mismo. Debe requerirse el nombre y apellido del cliente y número de DNI o equivalente a la persona que recoge el paquete (tanto si es el usuario receptor como algún familiar o tercera persona que se encuentra en el domicilio en el momento de la entrega). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13
- c)toda entrega debe tener un DNI que comprueba la realidad de esta junto a la geolocalización correcta.
- d)la geolocalización de las entregas debe ser exactas en el domicilio, a menos que el cliente solicite un cambio de dirección en el momento del reparto.
- e)no entregar paquetería a menores de edad, con independencia del parentesco con el cliente.
- f)si el usuario receptor del paquete no se encuentra en su domicilio, se puede contactar con el mismo para que autorice la entrega al conserje o a un tercero, debiendo requerir el número de DNI para que quede constancia que consiente dicha entrega, mientras él se encuentra ausente del domicilio.
- g)si el usuario receptor del paquete no está en el domicilio ni es posible contactar con él, se deberá programar nueva entrega. NUNCA puede dejarse un paquete a un tercero sin autorización del usuario que debería recibirlo.
- h)el cuidado del paquete es fundamental antes de la entrega, por ellos está prohibido rayar el paquete (…)”. En fecha 22 de octubre de 2024 se realizó un nuevo requerimiento de información en el que, entre otros, se solicitó, entre otros aspectos, traducción jurada del contrato entre Ecoscooting y ***EMPRESA.3, documentación acreditativa de las gestiones realizadas con el Costumer Service y Legal en relación con la reclamación formulada por A.A.A., así como acreditación de las gestiones realizadas por la flota de reparto respecto al repartidor en cuestión. El 20 de noviembre de 2024 en contestación al segundo requerimiento la parte reclamada se recaba la siguiente información: – Se adjunta traducción jurada al castellano de la versión original en idioma inglés del contrato de prestación de servicios (documento “DOC 1 contrato ***EMPRESA.3ecoscooting.pdf”), sin que conste que se haya aportado la traducción del anexo de subencargado de tratamiento con la empresa suministradora del producto (***EMPRESA.3). En la página 50/56 del documento original en inglés en el apartado “DELIVERIES” aparece un cuestionario hecho a ECOSCOOTING. En el subapartado 3 (“Delivery attemps”) en la pregunta: “Do they deliver to neighbors or to any other address not indicated by the client? (¿Hacen entrega a vecinos o a cualquier otra dirección no indicada por el cliente?)” A lo cual se responde: “Only if the client authorizes it (Sólo si el cliente lo autoriza)”. - Se aportan copia de las gestiones realizadas con el Customer Service, en donde se observa que se hicieron gestiones para saber la flota y lo que había pasado, obteniendo como respuesta los datos del “conductor que realizó la entrega B.B.B. la localidad y la flota ***EMPRESA.2. y envío POD que confirmaría la entrega en el Bar reclamada por el cliente”. Asimismo, se señala que “la empresa ***EMPRESA.2. menciona el procedimiento que sigue ante falsas entregas: “Está prohibido la entrega a terceros sin el consentimiento del cliente, le ha hecho una advertencia al chófer si esto vuelve a pasar podrá perder el código postal incluso el trabajo (…), se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 suspenderá al driver por cualquier mala praxis realizada, la primera advertencia 1 o 2 semanas sin cargar, y se repite la suspensión definitiva del driver”. - Se aporta copia del contrato suscrito entre la empresa de la flota de reparto (***EMPRESA.2.) y el repartidor que realizó la entrega en cuya cláusula SÉPTIMA se prevé que: “El Prestador, o las personas que pudiera tener legalmente contratadas, es el responsable de hacer la ruta de entrega de paquetes que le corresponda. Para ello, será responsable de las entregas deficientes o pérdidas de los paquetes asignados, debiendo asumir las posibles penalidades impuestas (…), por este motivo. No podrán entregar ningún paquete a un tercero, sin la debida autorización, siendo responsable por los mismos conceptos que en el párrafo anterior”. QUINTO: Con fecha 7 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó, el 21 de febrero de 2025, escrito de alegaciones en las que, entre otros aspectos, manifestaba lo siguiente: - Reiteraba la existencia de medidas y protocolos por los que se prohibía a los repartidores la entrega de paquetes a terceros no autorizados, así como la implementación de otras medidas orientadas a garantizar la protección de los datos personales de los clientes a futuro. En concreto: “ 1. La obligación contractual de las flotas subcontratadas de cumplir con la normativa de protección de datos, incluyendo la prohibición explícita de entregar paquetes a terceros no autorizados. 