İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202208230

1/15

Expediente Nº: EXP202208230

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 16 de junio de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a FOURTH PARTY
LOGISTICS, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se
transcribe:

Expediente N.º: EXP202208230

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Dª. A.A.A. (en adelante, la parte reclamante) con fecha 29 de junio de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra “Envialia”.

Se hace constar la reclamación:

“Hoy 28 de junio a las 14.30 me llama el mensajero con teléfono ***TELÉFONO.1 para
entregarme un paquete de Carrefour. Al no estar en casa le indique que se lo dejase a
mi vecino del primero izquierda, B.B.B.. Me dijo que perfecto. Cuando llego 20
minutos después a casa mi vecino me dice que no le han entregado nada. Llamo al
transportista y me dice que un chico con gorra pasó por el portal y le dijo que era él y
se lo dio sin más. He reclamado a la empresa de transporte y me dice que se lo ha
llevado un tal C.C.C. y que busque entre los vecinos, cuando deberían hacerlo ellos.
Ya no es solo la falta de solución por el robo literal de mi paquete, sino que en el
mismo iban, a parte de mis mercancías, todos mis datos personales, DNI, teléfono,
dirección, nombre, apellidos y una factura de lo comprado con mis datos bancarios,
datos a los que yo no he autorizado en ningún momento a ellos a dar a un
desconocido que puede usar de manera ilícita provocándome un gran perjuicio. Por lo
que ruego intercedan.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/15

Junto a la reclamación se aporta hilo de los correos intercambiados con “Envialia”.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ENVIALIA WORLD (en
adelante, EW) para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 28 de julio de 2022 como
consta en el certificado que obra en el expediente.

Con fecha 25 de agosto de ese mismo año se recibe en esta Agencia escrito de
respuesta indicando que “…no ha tenido constancia de la misma hasta la notificación
recibida de la AEPD, por lo que no se ha podido dar respuesta a la reclamante, ya que
no contábamos ni con la reclamación ni con sus datos de contacto. Se procede a dar
respuesta al e-mail que figura en el Anexo 1 (***[email protected]) y se
adjunta copia de la respuesta dada.
b) Respecto a la decisión adoptada a propósito de esta reclamación: Es necesario
entender los roles de las distintas empresas que participan en el proceso de entrega:
Cliente: Contrata los servicios de la agencia de cargo.
Agencia de cargo: Actúa como Responsable del tratamiento, tiene contrato con
Envialia World que pone a su disposición la Red Envialia formada por otras agencias
con las que se tiene contrato.
Envialia World: Actúa como Encargado de tratamiento.
Agencia de Cargo: Actúa como subencargado de tratamiento
Destinatario: Es el interesado y en este caso perjudicado por la mala praxis del
mensajero de la agencia de cargo

Desde Envialia World consideramos este hecho como un robo y ante esta situación se
informa a las agencias responsables que pongan la correspondiente denuncia.
Por otra parte, ya sea la agencia de Cargo, como ENVIALIA WORLD o la agencia de
destino solo son responsables de los datos que figuran en la etiqueta que acompaña
el bulto a entregar, en ningún caso pueden ser responsables de los datos que pueda
haber dentro del bulto (como la factura que menciona el interesado con sus datos
bancarios) pues a estos ninguna de las empresas de ENVIALIA o agencias implicadas
accede ni debe acceder y ni siquiera sabe qué hay dentro del bulto.
Entendemos que en caso de existir algún tipo de vulneración de los derechos del
interesado es por parte del sub encargado de tratamiento que es la agencia de
destino. Por este motivo, procedemos a informarle de la reclamación recibida y
analizar los motivos que dieron lugar a la mala práctica en la entrega y a exigirle la
aplicación de medidas que eviten que se reitere el problema…”.

TERCERO: Con fecha 30 de agosto de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/15

cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Con fecha 12 de abril de 2023, se requirió información a EW para que aportase:

“1. Descripción de todos los sujetos intervinientes en la relación comercial y el proceso
de recogida / entrega de los envíos.
2. Documentación que acredite las relaciones de ENVIALIA WORLD S.L. con los
sujetos que describe en su contestación, y en particular contrato de encargo del
tratamiento de datos, ya que el punto 2.b) de su contestación define a ENVIALIA
WORLD S.L. como Encargada del tratamiento.”

