1/38 Expediente N.º: EXP202318430 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de septiembre de 2022, se recibió en la Agencia Española de Protección de Datos Informe N.º ***INFORME.1 de la POLICÍA LOCAL DEL AYUNTAMIENTO DE LA PALMA (en adelante, la POLICIA LOCAL). La POLICÍA LOCAL aporta informe de fecha 22 de septiembre de 2022 elaborado por agentes de la Policía Local, en el que se pone de manifiesto el hallazgo en un solar de correspondencia abandonada con datos personales, hasta un total de 1.404 cartas, con el logo de la empresa HISPAPOST S.A(en adelante HISPAPOST), la cual fue contactada por los agentes, reconociendo dicha entidad que la correspondencia encontrada debía haber sido repartida por empleados de CORREO INTELIGENTE POSTAL SL (en adelante CI POSTAL), sin entender el motivo de que no se llevara a cabo dicho reparto y fuera abandonada la correspondencia. Las cartas pertenecían a varias empresas remitentes, entre otras La Caixa, BBVA, Energía XXI y Endesa. Que el día 13 de septiembre de 2022 acudió a las dependencias de la POLICIA LOCAL una persona representante de la empresa CI POSTAL (A.A.A.) y al serle mostradas las cartas encontradas reconoció el logo de su empresa, afirmando en su declaración que desconocía el motivo por el que la correspondencia no había sido repartida, las cartas pertenecían a los meses comprendidos entre febrero y mayo de 2022. Esta persona afirma que esa correspondencia debió ser repartida entre cuatro trabajadores, dos operarios que ya no estaban trabajando y dos que sí continuaban y que habían repartido su parte pertinente, que al tratarse de correspondencia ordinaria es imposible averiguar qué repartidor de los cuatro dejó de hacer su trabajo. En fecha 22 de septiembre de 2022 acude a las dependencias policiales esta misma persona representante de CI POSTAL tras ser requerida nuevamente por la policía, en este acto se le hace entrega de la correspondencia, un total de 1404 cartas de las empresas remitentes con la siguiente distribución: La Caixa (596 cartas), BBVA (57 cartas), Naturgy (33 cartas), Energia XXI (295 cartas), Imagin (59 cartas), Endesa (307 cartas), MasMovil(1 carta), Telefax (3 cartas), Totem (3 cartas), Laboral Kutxa(1 carta), PSA (1 carta), Yoigo (1 carta), Orange(6 cartas), Pra Group (1 carta), Jazztel (2 cartas). Constancia de HISPAPOST 13 septiembre 2022 EMPRESA AFECTADA CARTAS ENCONTRADAS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/38 LA CAIXA BBVA NATURGY ENERGÍA XXI IMAGIN ENDESA MASMOVIL TELEFAX LABORAL KUTXA PSA FINANCIAL YOIGO ORANGE PRA GROUP JAZZTEL 596 57 33 295 59 307 1 3 1 1 1 6 1 2 En fecha 17 de noviembre de 2022 se recibe en la Agencia Española de Protección de Datos nueva denuncia por parte de la Delegación Del Gobierno en Islas Baleares, en esta nos traslada un escrito remitido por la Jefatura Superior De Policía De Las Illes Balears en relación con la localización de un total de 5354 cartas abandonadas en dos ubicaciones distintas de La Palma, y de cuya gestión era responsable la empresa HISPAPOST que gestionaba el reparto por medio de su distribuidor en La Palma CI POSTAL. - - Se adjunta parte de intervención de la Policía Local en fecha 17 de octubre de 2022 en el que afirma: “Comisionados (…), dos periodistas localizan en el camino Son Hugo a la altura de las vías del tren de Soller numerosas cartas de entidades bancarías, compañías de teléfono móvil, etc. Las cuales en su gran mayoría se encontraban cerradas y algunas pocas manipuladas”. Se adjunta también el informe realizado por la Policía y dirigido al Juzgado de Instrucción en el que se afirma: C/ Jorge Juan, 6 28001 – Madrid Que se procedió a contactar con HISPAPOST y afirmaron ser la empresa responsable de los envíos pero que era CI POSTAL el que gestionaba la distribución final del correo postal en La Palma. Incorpora capturas de pantalla con correos intercambiados entre la Policía y la propia empresa HISPAPOST, de su análisis se extrae: En fecha 19 de octubre de 2022 el grupo de Policía Nacional pregunta a HISPAPOST sobre la empresa de reparto y se traslada el número de cartas localizadas y las denominaciones de empresas a las que pertenecen. Captura de pantalla de correo de respuesta por parte de HISPAPOST al correo anterior, en fecha 21 de octubre de 2022, afirmando que el envío por HISPAPOST a través de su distribuidor en La Palma (CI POSTAL). Que no ha resultado posible discernir la identidad del autor o autores del abandono de la correspondencia y que se hizo entrega de las cartas a representante autorizado por la empresa HISPAPOST. www.aepd.es sedeagpd.gob.es 3/38 Se trata de un recuento total de 5354 cartas con el siguiente reparto de empresas afectadas y cartas localizadas: Puesto en conocimiento de HISPAPOST el 19 octubre 2022 EMPRESA CARTAS ENERGY XXI ENDESA NATURGY GAES VODAFONE JAZZTEL YOIGO ORANGE 1420 1485 170 1470 16 51 5 21 MASMOVIL 17 BANCO SABADELL CAIXABANK BBVA 240 40 197 EMPRESA CARTAS LEXER EQUIFAX TELEFAX PSA FINANC. INVEST CAPITAL TR3A ZOLVA AYTO MADRID (AGENCIA TRIBUTARIA) AYTO SEVILLA (AGENCIA TRIBUTARIA) MC ABOGADOS 1 42 4 5 4 8 29 1 ASISA 2 5 3 Se adjunta un nuevo parte de oficio enviado al Juzgado de Instrucción en fecha 16 de octubre de 2022 dando cuenta de una nueva intervención realizada por la Policía en el que se intervinieron unas 3000 cartas aprovechables, no abiertas, procediéndose a recogerlas y almacenarlas en bolsas de plástico, dejando en el lugar otras que estaban parcialmente quemadas o mezcladas con la basura. No se aportan detalles de las empresas a las que pertenecen estas cartas puesto que se pusieron a disposición del Juzgado. En relación con este incidente se notificaron a esta Agencia, por parte de distintos responsables de tratamientos afectados por los abandonos postales las siguientes brechas de seguridad: 1. El responsable BANCO SABADELL SA notificó la brecha el 20 de octubre de 2022. 2. El responsable PSA FINANCIAL SERVICES notificó la brecha en fechas 21 de octubre de 2022 y 16 de noviembre de 2022. 3. El responsable ASNEF-EQUIFAX SERVICIOS INFORMACIÓN notificó la brecha en fechas 21 de octubre de 2022 y 15 de noviembre de 2022. 4. El responsable INTRUM SERVICING SPAIN notificó la brecha en fechas 24 de octubre de 2022 y 21 de noviembre de 2022. 5. El responsable VODAFONE ESPAÑA notificó la brecha en fechas 27 de octubre de 2022 y 25 de noviembre de 2022. 6. El responsable PRA IBERIA SL notificó la brecha en fecha 1 de noviembre de 2022. 7. El responsable CABOT FINANCIAL SPAIN SA notificó la brecha en fechas 3 de noviembre de 2022 y 1 de diciembre de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/38 8. El responsable INVESTCAPITAL LTD notificó la brecha en fecha 18 de noviembre de 2022. 9. El responsable EOS SPAIN SL notificó la brecha en fechas 17 de noviembre de 2022 y 7 de diciembre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CI POSTAL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de noviembre de 2022 como consta en el certificado que obra en el expediente. Con fecha 5 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta al traslado anterior presentado por la empresa QUICK LOPD SL en calidad de Delegado de Protección de Datos de CI POSTAL, Del análisis de la respuesta se extraen las siguientes afirmaciones: - “En CIPOSTAL tenemos conocimiento de este incidente el 9 de septiembre de 2022, cuando la empresa HISPAPOST, a quien realizamos el servicio de correo postal en Palma de Mallorca nos informa que la policía local se había puesto en contacto con ellos para indicarles que se han recogido 2 bolsas de basura de correspondencia con su logo”. - “En relación con el código postal de los documentos encontrados, y las fechas de los mismos, desde CIPOSTAL identificamos las 2 personas encargadas de dicho reparto y se toman medidas disciplinarias, no estando trabajando para la empresa en la actualidad “. “Tras recibir el aviso, el responsable de CIPOSTAL en Palma de Mallorca se presenta en las dependencias de la policía local, verificamos que hay 2 bolsas con correspondencia sin abrir y tras hacer la policía local recuento de las cartas nos entregan copia de la denuncia junto con las 1.404 cartas ordinarias recogidas, todas del código postal (...) de varios clientes y de fecha de mayo 2022.” “Inmediatamente se informa al resto de la plantilla, así como a la oficina central, para que a su vez se dé detalle al departamento de COMPLIANCE, con la finalidad que además de las sesiones formativas ya ofrecidas anteriormente, se realice una nueva formación que sirva como refuerzo para la prevención de sucesos similares. Se informa al Delegado de Protección de Datos para realizar una primera evaluación de los hechos y analizar si se han visto vulnerados los derechos y libertades de los interesados “. “Se trata de un Incidente de seguridad premeditado por parte de personal interno de la organización que ha supuesto un riesgo de disponibilidad y confidencialidad de la correspondencia que debía custodiar y repartir incumpliendo la normativa interna y deber de custodia de la legislación postal. Se han recuperado 1.404 cartas cerradas sobre un censo poblacional de la ciudad de Palma de Mallorca de 500.000 personas, en el cual durante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/38 - - - periodo de enero a octubre del 2022 se repartieron 2.470.632 cartas. Consideramos que el porcentaje de correspondencia expuesta a terceros sin consentimiento, pese a ser un hecho preocupante, ha sido residual por el montante de correspondencia repartida durante el periodo enero – octubre de 2022. Los datos que quedaron expuestos a terceros son datos básicos identificativos (nombre y apellidos) junto con datos de contacto