2. Un protocolo de entrega que exige la verificación obligatoria de identidad y el consentimiento previo para entregas a terceros. 3. Un sistema de seguimiento de incidencias para garantizar la trazabilidad de las comunicaciones entre los repartidores y el servicio de atención al cliente. 4. La recopilación de la menor cantidad de información posible: En la etiqueta del paquete no figura el DNI del destinatario (…). 5. Medidas correctivas inmediatas, incluyendo acciones contra los repartidores que no cumplan con la normativa, como se hizo en este caso con ***EMPRESA.2 (…). 6. (…) A partir de septiembre de 2023, se han implantado gradualmente diversas medidas de seguridad para la protección de los datos personales de los destinatarios en todas las regiones de España, concretamente: .a Eliminación de los números de teléfono completos en las etiquetas de envío para minimizar divulgaciones no autorizadas (…). .a (…) para la prestación del servicio de entrega a través de la aplicación de Ecoscooting, incluso se muestra un recordatorio sobre la cuestión de la preautorización en nuestra APP (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 (…) Se ha implementado la gestión del proveedor de servicios de distribución (DSP) - Respecto del protocolo de entrega: exigimos que el repartidor contacte al cliente en el 100 % de los casos si este no se encuentra en el lugar de entrega. Además, se requiere su consentimiento o autorización en caso de que el paquete vaya a ser entregado en otra ubicación. Reuniones semanales y comunicación periódica con el DSP relativa a la normativa aplicable y exigible de protección de datos. La reunión semanal más reciente tuvo lugar el 13/02/2025, y el ticket marcado como "externo" corresponde a nuestros contratistas de flota”. Aseguraba que la actuación del conductor, contraviniendo los protocolos existentes era la que había provocado la entrega a un tercero no autorizado. SÉPTIMO: Con fecha 12 de noviembre de 2025 se formuló propuesta de resolución proponiendo: - Que por la Presidencia de la Agencia Española de Protección de Datos se proceda al archivo de las actuaciones seguidas contra ECOSCOOTING DELIVERY, S.L., con NIF B65874893, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. No constan alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 10 de mayo de 2023, un repartidor hizo entrega de un paquete cuyo destinatario era el reclamante a un tercero (***EMPRESA.1), sin contar con el consentimiento expreso del destinatario final. En la etiqueta del paquete figuraban datos personales del destinatario, concretamente, su nombre y apellidos, dirección y número de teléfono. SEGUNDO: El repartidor que realizó la entrega del paquete formaba parte de una de las flotas subcontratadas por ECOSCOOTING para proceder a los repartos, en concreto la empresa ***EMPRESA.2 (***EMPRESA.2), con quien ECOSCOOTING contaba con un contrato suscrito el 8 de noviembre de 2022. TERCERO: En el contrato de 8 de noviembre de 2022 entre ***EMPRESA.2 y ECOSCOOTING se establecen las condiciones aplicables al tratamiento de datos personales en el marco de la cooperación empresarial entre ambas partes en virtud del contrato de prestación de servicios de reparto flota ("Acuerdo de Cooperación"). CUARTO: En el apartado 1.10 del apéndice 1 del mencionado contrato figura una cláusula que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 “1.10 El Proveedor de Servicios Logísticos garantizará la confidencialidad de los datos obtenidos de Ecoscooting, y en ningún caso revelará los datos de Ecoscooting a terceros de ninguna forma sin el consentimiento por escrito de Ecoscooting”. QUINTO: En el contrato suscrito entre ***EMPRESA.2 y el repartidor que realizó la entrega a un tercero no autorizado figura: “(…) No podrán entregar ningún paquete a un tercero, sin la debida autorización(…)”. SEXTO: ECOSCOOTING aportó, en el marco de las actuaciones previas de investigación, copia del documento denominado “Anexo 5 (Protocolo de entregas/Delivery Protocol)” en el que en el que se detallan las instrucciones “a seguir por los Prestadores que Ecoscooting Delivery SL contrata para el reparto de paquetes en todo el territorio nacional”, entre ellas la siguiente: “