En fecha 27 de abril de 2023 se recibió respuesta al mismo, en los siguientes
términos:

- Responde en el punto PRIMERO al punto 1 del requerimiento: “Cliente:
CENTROS COMERCIALES CARREFOUR, S.A., con NIF A28425270, y
domiciliada en P.I. “Las Mercedes”, calle Campezo 16, 28022 Madrid. Agencia
de cargo; FOURTH PARTY LOGISTICS, S.L., con NIF B86496007 y con
domicilio en Avenida Suiza 2, 28821, Coslada, Madrid. FOURTH PARTY
LOGISTICS SL, opera bajo la marca ENVIALIA, dentro de una red nacional de
transportes. FOURTH PARTY LOGISTICS subcontrata los servicios de
FOURTH PARTY SERVICES, S.L., empresa de la misma red, que mantiene
relaciones con ENVIALIA WORD, S.L., establecidas en un contrato de
transporte y mensajería. ENVIALIA WORLD SL, pone su red de transporte a
disposición de FOURTH PARTY SERVICES SL, para que Ileve a cabo la
gestión y la prestación de los servicios. En este caso, el envío de mensajería
fue realizado directamente por FOURTH PARTY SERVICES SL, a través de la
empresa THE BEE LOGISTICS, SLU, que fue quien debía entregar el paquete
a Dña. A.A.A.. El mensajero, entregó el paquete al vecino indicado por Dña.
A.A.A., hecho no controvertido por la denunciante, lo que ocurre, es que ella
indica que se llama B.B.B. y el paquete se entrega a C.C.C., quien lo recoge y
proporciona su DNI. Por otro lado, los datos de los que disponía únicamente
FOURTH PARTY SERVICES SL, son los que aparecen en el paquete,
únicamente identificativos, y en ningún caso existen datos bancarios, ni
documento nacional de identidad o equivalente. En cualquier caso, tras lo
ocurrido, FOURTH PARTY SERVICES SL, solicitó a THE BEE LOGISTICS,
SLU. que adoptase medidas preventivas y reactivas, y que revisase con sus
trabajadores el Manual de operaciones de Envialia, para su adecuado
cumplimiento. El proceso de recogida y entrega es el siguiente:
1. El cliente compra en Carrefour, a través de su plataforma online, y este, una vez
completado el proceso de compra, da la orden a su proveedor de transporte y
mensajería, FOURTH PARTY LOGISTICS SL, para que lleve a cabo la entrega. La
comunicación diaria de la relación de envíos que viajarán por la red de Envialia, se
realiza a través de un Servicio SOAP, donde se extrae un XML, con los datos
necesarios para la correcta gestión y entrega de los mismos (dirección, tipo de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/15

servicio, observaciones, etc.). La etiqueta se genera a partir de un código ZPL, con un
código de barras en CODE 128.
2. FOURTH PARTY LOGISTICS, a través de FOURTH PARTY SERVICES lleva a
cabo la entrega de este paquete, con la colaboración de la empresa de transporte
THE BEE LOGISTICS, contratada para este servicio.
3. THE BEE LOGISTICS SLU, realiza la entrega a la persona indicada por la
compradora -Dña. A.A.A.-.”

- Responde en el punto SEGUNDO al punto 2 del requerimiento: “Respondiendo
a esta cuestión, adjuntamos el contrato vigente, formalizado entre
CARREFOUR Y FOURTH PARTY LOGISTICS SL. El contrato entre FOURTH
PARTY LOGISTICS y THE BEE LOGISTICS SLU, es un contrato verbal, por
cuanto hasta septiembre de 2022 no entró en vigor el RD-Ley 3/2022, que
estableció la obligatoriedad de que de los contratos de transporte continuado
fuesen por escrito, dando además plena validez para los contratos de
transporte esporádicos únicamente la correspondiente carta de porte.”

EW aporta copia de un contrato de prestación de servicios entre FOURTH
PARTY LOGISTICS S.L. y CENTROS COMERCIALES CARREFOUR S.A.
para la distribución, el reparto domiciliario y entrega de la mercancía vendida.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Posible infracción administrativa.

En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por
responsable del tratamiento y encargado del tratamiento. Así tenemos, como:

“7) «responsable del tratamiento» o «responsable» es la persona física o
jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros,
determine los fines y medios del tratamiento; si el Derecho de la Unión o de los
Estados miembros determina los fines y medios del tratamiento, el responsable
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/15

del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;

8) «encargado del tratamiento» o «encargado» es la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento;..”

En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad
pública, que decide sobre el tratamiento de los datos personales, determinando los
fines y los medios de dicho tratamiento.

En virtud del principio de responsabilidad proactiva el responsable del tratamiento
tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que
implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el
cumplimiento.

Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad
pública, servicio u otro organismo que presta un servicio al responsable que conlleva
el tratamiento de datos personales por cuenta de éste.

En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los
datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a
cargo del responsable.