como es la dirección postal; al ser correspondencia postal recuperada sin evidencias de manipulación. Contrastado con la policía no se ha encontrado ninguna carta manipulada ni sobre vacío que haga pensar se ha accedido otro tipo de información.” “Tras evaluación realizada por CIPOSTAL sobre el incidente, se consideró que no se podrían producir daños sobre los derechos y libertades de las personas físicas cuyos datos fueron expuestos, al no apreciarse que pudiera existir un riesgo alto o muy alto para los derechos y libertades de los sujetos afectados. NO se tiene constancia de que se haya materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior. Por ello, se valora como IMPROBABLE que el daño anterior se materialice sobre las personas afectadas con la severidad indicada”. En relación con las acciones y medidas reactivas adoptadas por esta empresa, se afirma: “En primer lugar, se despidió a los trabajadores implicados en el incidente y se reunió al resto de la plantilla para recordar sus obligaciones de custodia de la correspondencia y las consecuencias del incumplimiento. Además de las sesiones formativas ya ofrecidas anteriormente, se ha realizado una nueva formación que sirva como refuerzo para la prevención de sucesos similares. Recordatorio a todo el personal de clasificación y reparto mediante reuniones y escritos individualizados de las repercusiones legales que conlleva la retención, almacenamiento, ocultación, apertura o destrucción de cualquier envío postal. Seguimiento a los repartidores de lo que trabajan, preguntando las calles donde estuvieron repartiendo y lo constatamos con el reparto que le hemos preparado. Hemos mantenido reuniones y conversaciones con el Delegado de Protección de Datos de HISPAPOST para que pueda informar a los responsables de tratamiento últimos que son los clientes emisores de la correspondencia recuperada.” En relación con las medidas preventivas implantadas afirma: “Al considerarse una empresa de reparto postal las medidas tendentes a evitar los riesgos derivados del abandono o no entrega de la correspondencia están enfocados hacia la formación y compromiso del personal laboral más allá de la implantación de soluciones tecnológicas.” “En el proceso de incorporación de los trabajadores se le facilita un pack de bienvenida con un compendio de normas y protocolos de obligado cumplimiento”. Para acreditar esta afirmación se aportan los siguientes documentos: Un Código Ético y de Conducta, con fecha de implantación 16 de abril de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/38 Las políticas corporativas con las obligaciones y conductas prohibidas, con fecha de implantación 16 de abril de 2018. Descripción del canal de denuncias, con fecha de implantación 16 de abril de 2018. Régimen disciplinario y sancionador, con fecha de implantación 16 de abril de 2018. Protocolo de actuación repartidores, con fecha de implantación 20 de octubre de 2020.” Se hace firmar al trabajador el compromiso de confidencialidad. Para acreditarlo se aporta en adjunto una plantilla o modelo de este compromiso, no obstante, no se aportan documentos firmados. Se adjunta documento con una comunicación informativa del director general con fecha 19 de noviembre de 2021 trasladando información sobre la responsabilidad de no entregar las notificaciones o cartas y/o hacer un uso indebido de ellas, no obstante, no se acredita la puesta a disposición de los empleados de esta comunicación. Se aporta el Registro de Actividades de Tratamientos (RAT) con la actividad “Reparto paquetería y servicio postal” conteniendo la siguiente información: responsable de tratamiento, origen de los datos, interesados afectados, categorías de datos personales, cesiones, encargados de tratamiento, legitimación, plazos supresión, transferencias internacionales. En relación con la notificación del incidente se afirma: “Se consideró no notificar a los afectados por el escaso volumen de las cartas recuperadas (menos del 0,5%) frente al total repartido y al haberse recuperado sin síntomas de manipulación indebida. Desde el momento del conocimiento del incidente, en calidad de subencargados de tratamiento se informó y colaboró en todo momento con el encargado de tratamiento (HISPAPOST) para que pudiera reportar a los diferentes responsables de tratamiento, con la finalidad que pudieran valorar la notificación de la brecha de seguridad. Se consideró que no se podrían producir daños sobre los derechos y libertades de las personas físicas cuyos datos fueron expuestos, motivo por el que no se comunicó la brecha de seguridad a los afectados conforme al art. 34 del RGPD, al no apreciarse que pueda existir un riesgo alto o muy alto para los derechos y libertades de los sujetos afectados, no obstante, es una decisión que entendimos, debía tomar el Responsable del Tratamiento, al estar hablando de reparto postal que supone manipulación no automatizada”. En relación con las medidas para que el incidente no vuelva a suceder se afirma: “Se están estudiando y valorando si hay algún tipo de solución tecnológica que permita tener constancia que el correo se ha depositado en un buzón. Se ha reforzado el plan de formación y concienciación del equipo de trabajo para evitar incidentes futuros”. - - - TERCERO: Como consecuencia del traslado por la POLICIA LOCAL de la denuncia del hallazgo en un solar de numerosa correspondencia abandonada así como del descubrimiento en un descampado numerosas de cartas sin entregar dirigidas a particulares, que aparentemente habrían estado abandonadas varios meses y, ante la repercusión mediática, la Directora de la Agencia Española de Protección de Datos, por Nota Interior de fecha de 28 de diciembre de 2022, instó a la Subdirección General de Inspección de Datos a que inicie de oficio actuaciones previas de investigación tendentes a acreditar estos hechos y su autoría. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/38 La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En relación con las brechas de seguridad notificadas ante esta Agencia, se señala: De la brecha notificada por el responsable BANCO SABADELL SA se extrae: - Se adjunta la denuncia interpuesta por HISPAPOST a Policía Nacional en fecha 14 de octubre de 2022. - Descripción del incidente: “Banco de Sabadell, a través de comunicación efectuada por su proveedor de servicios postales (HISPAPOST) del día 18 de octubre de 2022, toma conocimiento de la existencia de varios envíos postales a sus clientes en Palma de Mallorca encontrados en distintos puntos del municipio arrojados por personal de la empresa encargada de la distribución (CI POSTAL). Una vez recuperada la documentación, en distintos estados de deterioro, por las FFCCEE son revisadas por Hispapost y nos trasladan que se ven afectadas 252 envíos de Banco Sabadell a sus clientes. Estos envíos, pendientes de su comprobación, podrían incluir movimientos de cuentas, información sobre saldos, mercadotecnia o cualquier otro tipo de información personal y financiera. Los hechos han sido denunciados”. - Volumen de afectados: 252. - Fecha de detección: 18 de octubre de 2022. De la brecha notificada por el responsable PSA FINANCIAL SERVICES en fecha 21 de octubre de 2022 se extrae: - Descripción del incidente: “Nuestro encargado de tratamiento, Servinform Sa , es conocedora a través de la empresa de correos Hispapost, el día 10/10, a través de un video publicado en redes sociales que la correspondencia realizada por otro subencargado fue abandonada en la vía pública por parte de su personal en la ciudad de Palma de Mallorca. Por la tipología de cartas enviadas, se identifican que un 90% aprox. corresponde a notificaciones vinculadas a los procesos de recuperación de deudas impagadas”. - Fecha de detección: 20 de octubre de 2022. - Volumen de afectados: 44. Las personas afectadas no serán comunicadas. - Se adjunta un informe de incidencia de seguridad con fecha 14 de noviembre de 2022 del que se obtiene las siguientes afirmaciones: “PSA Finance contrata los servicios de envío de correspondencia a SERVINFORM, S.A., que actúa en calidad de encargado del tratamiento. Servinform subcontrata los servicios en HISPAPOST, S.A., que a su vez subcontrata la actividad para la región de Palma de Mallorca en CI POSTAL, S.L., actuando estas dos entidades como subencargadas del tratamiento de PSA Finance”. El 18 de octubre HISPAPOST recibió información de los envíos postales que fueron recuperados por la Policía, constatándose la existencia de 5 cartas correspondientes a PSA FINANCE. Al día siguiente, 19 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/38 octubre de 2022, SERVINFORM comunicó la incidencia de seguridad a PSA FINANCE. Que se han visto potencialmente afectados 44 envíos y se estima que aproximadamente un 90% de las mismas se corresponde a notificaciones vinculadas a los procesos de recuperación de deudas impagadas. De las brechas notificadas por el responsable ASNEF-EQUIFAX el 21 de octubre de 2022 y 15 de noviembre de 2022 se extrae: - Descripción del incidente: “ASNEF-EQUIFAX como responsable del tratamiento del Bureau de ASNEF, realiza comunicaciones a los consumidores cuyos datos han sido incluidos en dicho fichero. Con fecha 20/10/2022 HISPAPOST notifica que un empleado de la empresa encargada de la distribución de notificaciones (CI POSTAL, S.L. en Palma de Mallorca ha dejado abandonado, en diversas localizaciones de Palma de Mallorca, comunicaciones que tenía encomendado entregar. El proveedor inicialmente nos indica que el número afectado de cartas es 187, si bien después de los análisis efectuados, las notificaciones suman un total 47 cartas de notificación de inclusión y 1 requerimiento de pago. El ejercicio que ha hecho Equifax ha sido (en lo que respecta al tratamiento del que es responsable): 1) dar de baja las operaciones de las notificaciones abandonadas que fueron recuperadas; 2) de manera cautelar, se han dado de baja todas las operaciones cuyas notificaciones de inclusión han podido verse potencialmente comprometidas (desde 1/1/22 hasta 20/10/22 en los CP (...), (…) y (…)) y 3) se ha procedido al bloqueo del alta de estas operaciones durante 45 días en el fichero ASNEF”. - Volumen de afectados: 47. - Fecha detección brecha: 20 de octubre de 2022. De las brechas notificadas por el responsable INTRUM en fechas 24 de octubre de 2022 y 21 de noviembre de 2022 se extrae: - Descripción: “INTRUM SERVICING SPAIN tiene contratado con EQUIFAX un servcio de envío de notificaciones que, a su vez tiene como subencargado a Hispapost. El 21/10 a las 18 h nos comunica una incidencia que ha provocado que algunas de las notificaciones de Requerimientos Previos e inclusión al bureau no hayan sido realizadas. Como medidas tomadas hasta el momento por parte de Hispapost, se ha dejado de trabajar con la compañía encargada de la distribución de comunicaciones en P. de Mallorca y ha presentado las acciones legales oportunas. Las actuaciones que están siendo llevadas a cabo por Equifax y de las que daremos información según se vayan llevando a cabo, son las siguientes:
- i)determinar el número de envíos de Intrum y el detalle de los mismos que han sido enviados a los códigos postales implicados en los meses indicados
- ii)determinar los destinatarios de las comunicaciones que han sido incluidos en el fichero ASNEF iii) Proceder a la baja de dichos datos en el fichero ASNEF, en su caso y el posible bloqueo de nueva alta en ASNEF
- iv)Determinar las reclamaciones que han podido efectuar sobre el fichero ASNEF los destinatarios de las comunicaciones implicadas.” - Volumen de afectados: 1. - Fecha detección brecha: 21 de octubre de 2022. De las brechas notificadas por el responsable VODAFONE en fechas 27 de octubre de 2022 y 25 de noviembre de 2022 se extrae: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/38 - - Descripción: “Se han encontrado envíos postales (correspondencia) de varios clientes abandonados en diferentes zonas en los alrededores de la ciudad de Palma de Mallorca. La distribución postal en esta zona la realizaba CI POSTAL, S.L., actuando como subencargada del tratamiento de Hispapost S.A., entidad subcontratada por Equifax Ibérica, S.L, quien a su vez presta servicios de cobro de deuda a Vodafone en calidad de encargado de tratamiento. Las cartas afectadas contienen información sobre impagos del destinatario a la entidad Vodafone, incluyendo la cantidad adeudada. Vodafone fue notificado por Equifax el día 24 de octubre de 2022, a través de correo electrónico. Vodafone ha revisado el incidente y, tras un análisis del proveedor, se ha concluido que los clientes que potencialmente se han visto afectados se eleva a 361.” Fecha detección: 24 de octubre de 2022. De la brecha notificada por el responsable PRA IBERIA SL el 1 de noviembre de 2022 se extrae: - Descripción del incidente: “Recibimos comunicación el 21 de octubre de 2022 por parte de Equifax Ibérica, S.L.U. (Equifax) informándonos de un incidente con la correspondencia relativo a las cartas de notificación de inclusión del fichero Asnef. Revisados los ficheros de comunicación a Asnef, comprobamos que no tenemos ningún registro de alta, no pudiendo afectar esta incidencia a nuestros clientes en relación a la comunicación al fichero Asnef. Posteriormente preguntamos a Equifax si el servicio de envío de correspondencia a clientes de PRA Iberia, S.L.U. (PRA) se ha visto igualmente afectado. Con fecha 28 de octubre de 2022, recibimos la confirmación oficial de Equifax del abandono de correspondencia por un empleado de un operador postal subcontratado por Equifax (CI POSTAL, S.L. -CI POSTAL-, por medio de Hispapost, distribución de Palma de Mallorca), que afecta a la correspondencia remitida por PRA para los códigos postales (...), (…) y (…) desde el 1 de enero de enero de 2022 hasta el 10 de octubre de 2022”. - Afirman como fecha de detección: 28 octubre de 2022. - Se afirma la existencia de 1023 potenciales afectados. De las brechas notificadas por el responsable CABOT FINANCIAL en fechas 3 de noviembre de 2022 y 1 de diciembre de 2022 se extrae: - Afirman como fecha de detección: 1 noviembre 2022. - Volumen de afectados: 326. - Aportan un informe con el análisis y valoración de la brecha, de su análisis se extraen las siguientes afirmaciones: “Se ha tratado de una brecha de seguridad que ha comprometido la confidencialidad de los datos en tanto en cuanto terceros podrían haber accedido a la información contenida en la comunicación de inclusión al fichero ASNEF, así como la disponibilidad, en la medida en la que habría un número indeterminado de comunicaciones extraviadas que, a fecha del presente Informe de Cierre, no ha podido aun determinarse”. “EQUIFAX confirma el número de 326 cartas afectadas dirigidas a deudores”. “Siguiendo el criterio de la AEPD se ha considerado que existe una probabilidad BAJA de que se materialicen los riesgos y que, en todo caso, la severidad de la brecha ALTA”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/38 De la brecha notificada por el responsable EOS SPAIN SL el 17 de noviembre y 7 de diciembre de 2022 se extrae: - Fecha detección: 15 de noviembre de 2022. - Aportan informe del incidente del que se extraen las afirmaciones: “Equifax ha recibido de Hispapost 84 cartas físicas que han recuperado directamente de los lugares donde se abandonaron. La Policía dispone también de cartas físicas que hoy en día siguen retenidas por las autoridades por constituir pruebas de la investigación iniciada por el Juzgado de Instrucción competente para la tramitación del procedimiento penal correspondiente. Equifax desconoce el contenido que esa correspondencia en poder de la Policía.” “Las notificaciones afectadas comprenden tanto las notificaciones de inclusión realizadas por ASNEF-EQUIFAX para informar a los deudores de su inclusión en el fichero ASNEF, como notificaciones de requerimientos previos de pago de clientes”. - Volumen potencial afectados:1067. Investigación dirigida a CI POSTAL SL: En fecha 29 de marzo de 2023 se realiza requerimiento de información a CI POSTAL, entidad encargada del reparto final de la correspondencia y responsable del abandono. El requerimiento estuvo marcado por la siguiente línea de investigación: - Obtener copia del informe de la brecha. - Investigar las medidas técnicas y organizativas implantadas en la organización para garantizar confidencialidad trabajadores afectados y la seguridad de los tratamientos en los envíos, en concreto para los cuatro trabajadores posibles responsables de los abandonos. - Investigar las medidas de seguridad implantadas para garantizar la seguridad de los tratamientos realizados en los envíos postales. - Investigar los contratos de encargo o subencargado de los tratamientos afectados. Este requerimiento expiró sin haberse accedido a su contenido en fecha 9 de abril de 2023, llevándose posteriormente a cabo una segunda reiteración vía postal en fecha 5 de junio de 2023, constando como fecha de acuse de recibo el mismo 5 de junio de 2023 tras acceso a la Dirección Electrónica Habilitada Única; no obstante, no consta respuesta. El 23 de agosto de 2023 se decide realizar un último intento de requerimiento a esta entidad solicitando la acreditación de las medidas preventivas que existían para garantizar la confidencialidad de los empleados, la trazabilidad y el seguimiento de los envíos, así como las actividades formativas y de concienciación realizadas en momentos previos a la brecha. CI POSTAL responde a este último requerimiento en fecha 31 de agosto de 2023, del análisis de su respuesta se extrae la siguiente información relevante: - Aportan documento acreditando los compromisos de confidencialidad firmados por los dos trabajadores que desde CI POSTAL se consideró que fueron los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/38 - - responsables del abandono de la correspondencia en vía pública y sobre los que se tomaron medidas disciplinarias de despido. En relación con la acreditación de las acciones formativas afirman textualmente: “Al haber realizado formaciones de información y concienciación básicas de 1 hora online para explicar los conceptos básicos en protección de datos no se emitieron certificados formativos. Una formación de 40 horas para personal de reparto postal con alta rotación no es un sistema ajustado a las necesidades de la empresa, por ello el realizar jornadas informativas de una hora. No obstante, tras el incidente del ejercicio 2022, en el Wellcome Pack se ha incorporado un manual de formación en privacidad que recoge conceptos básicos para sus funciones, teniendo en cuenta que los repartidores en el 99% de los casos es un tratamiento de datos de consulta, sin capacidad de registro, modificación y eliminación de datos”. Se adjunta documento con el manual de formación básica en protección de datos, pero no se acredita la jornada de formación mencionada. En relación con la acreditación de las medidas adoptadas para garantizar la trazabilidad y seguimiento de envíos, afirman: “En el reparto postal ordinario, causa del incidente de seguridad por abandono de correspondencia, implantar medidas de trazabilidad y seguimiento del reparto conlleva un nivel de dificultad muy alta. Hasta el día de hoy, no se ha encontrado una solución tecnológica que permita tener constancia que el correo ordinario ha sido depositado en el buzón. Cabe recordar que CIPOSTAL