- g)Si el usuario receptor del paquete no está en el domicilio ni es posible contactar con él, se deberá programar nueva entrega. NUNCA puede dejarse un paquete a un tercero sin autorización del usuario que debería recibirlo”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ECOSCOOTING realiza, entre otros tratamientos, la recogida, consulta, utilización y acceso de los datos personales de clientes, tales como: nombre, apellidos, DNI, NIE y/o Pasaporte, domicilio postal y número de teléfono. ECOSCOOTING realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales categorizada como una brecha de confidencialidad por cuanto los datos personales de la parte reclamante (tales como nombre y apellidos, domicilio postal) fueron expuestos a un tercero, al recepcionar un envío del que aquel era destinatario. III Contestación a las alegaciones al acuerdo de inicio Cabe estimar las alegaciones efectuadas por la parte reclamada relativas a la existencia de medidas destinadas a evitar la entrega de paquetes a terceros no autorizados, así como a que la actuación del conductor, contraviniendo los protocolos existentes, era la que había provocado la entrega a un tercero no autorizado. Se remite, a estos efectos, a la fundamentación contenida en el fundamento de derecho IV de este documento. IV Principio de integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, consta la entrega de un envío a un tercero distinto del destinatario, sin que dicha entrega haya sido previamente acordada con este último ni mediara autorización expresa por su parte para ello. Ello evidencia la existencia de una brecha de la confidencialidad de los datos personales producida el 10 de mayo de 2023. No obstante, tal y como se ha expuesto en el fundamento de derecho anterior, se ha comprobado que la entrega a un tercero no autorizado se produjo como consecuencia de que el repartidor obviara las instrucciones expresas en contrario facilitadas tanto por ***EMPRESA.2 (empresa para la que trabajaba) como por ECOSCOOTING (empresa en nombre de quien se realizó la entrega). Así, en el contrato que el repartidor tenía suscrito con ***EMPRESA.2 figuraba expresamente en la cláusula séptima que no podía entregar ningún paquete a un tercero sin contar con la debida autorización. De la misma manera que en el contrato suscrito entre ***EMPRESA.2 y ECOSCOOTING de 8 de noviembre de 2022 consta en el apéndice una cláusula relativa a garantizar la confidencialidad de los datos, y, en particular, su no acceso por parte de terceros, sin contar con previa autorización. Por otra parte, se subraya que en el contrato suscrito entre ECOSCOOTING y ***EMPRESA.3 suscrito el 23 de marzo de 2021 (de la que ECOSCOOTING era, a su vez, encargado del tratamiento) recogía la política de esta última respecto a las entregas a terceros no autorizados. Así, en el subapartado 3 se señala que ECOSCOOTING únicamente realiza entrega a terceros cuando existe autorización por parte del destinatario. Asimismo, consta en el expediente un protocolo de entregas de ECOSCOOTING por el que establecería a sus colaboradores instrucciones específicas sobre el reparto de los paquetes. Por el mismo, además de prohibir las entregas en zonas comunes, se establece la necesidad de contactar con el destinatario del paquete, cuando este no se encuentre en el domicilio, para que este autorice la entrega a un tercero. Se especifica, además, que “si el usuario receptor del paquete no está en el domicilio ni es posible contactar con él, se deberá programar nueva entrega. NUNCA puede dejarse un paquete a un tercero sin autorización del usuario que debería recibirlo”. Además, tal y como obra en el expediente, desde que tuvieron lugar los hechos objeto del presente procedimiento sancionador, ECOSCOOTING ha ido adoptando nuevas medidas destinadas a garantizar la protección de los datos personales de sus clientes. Llegados a este punto, se señala que el artículo 28.10 del RGPD establece que: “Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Atendiendo a lo anterior, revisada la documentación obrante en el expediente, no se aprecia que quepa la imputación de la infracción del artículo 5.1
- f)del RGPD a ECOSCOOTING, en la medida en que esta contaba con instrucciones, esto es, medidas a efectos de garantizar la integridad y confidencialidad de los datos en los términos señalados por el mencionado artículo, sobre cómo debía realizarse la entrega que no fueron respetadas por el repartidor, pasando este a determinar fines y medios. Por lo tanto, de acuerdo con la legislación aplicable, por la Presidencia de la Agencia Española de Protección de Datos, SE RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado contra ECOSCOOTING DELIVERY, S.L., con NIF B65874893, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ECOSCOOTING DELIVERY, S.L., con NIF B65874893. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el 926-250625 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es