recibe de sus clientes grandes volúmenes de correspondencia para repartir, sin desglose de datos algunos. Tan solo se nos entregan lotes de correspondencia donde el único dato que se posee es el número de cartas a repartir. Crear equipos de reparto de dos personas para poder controlar si se realiza el reparto o no, es una solución inviable por costes”. Investigación dirigida al encargado de tratamiento HISPAPOST SA: En fecha 30 de marzo de 2023 se realiza requerimiento de información a HISPAPOST, marcado por la siguiente línea de investigación: - Investigar el registro de incidentes y el registro de actividades de tratamientos afectados por la brecha. - Obtener información sobre la notificación de la brecha ante esta Agencia y la comunicación a los afectados. - Investigar las notificaciones de la brecha a las empresas afectadas y con las que se tenía contrato de encargo. - Investigar la existencia de contratos de encargo con las empresas afectadas. - Investigar el contrato de encargo con el subencargado CI POSTAL SL. - Investigar el posible análisis de riesgo y la acreditación de las medidas preventivas implantadas. En fecha 24 de abril de 2023 se recibe respuesta al requerimiento anterior, de su análisis se extrae como información relevante: - Se adjunta el registro documentado de la brecha de seguridad del que se obtienen las siguientes afirmaciones: Se afirma un total de 7924 envíos postales recuperados. No se considera que el contenido de las cartas haya sido expuesto en ningún caso por lo que los datos afectados fueron “nombre y apellidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/38 - del destinatario y dirección postal de entrega”. Afirman que las cartas han sido encontradas en lugares remotos abandonados por lo que se descarta exposición a un gran número de personas. Afirman que las cartas son envíos ordinarios (no certificados), por lo que se descarta consecuencias importantes para los interesados derivadas de la no recepción de la carta, y que se dio traslado a cada uno de sus clientes (que actuaban en su mayoría como responsables del tratamiento) para evaluar este impacto. Que se consideró que “no se podrían producir daños sobre los derechos y libertades de los afectados”. Aportan la siguiente cronología de los hechos (la cual únicamente hace referencia a las cartas encontradas en el mes de octubre, no haciéndose referencia en esta cronología a la remesa de cartas localizada por la Policía Local en septiembre de 2022): El 10 de octubre a las 17:20 horas les llega información sobre un vídeo publicado en internet. La correspondencia se consigue recuperar por personal de HISPAPOST. El 13 de octubre de 2022 se localizan nuevos envíos tras alerta de un ciudadano. El 14 de octubre se comunica incidencia a DPO y se interpone denuncia en Policía Nacional. El 17 de octubre de 2022 llega a las instalaciones de HISPAPOST en Madrid la correspondencia encontrada para el análisis y cuantificación de clientes afectados. Este mismo 17 de octubre de 2022 se descubren nuevos hallazgos por policía y medios de comunicación. El 19 de octubre se recibe información detallada de los envíos recuperados por la policía, las cartas se devuelven a los clientes o se desechan en base a sus instrucciones. Del 14 al 21 de octubre se realiza la notificación del incidente a los clientes afectados. Se afirma que “los envíos realizados a la ciudad de Palma de Mallorca no permiten realizar el control de trazabilidad que HISPAPOST aplica a sus envíos ordinarios ya que existe una dificultad logística por el transporte”. Aportan listado con las medidas reactivas adoptadas por la empresa: Cierre distribución Palma de Mallorca. Aumentar inspecciones en red reparto. Recordatorio personal sobre responsabilidades en los repartos. Evitar trabajar en Códigos Postales donde no se disponga de envíos con trazabilidad para poder evaluar diariamente el estado de estos (considerando disponer de un número mínimo de envíos con trazabilidad). Despliegue de panelistas internos para hacer seguimiento de correspondencia. Refuerzo en la formación y sensibilización de empleados. Se adjunta la denuncia interpuesta por HISPAPOST en fecha 14 de octubre de 2022, del análisis de esta denuncia se extraen las siguientes afirmaciones relevantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/38 Se afirma: “en fecha 10 de octubre de 2022 HISPAPOST recibe mensaje de CI POSTAL en el cual les envían un vídeo sacado de Telegram en el que se puede observar a un hombre comentando y filmando miles de cartas esparcidas en un desguace enviadas desde HISPAPOST y las cuales contienen datos personales de clientes (Naturgy y Endesa entre otros)… que dichas cartas fueron recogidas por la distribuidora de Mallorca el día 11 de octubre de 2022 y siendo enviadas de vuelta el día 13 de octubre de 2022 a la empresa dicente”. “Que el día 13 de octubre de 2022 se recibe mensaje por parte de la empresa CaixaBank comunicando que quien resulta ser B.B.B., ha encontrado aproximadamente 4000 cartas dirigidas a Caixabank en perfectas condiciones, las cuales fueron arrojadas por un individuo desconocido desde un vehículo a las 19 horas del 10 de octubre de 2022”. Se aporta el Registro de Actividades de Tratamiento (RAT) de HISPAPOST como encargado de tratamiento, actualizado a 14 de diciembre de 2022. Del análisis de este RAT se concluye que HISPAPOST realizaba tratamientos por cuenta de los siguientes responsables: Para el responsable de tratamiento AMPLIFÓN IBÉRICA SAU: Descripción tratamiento: Servicio distribución postal. Existe autorización para subcontratación: SI. Para el responsable de tratamiento BANCO SABADELL SA: Descripción tratamiento: Prestación de servicios postales. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento BBVA SA: Descripción tratamiento: Cartería, Telegrama y Burofaxes, Valija, Mensajería Nacional e Internacional. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento CAIXABANK FACILITIES MANAGEMENT SA: Descripción tratamiento: Recogida y entrega domiciliaria de correspondencia de CaixaBank. Existe autorización para subcontratación: SI. Para el responsable de tratamiento EQUIFAX IBERICA SL (B80855398): Se afirma que este cliente actúa como Responsable del Tratamiento de los datos personales tratados. Descripción tratamiento: Servicios postales. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento ENDESA SA: Descripción tratamiento: servicios postales. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento NATURGY CLIENTES SA: Descripción tratamiento: servicios postales. Existe autorización para subcontratación: SI. Para el cliente SERVINFORM SA: Se afirma que este cliente actúa como Encargado de Tratamiento de los datos personales. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/38 Descripción tratamiento: distribución postal para PSA FINANCIAL SERVICES SPAIN, E.F.C., S.A (que actúa como Responsable del Tratamiento). Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento AYUNTAMIENTO DE MADRID (Dirección General Contratación y Servicios): El cliente es Responsable de Tratamiento. Descripción tratamiento: Distribución postal para el Ayuntamiento de Madrid y sus Organismos Autónomos. Datos: datos de carácter identificativo (nombre, apellidos y dirección postal), correspondientes a la actividad de tratamiento “Recaudación Ejecutiva”. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento GRUPO MEDINA CUADROS (MC ABOGADOS SL + TELEFAX): El cliente es Responsable de Tratamiento. Descripción tratamiento: servicios postales. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento AYUNTAMIENTO DE SEVILLA (Agencia Tributaria de Sevilla): Descripción tratamiento: servicios postales. Existe autorización para subcontratación: SI. Para el cliente responsable de tratamiento ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER: Descripción tratamiento: servicios postales. Existe autorización para subcontratación: SI. Plazo de conservación 3 meses. En relación con la notificación de la brecha afirma: “Hispapost como encargado del tratamiento de los datos implicados en la incidencia, informó a sus clientes (Responsables del Tratamiento) sobre la incidencia ocurrida para que estos realizaran la valoración de la incidencia y si pudiese considerarse brecha de seguridad, y en su caso realizar la oportuna comunicación de la brecha de seguridad a la Agencia de Protección de Datos”. Se adjunta documento con un informe redactado por el DPD de HISPAPOST, la empresa Ascendia Reingeniería Y Consulting, S.L., firmado en fecha 21 de abril de 2023 y conteniendo la valoración de la brecha. En relación con la notificación de la brecha a todas las empresas afectadas y que actuaban como responsables de tratamiento de los datos personales afectados (clientes de HISPAPOST), se acredita documentalmente las siguientes: Notificación realizada al responsable ASOCIACIÓN ESPAÑOLA CONTRA EL CÁNCER (AECC), aportándose captura de correo electrónico enviado el 20 de octubre de 2022. Notificación realizada a la AGENCIA TRIBUTARIA DE SEVILLA aportándose captura de correo electrónico enviado el 20 de octubre de 2022. Notificación efectuada a ASISA aportando captura de correo electrónico enviado el 19 de octubre de 2022. Esta notificación se hace en primer - - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/38 C/ Jorge Juan, 6 28001 – Madrid lugar al cliente SERVINFORM el 19 de octubre de 2022, este cliente actúa como encargado de tratamiento del responsable ASISA, quedando acreditado que este mismo día 19 de octubre de 2022 remitió la notificación con el informe del incidente a este responsable. Notificación efectuada a BBVA aportando captura de correo electrónico enviado el 20 de octubre de 2022. Notificación efectuada a CAIXABANK aportando captura de correo electrónico enviado el 19 de octubre de 2022. En la información que se proporcionó en relación a esta notificación se incluían las siguientes afirmaciones relevantes para la investigación: “13/10/2022 recibimos una comunicación de CaixaBank, avisando de que una persona se presenta en la oficina de CaixaBank (…), indicando que ha visto a una persona tirar correspondencia en una ubicación del municipio. Personal de Caixabank retira los envíos. El 14/10/2022 nos desplazamos a la Dirección Territorial de Caixa en Palma de Mallorca, conseguimos el teléfono de la persona que inicialmente comunicó a Caixabank la ubicación del hallazgo de documentos, localizamos el punto donde apareció la correspondencia y recogemos el resto de envío de otros clientes no Caixabank”. “17/10/2022 Llegan a las instalaciones de Hispapost Madrid, la correspondencia recuperada (no en buen estado), para el análisis y cuantificación de clientes y nº de envíos afectados. En este análisis se identifican en mal estado 92 comunicados de Caixabank”. “19/10/2022 hemos recibido información de envíos recuperados por la Policía en estos días. Envíos correspondientes a Caixabank son 40, los cuales tan pronto nos sean remitidos por las autoridades los remitiremos a vuestras instalaciones”. Notificación efectuada a ENDESA aportando captura de correos electrónicos enviados el 13 de octubre de 2022 y el 20 de octubre de 2022. Notificación efectuada a EQUIFAX aportando captura de correo electrónico enviado el 20 de octubre de 2022. Adjunto a este correo se remitió un informe del incidente que también se aporta, de su análisis se obtienen las siguientes afirmaciones relevantes: “Existieron 92 envíos recuperados: 46 cartas de Equifax, 2 cartas de Sabadell, 22 cartas de Intrum, 1 carta de PraGroup,1 carta de Link Finanzas, 3 cartas de BBVA, 1 carta de TEAM4, 2 cartas de Procobro, 6 cartas de Vodafone”. Notificación efectuada a GAES (Antes denominada AMPLIFON IBÉRICA SAU) aportando captura correo electrónico remitido el 18 de octubre de 2022. Notificación efectuada a GRUPO MASMOVIL aportando captura de correo electrónico enviado el 20 de octubre de 2022. Notificación efectuada a NATURGY aportando captura de correo electrónico enviado el 13 de octubre de 2022 con un comunicado general sobre la incidencia. www.aepd.es sedeagpd.gob.es 16/38 Notificación efectuada a GRUPO ORANGE aportando captura de correo electrónico enviado el 20 de octubre de 2022. Notificación efectuada a PSA FINANCIAL aportando captura de correo electrónico enviado desde la dirección ***EMAIL.1 el 20 de octubre de 2022. Según el RAT, HISPAPOST actúa como encargado de tratamiento de SERVINFORM, y este al mismo tiempo actúa como encargado de tratamiento para la distribución postal del responsable PSA FINANCIAL SERVICES. Notificación efectuada a BANCO SABADELL aportando captura de correo electrónico enviado el 18 de octubre de 2022. Notificación efectuada a MC ABOGADOS Y TELEFAX aportando captura de correo electrónico enviado el 21 de octubre de 2022. Notificación efectuada a TR3A aportando captura de correo electrónico enviado el 20 de octubre de 2022, el correo es enviado desde la dirección ***EMAIL.2 hacia el destinatario ***EMAIL.3. Por parte del presente inspector se constata que este responsable NO está recogido en el RAT de HISPAPOST como encargado. Se adjunta copia del contrato de encargo de tratamiento entre HISPAPOST y CI POSTAL, de su análisis se extrae la siguiente información relevante: La fecha de firma del contrato es el 10 de enero de 2022 y en él se detallan los tipos de datos afectados por el encargo, las categorías de interesados, las operaciones de tratamiento, sobre las transferencias internacionales y los datos de ambos DPD. Se afirma que HISPAPOST tiene el carácter de encargado de tratamiento siendo CI POSTAL subencargado de tratamiento, actuando EL CLIENTE DE HISPAPOST como responsable de tratamiento de los datos afectados por el encargo. Se detallan las obligaciones del proveedor CI POSTAL como subencargado del tratamiento, entre las que se destacan: Garantizar que las personas autorizadas para tratar los datos personales se comprometan de forma expresa y por escrito a respetar la confidencialidad y cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas. A tenor del art 32 RGPD, CI POSTAL se compromete a adoptar las medidas necesarias para evitar la alteración, pérdida, tratamiento o acceso no autorizado a los datos personales de los clientes de HISPAPOST, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos expuestos, ya provengan de la acción humana o de medio físico o natural. CI POSTAL manifiesta que posee Manual de Privacidad en el que se determinan las medidas técnicas y organizativas a implementarse. CI POSTAL notificará a HISPAPOST sin dilación indebida y con la mayor celeridad posible y en cualquier caso antes de las 24 horas, a través de correo electrónico protecciondedatos@servinform.es las brechas de seguridad - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/38 salvo que sea improbable que constituya un riesgo para los derechos y libertades de personas físicas. Corresponde a HISPAPOST o a su cliente (responsable de tratamiento) notificar las brechas a la AEPD y a los interesados. De acuerdo con la evaluación de riesgos realizada por el cliente de HISPAPOST, y lo establecido en el art 28 RGPD, CI POSTAL como mínimo deberá implementar las medidas de seguridad correspondientes al nivel medio de conformidad con lo dispuesto en el Reglamento de desarrollo de la LOPD (RLOPD) RD 1720/2007, mientras no se especifique en su sustitución otras medidas. - Se aportan copias de los contratos de encargo de tratamiento que existían formalizados entre HISPAPOST y cada uno de sus clientes a los que prestaba el servicio de distribución postal y que fueron afectados por la brecha, se acreditan: Se aporta copia de contrato de encargo con el responsable de tratamiento ASISA, con fecha de firma 1 de enero de 2022. Se aporta copia del contrato de encargo con AYUNTAMIENTO DE MADRID, con fecha de firma de la licitación 26 de enero de 2021. En este contrato se especifica la autorización para subcontratar el servicio con CI POSTAL. Se aporta copia de contrato de encargo con el responsable de tratamiento BBVA, con fecha de firma 13 de abril de 2021. Se aporta copia de contrato de encargo con el responsable de tratamiento CAIXABANK con fecha de firma 19 de julio de 2019. Se aporta copia de contrato de encargo con EQUIFAX IBERICA SL, con fecha de firma 1 de abril de 2019. Se aporta copia de contrato de encargo con AMPLIFON IBERICA SAU A59198770 (antigua denominación de GAES), con fecha de firma 30 de marzo de 2021. Entre su clausulado se autoriza a HISPAPOST para subcontratar los servicios con todos los integrantes de su red de reparto donde no se tenga cobertura propia. Se aporta copia del contrato de encargo con SERVINFORM, con fecha de firma 15 de enero de 2019. Se aporta copia del contrato de encargo con BANCO SABADELL, con fecha de firma 24 de febrero de 2022. Se aporta copia del contrato de encargo con ENDESA, con fecha de firma 1 de febrero de 2022. Se aporta copia del contrato de encargo con NATURGY CLIENTES SA, con fecha de firma 31de marzo de 2022. Se autoriza la subcontratación de CI POSTAL de forma expresa en el contrato. - En la respuesta al requerimiento también se aporta documento con un informe de la Evaluación de Impacto para la Protección de Datos (EIPD) sobre la actividad de tratamiento de distribución postal. Se aporta documento conteniendo el listado de medidas reactivas implantadas por HISPAPOST tras la brecha de seguridad. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/38 En fecha 20 de junio de 2023 se decide realizar segundo requerimiento de información a HISPAPOST marcado por la siguiente línea de investigación: - Se solicita que acredite si existieron notificaciones de la brecha de seguridad a los responsables (clientes) afectados por los abandonos que localizó la Policía Local en septiembre de 2022, y del que tuvieron constancia el mismo 13 de septiembre de 2022, según parte de la policía. - Que aclare algunas de las medidas implantadas para garantizar la trazabilidad de los envíos. - Que acredite la medida reactiva adoptada (…), en concreto se solicita acreditación de los resultados obtenidos para el distribuidor CI POSTAL. En fecha 29 de junio de 2023 se recibe respuesta al requerimiento anterior, de su análisis se extraen las siguientes afirmaciones: - “El día 13 de septiembre personal de CI Postal acude a la comisaría e identifica las cartas (1404 cartas de diferentes clientes) y el 22 de septiembre CI Postal recoge las cartas de la comisaria de la Policía Local de Palma, ninguna carta ha sido abierta ni manipulada”. - “Tras realizar una evaluación de los factores que intervienen en el incidente (durante la última semana de septiembre y primera de octubre, conforme se obtuvo la información): la cantidad limitada de cartas afectadas, el buen estado de las mismas sin abrir ni manipular, la posibilidad de reanudar la distribución, la localización del hallazgo en lugar remoto y poco accesible (que reduce la probabilidad de que fueran accesibles), la tipología de las cartas que eran correo ordinario (que descarta contenidos que puedan generar consecuencias importantes para los interesados), la causa intencionada por parte de trabajadores de CI Postal; se consideró que sería improbable que se pudieran producir daños sobre los derechos y libertades de las personas físicas cuyos datos fueron expuestos, al no apreciarse que pueda existir un riesgo alto o muy alto para los derechos y libertades de los afectados, y en ese momento no se consideró necesaria la comunicación a los clientes afectados. Comunicación a dichos clientes que se realizó días después en los nuevos hallazgos que se produjeron en el mes de octubre (detectados en fecha 11 de octubre de 2022)”. - “Los códigos postales sensibles o con defecto de trazabilidad, son todos los de Palma de Mallorca (única ciudad de Baleares que Hispapost distribuía), siendo el subencargado del tratamiento la empresa CI Postal, y ante la imposibilidad de realizar un control del servicio, desde la ocurrencia de la incidencia se decidió no reanudar el servicio”. - “Los envíos ordinarios no permiten aplicar ningún tipo de trazabilidad directa ni por Hispapost ni por ningún operador postal. El procesamiento de este tipo de envíos se realiza de manera manual (en papel) y el único dato que maneja Hispapost son los volúmenes de clientes y cartas. En cuanto al control de la trazabilidad que Hispapost aplica para este tipo de envíos se realiza de forma indirecta por las siguientes vías: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/38 Control indirecto a través de los envíos certificados Control de reclamaciones Inspecciones periódicas”. - Se acreditan evidencias de algunas inspecciones periódicas realizadas en centros de reparto, aportándose también el manual que utilizan para llevarlas a cabo. - En relación con nuestra solicitud para que acrediten las acciones de sensibilización que habían obtenido del subencargado CI POSTAL, aportan: Acreditación de una comunicación informativa dirigida a los trabajadores de CI POSTAL en fecha 19 de noviembre de 2021 sobre las consecuencias de incumplimiento de normas, código ético y programa COMPLIANCE. Acreditan sesión formativa en diciembre de 2021 con el siguiente contenido, sin especificar tiempo de duración de la formación: Código Ético, Acuerdo de Confidencialidad, Riesgos Penales en el trabajo, Régimen Disciplinario y Canal de Denuncias. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CI POSTAL es una mediana empresa constituida en el año 2010, y con un volumen de negocios de 6.274.271 euros en el año 2022. SEXTO: Con fecha 22 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)del RGPD y del artículo 32 del RGPD, tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD, respectivamente. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/38 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO. La entidad HISPAPOST es una empresa dedicada a la prestación de servicios postales o de distribución postal, asumiendo todas las tareas que conllevan dichos servicios, desde la recogida hasta la entrega a los destinatarios de los objetos postales de que se trate. Con ese objeto, tiene formalizado contrato de prestación de servicios postales con numerosas entidades, entre las que figuran ASISA, AYUNTAMIENTO DE MADRID, BBVA, CAIXABANK, EQUIFAX IBERICA SL, AMPLIFON IBERICA SAU (GAES), SERVINFORM, BANCO SABADELL, ENDESA o NATURGY CLIENTES SA. Desde el punto de vista de la protección de datos personales, en todas las relaciones contractuales citadas, la entidad HISPAPOST interviene bajo la condición de encargada del tratamiento, siendo responsables del tratamiento de los datos personales las entidades clientes de HISPAPOST. SEGUNDO. Para el desarrollo y ejecución de esos servicios postales, HISPAPOST subcontrata dichos servicios o parte de ellos con otras entidades, especialmente para aquellos lugares en los que su red de reparto no tiene cobertura propia. En las relaciones de este tipo que HISPAPOST formaliza, la entidad subcontratista interviene, desde el punto de vista de la protección de datos personales, bajo la condición de subencargada del tratamiento. TERCERO. La entidad HISPAPOST formalizó un contrato con la entidad CI POSTAL, en virtud del cual esta última se obliga cubrir la distribución de correo ordinario en la ciudad de Palma de Mallorca. Con motivo de esta contratación, con fecha 10/01/2022, ambas entidades suscribieron el correspondiente contrato de encargo de tratamiento, el cual se declara reproducido en este acto a efectos probatorios. En dicho contrato, entre otras cuestiones, se detallan los tipos de datos afectados por el encargo, las categorías de interesados y las operaciones de tratamiento. Se dispone, asimismo, que HISPAPOST tiene el carácter de encargado de tratamiento, siendo CI POSTAL subencargado de tratamiento y actuando el cliente de HISPAPOST como responsable de tratamiento de los datos afectados por el encargo. Entre las obligaciones asumidas por CI POSTAL como subencargado del tratamiento figuran las siguientes: . Garantizar que las personas autorizadas para tratar los datos personales se comprometan de forma expresa y por escrito a respetar la confidencialidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/38 cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. . Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas. . A tenor del art 32 RGPD, CI POSTAL se compromete a adoptar las medidas necesarias para evitar la alteración, pérdida, tratamiento o acceso no autorizado a los datos personales de los clientes de HISPAPOST, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos expuestos, ya provengan de la acción humana o de medio físico o natural. CI POSTAL manifiesta que posee Manual de Privacidad en el que se determinan las medidas técnicas y organizativas a implementarse. . CI POSTAL notificará a HISPAPOST sin dilación indebida y con la mayor celeridad posible y en cualquier caso antes de las 24 horas, a través de correo electrónico protecciondedatos@servinform.es las brechas de seguridad salvo que sea improbable que constituya un riesgo para los derechos y libertades de personas físicas. . Corresponde a HISPAPOST o a su cliente (responsable de tratamiento) notificar las brechas a la AEPD y a los interesados. . De acuerdo con la evaluación de riesgos realizada por el cliente de HISPAPOST, y lo establecido en el art 28 RGPD, CI POSTAL como mínimo deberá implementar las medidas de seguridad correspondientes al nivel medio de conformidad con lo dispuesto en el Reglamento de desarrollo de la LOPD (RLOPD) RD 1720/2007, mientras no se especifique en su sustitución otras medidas. CUARTO: La Policía Local del Ayuntamiento de Palma de Mallorca, mediante informe de 22/09/2022, comunicó a esta AEPD el hallazgo en un solar de correspondencia abandonada con datos personales, hasta un total de 1.404 cartas1404 de las empresas remitentes con la siguiente distribución: La Caixa (596 cartas), BBVA (57 cartas), Naturgy (33 cartas), Energía XXI (295 cartas), Imagin (59 cartas), Endesa (307 cartas), MasMovil (1 carta), Telefax (3 cartas), Totem (3 cartas), Laboral Kutxa(1 carta), PSA (1 carta), Yoigo (1 carta), Orange(6 cartas), Pra Group (1 carta), Jazztel (2 cartas). Dichas cartas pertenecían a los meses comprendidos entre febrero y mayo de 2022. Según consta en dicho informe, la documentación fue hallada en un solar entre la MA30 y las vías del tren, según se refleja en el ***INFORME.1 de fecha 02/07/2022. En relación con este hallazgo de documentación, se informa que los agentes de la citada Policía Local contactaron con HISPAPOST, reconociendo dicha entidad que la correspondencia encontrada debía haber sido repartida por empleados de CI POSTAL, desconociendo el motivo por el que dicho reparto no se llevó a cabo y del abandono de la correspondencia. Las cartas en cuestión fueron entregadas por la Policía Local a una persona representante de CI POSTAL en fecha 22/09/2022. Previamente, en fecha 13/09/2022, esta misma persona acudió a las dependencias de la Policía Local y al serle mostradas las cartas halladas, reconoció el logo de su empresa. QUINTO. A través de la Delegación del Gobierno de Illes Balears, con fecha 17/11/2022, se recibe en la AEPD información elaborada por la Jefatura Superior de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/38 Policía de Illes Balears en relación con la localización, en fecha 16/10/2022, de un total de 5354 cartas abandonadas en dos ubicaciones distintas de Palma de Mallorca, de cuya gestión era responsable la empresa HISPAPOST, que ejecutaba el reparto por medio de su distribuidor subcontratado CI POSTAL. El detalle de estas cartas, según la entidad remitente, consta reseñado en el Antecedente Primero del presente acto, que se declara reproducido a efectos probatorios. El hallazgo de una parte de esta documentación (3000 cartas aproximadamente) fue alertado a la Policía Nacional por un ciudadano, (…), que a su vez recibió un correo electrónico de una tercera persona informándole de la existencia de estas comunicaciones en uno de los torrentes de la ciudad. Según informan, se recogieron “las cartas aprovechables, no abiertas… dejando en el lugar otras que estaban total o parcialmente quemadas y otras que se encontraban mezcladas con la basura”. La documentación aportada por la Delegación del Gobierno incluye otro parte de intervención de la Policía Nacional, de fecha 17/10/2022, relativo al hallazgo de numerosas cartas, en su gran mayoría cerradas y algunas manipuladas. Dan cuenta de la declaración de un testigo, según la cual las cartas llevaban en el lugar aproximadamente una semana. SEXTO. HISPAPOST, por su parte, con fecha 14/10/2024, interpuso denuncia ante la Policía Nacional en la que se afirma que “en fecha 10 de octubre de 2022 HISPAPOST recibe mensaje de CI POSTAL en el cual les envían un vídeo sacado de Telegram en el que se puede observar a un hombre comentando y filmando miles de cartas esparcidas en un desguace enviadas desde HISPAPOST y las cuales contienen datos personales de clientes… que dichas cartas fueron recogidas por la distribuidora de Mallorca el día 11 de octubre de 2022 y siendo enviadas de vuelta el día 13 de octubre de 2022 a la empresa dicente”. “Que el día 13 de octubre de 2022 se recibe mensaje por parte de la empresa CaixaBank comunicando que quien resulta ser B.B.B., ha encontrado aproximadamente 4000 cartas dirigidas a Caixabank en perfectas condiciones, las cuales fueron arrojadas por un individuo desconocido desde un vehículo a las 19 horas del 10 de octubre de 2022”. Sobre la última incidencia reseñada, en correo electrónico de 19/10/2022, remitido por HISPAPOST a CAIXABANK se indica: “13/10/2022 recibimos una comunicación de CaixaBank, avisando de que una persona se presenta en la oficina de CaixaBank (…), indicando que ha visto a una persona tirar correspondencia en una ubicación del municipio. Personal de Caixabank retira los envíos. El 14/10/2022 nos desplazamos a la Dirección Territorial de Caixa en Palma de Mallorca, conseguimos el teléfono de la persona que inicialmente comunicó a Caixabank la ubicación del hallazgo de documentos, localizamos el punto donde apareció la correspondencia y recogemos el resto de envío de otros clientes no Caixabank”. SÉPTIMO. En relación con el incidente reseñado en el Hecho Probado Cuarto, con fecha 18/10/2022, la entidad CI POSTAL realizó un informe de evaluación en el que, entre otras circunstancias, se expresa lo siguiente: “1. El incidente ha sido intencionado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/38 2. El origen del incidente ha sido interno (personal de reparto)… 4. Como consecuencia del incidente personas u organizaciones que no están autorizadas, o no tienen un propósito legítimo para acceder a los datos, han podido acceder a los mismos. 5. Referido específicamente a los datos afectados (nombres y direcciones postales), NO están protegidos de forma que son legibles para quien haya podido tener acceso y se puede identificar a las personas... 10. Se desconoce si entre las personas afectadas hay menores, así como, colectivos vulnerables (víctimas de violencia de género o en riesgo de exclusión social) 11. Se estima que el número de cartas recuperadas no supera las 2.000 unidades”. OCTAVO. La entidad CI POSTAL, en sus respuestas a esta AEPD ha referido las medidas de naturaleza preventiva que tenía implantadas. Entre los detalles facilitados, cabe destacar la información siguiente: “Al considerarse una empresa de reparto postal las medidas tendentes a evitar los riesgos derivados del abandono o no entrega de la correspondencia están enfocados hacia la formación y compromiso del personal laboral más allá de la implantación de soluciones tecnológicas” (se hace firmar al personal un compromiso de confidencialidad), además de comunicaciones informativas sobre la responsabilidad de no entregar las notificaciones o cartas y/o hacer un uso indebido de ellas (aporta una comunicación de fecha 19/11/2021). “En el proceso de incorporación de los trabajadores se le facilita un pack de bienvenida con un compendio de normas y protocolos de obligado cumplimiento” (Código Ético y de Conducta, con fecha de implantación 16 de abril de 2018; políticas corporativas con las obligaciones y conductas prohibidas, con fecha de implantación 16 de abril de 2018; descripción del Canal de denuncias, con fecha de implantación 16 de abril de 2018; Régimen disciplinario y sancionador, con fecha de implantación 16 de abril de 2018; y Protocolo de actuación repartidores, con fecha de implantación 20 de octubre de 2020)”. En relación con la acreditación de las medidas adoptadas para garantizar la trazabilidad y seguimiento de envíos, CI POSTAL informó como sigue: “En el reparto postal ordinario, causa del incidente de seguridad por abandono de correspondencia, implantar medidas de trazabilidad y seguimiento del reparto conlleva un nivel de dificultad muy alta. Hasta el día de hoy, no se ha encontrado una solución tecnológica que permita tener constancia que el correo ordinario ha sido depositado en el buzón. Cabe recordar que CIPOSTAL recibe de sus clientes grandes volúmenes de correspondencia para repartir, sin desglose de datos algunos. Tan solo se nos entregan lotes de correspondencia donde el único dato que se posee es el número de cartas a repartir. Crear equipos de reparto de dos personas para poder controlar si se realiza el reparto o no, es una solución inviable por costes”. NOVENO. La entidad CI POSTAL, en sus respuestas a esta AEPD ha referido las medidas y acciones de naturaleza reactiva adoptadas con ocasión de las incidencias reseñadas en los Hechos Probados anteriores con el fin de evitarlas en el futuro: . “En primer lugar, se despidió a los trabajadores implicados en el incidente y se reunió al resto de la plantilla para recordar sus obligaciones de custodia de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/38 correspondencia y las consecuencias del incumplimiento. . Se ha realizado una nueva formación que sirva como refuerzo para la prevención de sucesos similares. . Recordatorio a todo el personal de clasificación y reparto mediante reuniones y escritos individualizados de las repercusiones legales que conlleva la retención, almacenamiento, ocultación, apertura o destrucción de cualquier envío postal. . Seguimiento a los repartidores de lo que trabajan, preguntando las calles donde estuvieron repartiendo y lo constatamos con el reparto que le hemos preparado”. “Se están estudiando y valorando si hay algún tipo de solución tecnológica que permita tener constancia que el correo se ha depositado en un buzón. Se ha reforzado el plan de formación y concienciación del equipo de trabajo para evitar incidentes futuros”. “…se ha incorporado un manual de formación en privacidad que recoge conceptos básicos para sus funciones, teniendo en cuenta que los repartidores en el 99% de los casos es un tratamiento de datos de consulta, sin capacidad de registro, modificación y eliminación de datos”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el artículo 4 del RGPD, se establece que: A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/38 persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; En el punto 2 del mismo artículo se define el concepto de “tratamiento” de datos personales. 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En el presente caso y de conformidad con el informe de la POLICIA LOCAL, de fecha de 22 de septiembre de 2022, se pone de manifiesto el hallazgo en un solar de correspondencia abandonada con datos personales (nombre y apellidos, y dirección postal), hasta un total de 1.404 cartas, con el logo de la empresa HISPAPOST, la cual fue contactada por los agentes de la POLICIA LOCAL, reconociendo dicha entidad que la correspondencia encontrada debía haber sido repartida por empleados de CI POSTAL, sin entender el motivo de que no se llevara a cabo dicho reparto y fuera abandonada la correspondencia. Posteriormente, se recibe nueva denuncia por parte de la Delegación Del Gobierno en Islas Baleares, en el que se da traslado de un escrito remitido por la Jefatura Superior De Policía De Las Illes Balears en relación con la localización de un total de 5354 cartas abandonadas en dos ubicaciones distintas de La Palma, y de cuya gestión era responsable la empresa HISPAPOST que gestionaba el reparto por medio de su distribuidor en La Palma CI POSTAL SL Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo es acorde con lo establecido en el RGPD. En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento...” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/38 En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32; (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/38 4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…). 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento. (…). Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el encargado del tratamiento. De las actuaciones practicadas, se ha constatado que la brecha tuvo como vector de entrada la acción negligente de uno o varios trabajadores desleales de la empresa CI POSTAL, empresa de reparto actuaba como subencargado de tratamiento de HISPAPOST, que al mismo tiempo actuaba como encargado de tratamiento de otras múltiples empresas responsables (o encargadas) del tratamiento de los datos personales que contenían las cartas abandonadas. CI POSTAL ha tratado datos personales de manera incompatible con el marco del tratamiento, tal y como ha sido determinado por HISPAPOST. Por ello, de conformidad con el artículo 28, apartado 10, del RGPD, CI POSTAL, como encargado del tratamiento de HISPAPOST, debe, en este supuesto, ser considerado responsable del tratamiento de datos personales con respecto a dicho tratamiento. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 RGPD, que reglamenta la seguridad del tratamiento. III Artículo 5.1.
- f)del RGPD Los hechos puestos de manifiesto se concretan en la existencia de varias brechas de datos personales consecuencia del abandono en espacios públicos, por parte de trabajadores de la entidad CI POSTAL, de correspondencia postal cuyo reparto debía llevarse a cabo por dicha entidad en virtud de los contratos formalizados por la misma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/38 con HISPAPOST. Ello posibilitó el acceso no autorizado por terceros a los datos personales relativos a los destinatarios de los envíos, concretamente a su nombre y dirección postal completa. Respecto de estos hechos, CI POSTAL actúa como responsable del tratamiento, según se ha expuesto en el fundamento anterior. Como tal, viene obligada a demostrar el cumplimiento RGPD y de la LOPDGDD y a aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento, conforme a lo establecido en el artículo 5.1.
- f)del RGPD, según el cual: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece evidencias suficientes de que CI POSTAL vulneró el artículo 5.1 del RGPD, principios relativos al tratamiento, al producirse una brecha de datos personales que tuvo como vector de entrada la acción de uno o varios trabajadores desleales de la empresa CI POSTAL, no garantizando debidamente la confidencialidad e integridad de los datos. En este sentido, el citado art. 5.1.
- f)del RGPD, prevé que los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños y perjuicios, materiales o inmateriales para las personas físicas (considerando 85 del RGPD). En tal sentido, el considerando 75 del RGPD establece que: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; …”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/38 Por tanto, el acceso no autorizado a los datos de carácter personal supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. En este mismo sentido, el artículo 28.2 de la LOPDGDD, y respecto de las obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de diversos riesgos, dispone que: “2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
- a)Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. …”. Y la Sentencia del Tribunal Constitucional (STC) 292/2000 en el FD séptimo, señala: “… resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” En el presente caso, ha quedado acreditado que existieron varias remesas de cartas que no fueron entregadas a sus destinatarios y, en lugar de ello, fueron arrojadas en espacios públicos, según los detalles que constan reseñados en los hechos probados de esta resolución, afectado a miles de envíos. El abandono de dichas cartas en un descampado en las que figuran datos de carácter personal (nombre y apellidos, y dirección postal), posibilitó, en algunos casos, su acceso no autorizado por terceros ajenos, y en otros casos, su destrucción o daño accidental no autorizado, vulnerándose los principios de confidencialidad y de integridad, ambos establecidos en el artículo 5.1.
- f)del RGPD. Todo ello ha sido reconocido por la propia entidad CI POSTAL. Por todo lo expuesto, se consideran que los hechos acontecidos son constitutivos de una infracción, imputable a CI POSTAL, por vulneración del artículo 5.1.
- f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
- f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/38 La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
- f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. Como agravantes: -
- b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/38 Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. CI POSTAL se dedica al transporte y entrega de toda clase de bienes e información, lo que implica el tratamiento de los datos personales de los clientes y destinatarios. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar una sanción de 120.000 € (CIENTO VEINTE MIL EUROS). VI Artículo 32 del RGPD En lo que respecta a la aplicación de la normativa de protección de datos al supuesto planteado, debe tenerse en cuenta que el RGPD, en su artículo 32, exige a los responsables y encargados del tratamiento, la adopción de las correspondientes medidas de seguridad necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales, solo los pueda tratar siguiendo instrucciones del responsable. Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/38
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente evidencia la vulneración del artículo 32.1 del RGPD, como consecuencia de la falta de medidas técnicas y organizativas apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo del tratamiento. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad al riesgo se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/38 acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “
(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. Para garantizar estos factores de la seguridad son necesarias medidas tanto de índole técnica como de índole organizativo que sean adecuadas para conseguir un nivel de seguridad adecuado al riesgo. En el presente caso, se evidencia que las medidas de seguridad que el responsable del tratamiento tenía implantadas en relación con los datos que sometía a tratamiento no eran adecuadas, con independencia de la brecha. Al referirse a las medidas preventivas que tenía implantadas en el momento en que tuvieron lugar los abandonos de cartas ocurridos, CI POSTAL, más allá del compromiso de confidencialidad que exige a sus trabajadores y de la información que facilita sobre sus protocolos internos o comunicaciones informativas sobre sus responsabilidades, no incluye ninguna medida de seguridad realmente adoptada con la finalidad de evitar en lo posible este tipo de incidencias. Así, en este caso, existen evidencias de la ausencia de medidas técnicas y organizativas de CI POSTAL que garanticen un nivel de seguridad adecuado al riesgo, al no disponer de un sistema que compruebe que las cartas llegan a sus destinatarios ni haber remitido a sus empleados instrucción concreta alguna sobre la forma de entrega de las cartas a los efectos de cumplir con la normativa en materia de protección de datos de carácter personal, salvo una acción formativa de una hora de duración al inicio de la relación laboral. No existía ninguna comprobación posterior, ni auditorías ni muestreos. Al contrario, en su respuesta a los servicios de inspección de esta AEPD, en relación con la acreditación de las medidas adoptadas para garantizar la trazabilidad y seguimiento de envíos, CI POSTAL admitió no disponer de ningún sistema de control, justificando este hecho como sigue: “En el reparto postal ordinario, causa del incidente de seguridad por abandono de correspondencia, implantar medidas de trazabilidad y seguimiento del reparto conlleva un nivel de dificultad muy alta. Hasta el día de hoy, no se ha encontrado una solución tecnológica que permita tener constancia que el correo ordinario ha sido depositado en el buzón. Cabe recordar que CIPOSTAL recibe de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/38 clientes grandes volúmenes de correspondencia para repartir, sin desglose de datos algunos. Tan solo se nos entregan lotes de correspondencia donde el único dato que se posee es el número de cartas a repartir. Crear equipos de reparto de dos personas para poder controlar si se realiza el reparto o no, es una solución inviable por costes”. El RGPD, además, exige no solo diseñar los medios técnicos y organizativos necesarios, también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. En definitiva, la responsabilidad del reclamado viene determinada por la inadecuación de las medidas de seguridad de carácter técnico y organizativas puestas de manifiesto ya que es responsable de tomar decisiones destinadas a implementar de manera efectiva medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y, entre ellas, las dirigidas a restaurar la disponibilidad e impedir el acceso a los datos en caso de incidente físico o técnico. Sin embargo, de la documentación aportada se desprende que la entidad incumple esta obligación, por cuanto los procedimientos implantados no comprueban el cumplimiento del encargo. Hay que insistir que la adecuación del nivel de seguridad al riesgo debe ser evaluada por el responsable y reconsiderada periódicamente en función de los resultados obtenidos, teniendo en cuenta para ello -entre otros factores- los riesgos que pueda presentar el tratamiento como consecuencia de la comunicación no autorizada de dichos datos. Las medidas técnicas y organizativas de seguridad que deben de aplicarse son las pertinentes para responder al riesgo existente, valorando, entre otros factores, el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento y los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Uno de los requerimientos que establece el RGPD para responsables y encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas de seguridad y control orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas. Esa falta de medidas de seguridad adecuadas que provoca la infracción del artículo 32.1 constituye una infracción en si misma considerada e independiente de los incidentes de seguridad detectados, brechas de datos personales producidas. De conformidad con lo expuesto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la entidad denunciada, por vulneración del artículo 32 del RGPD. IV Tipificación de la infracción del artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/38 La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679. V Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. CI POSTAL se dedica al transporte y entrega de toda clase de bienes e información, lo que implica el tratamiento de los datos personales de los clientes y destinatarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/38 En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 80.000 € (OCHENTA MIL EUROS). V Adopción de medidas Las infracciones en la materia que nos ocupa pueden dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Así, esta Agencia puede requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En el presente acto se establecen las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Durante las actuaciones previas al inicio del procedimiento sancionador, CI POSTAL ha comunicado a esta AEPD las medidas correctivas que adoptó con ocasión de los incidentes de seguridad y confidencialidad objeto del expediente, entre las que figura el despido de los trabajadores implicados, la realización de nuevas formaciones de los trabajadores, con elaboración de un manual sobre privacidad, o el envío a los mismos de recordatorios sobre las repercusiones legales que conlleva la retención de los envíos postales. No se cuestiona la validez de estas medidas, pero se declaran insuficientes en la medida en que ninguna de ellas contempla el establecimiento de mecanismos dirigidos a asegurar el efectivo reparto de las cartas a sus destinatarios, evitando que las mismas sean depositadas en un lugar inadecuado, salvo la medida que contempla el seguimiento a los repartidores, la cual, por otra parte, no se explica convenientemente. En consecuencia, procede requerir a CI POSTAL para que, en el plazo de seis meses, contado desde la fecha de ejecutividad de la presente resolución sancionadora, adopte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/38 las medidas técnicas y organizativas de todo tipo, incluidas las medidas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de forma que se dé cumplimiento a lo establecido en los artículos 5.1.
- f)y 32 del RGPD. A modo indicativo, entre las medidas a adoptar podrán contemplarse aquellas que tengan por objeto garantizar el control de las entregas postales, estableciendo un sistema viable de comprobación de la trazabilidad de las cartas que envían, control sobre las devoluciones, seguimiento de reclamaciones, mediciones, realización de inspeccione periódicas en la red de reparto, auditorías internas, establecimiento de modelos de gestión de calidad, circulación de envíos test o la implantación de panelistas internos o externos. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CORREO INTELIGENTE POSTAL, S.L., con NIF B95604021, - Por la infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 de dicha norma, una multa administrativa de cuantía de 120.000,00 euros. - Por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, una multa administrativa de cuantía de 80.000,00 euros. SEGUNDO: ORDENAR a CORREO INTELIGENTE POSTAL, S.L., con NIF B95604021, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas de seguridad: - Un sistema de comprobación de la trazabilidad de las cartas que envían. - Instrucciones concretas para los empleados indicando la formar de entregar las cartas de manera que se dé cumplimiento con la normativa de datos de carácter personal. TERCERO: NOTIFICAR la presente resolución a CORREO INTELIGENTE POSTAL, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/38 Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es