La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde
se establecen los requisitos que debe cumplir respecto a la protección de datos:
1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiados, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general, del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable la oportunidad de oponerse
a dichos cambios.
3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/15

b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;

c) tomará todas las medidas necesarias de conformidad con el artículo 32;

d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;

e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de
medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este
pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto
el ejercicio de los derechos de los interesados establecidos en el capítulo III;

f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento
y la información a disposición del encargado;

g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros;

h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.

En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.

4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo
determinadas actividades de tratamiento por cuenta del responsable, se impondrán a
este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al
Derecho de la Unión o de los Estados miembros, las mismas obligaciones de
protección de datos que las estipuladas en el contrato u otro acto jurídico entre el
responsable y el encargado a que se refiere el apartado 3, en particular la prestación
de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas
de manera que el tratamiento sea conforme con las disposiciones del presente
Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos,
el encargado inicial seguirá siendo plenamente responsable ante el responsable del
tratamiento por lo que respecta al cumplimiento de las obligaciones del otro
encargado. (…).

Estas obligaciones específicas podrán ser supervisadas por las autoridades de
protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/15

con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el
encargado del tratamiento.

De acuerdo con lo establecido en el artículo 28 RGPD, el responsable y el encargado
de tratamiento de datos deben regular el tratamiento de datos en un contrato u acto
jurídico que vincule al encargado respecto al responsable; ese contrato o acto jurídico
deberá establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el
tipo de datos personales y categorías de interesados, las obligaciones y derechos del
responsable, etc.

El encargado del tratamiento, a su vez, podrá recurrir a otro encargado
(“subencargado”) siempre que disponga de autorización previa por escrito del
responsable del tratamiento, ya sea una autorización específica o general. En estos
casos, se impone al encargado la obligación de informar al responsable de los
cambios en la incorporación o sustitución de otros encargados, a fin de que dicho
responsable pueda oponerse a tales cambios.

La relación que vincule al responsable del tratamiento y al encargado, o a éste y a otro
encargado, deberá formalizarse por escrito, inclusive en formato electrónico. En
ambos casos deberán imponerse al encargado o “subencargado” las mismas
obligaciones a que se refiere el apartado 3 del artículo 28 transcrito.

En el presente caso, EW explica que:

“- Envialia World tiene un contrato de transporte y mensajería con Fourth Party
Logistics. - Fourth Party Logistics subcontrata los servicios de Fourth Party Services.
- Envialia World pone su red de transporte al servicio de Fourth Party Services para
que lleve a cabo la prestación del servicio.
- Fourth Party Logistics tiene un contrato verbal de mensajería con The Bee Logistics,
empresa a la que identifica como “agencia de cargo” y que sería responsable de la
entrega del paquete”.

Se aporta copia de un contrato de servicios entre CENTROS COMERCIALES
CARREFOUR SA con NIF A28425270 (como cliente, aunque no aparece su firma) y
FOURTH PARTY LOGISTICS SL con NIF B86496007 (como transportista), para
entrega de mercancías a domicilio, en cuyo apartado sobre protección de datos se
declara que la primera es responsable, y la segunda encargada, del tratamiento de los
datos personales.

En dicho contrato se establece expresamente que “…En aquellos casos en los que el
servicio subcontratado suponga el acceso o el tratamiento de datos personales
propiedad del CARREFOUR por parte de la empresa subcontratada el
TRANSPORTISTA deberá garantizar que la subcontratación se realiza en
cumplimiento de lo dispuesto en la legislación aplicable y, en particular, por lo previsto
en la normativa de Protección de Datos de Carácter Personal.

En el caso de que los subcontratistas autorizados, tenga acceso a datos personales
responsabilidad de CARREFOUR, actuará como subencargado del tratamiento,
siendo lo siguiente de aplicación:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/15

• El TRANSPORTISTA notificará a CARREFOUR la identidad del subencargado antes
de proceder a la subcontratación;
• El tratamiento de datos por parte del subencargado deberá ajustarse a las
instrucciones de CARREFOUR; y
• El TRANSPORTISTA y el subencargado suscribirán un contrato/cláusula que se
ajuste a lo dispuesto en la normativa de Protección de Datos.

El TRANSPORTISTA notificará a CARREFOUR la celebración de este contrato con el
subencargado y le facilitará una copia en el caso que así lo solicite…”

EW afirma que entre FOURTH PARTY LOGISTICS SL y THE BEE LOGISTICS SL
existe un contrato verbal de servicios, pero no queda acreditado.

Es evidente que entre ENVIALIA WORLD SL, FOURTH PARTY SERVICES SL y
FOURTH PARTY LOGISTICS SL existen relaciones contractuales; si bien, no se ha
aportado documentación de las mismas.

En consecuencia, FOURTH PARTY LOGISTICS SL, ENVIALIA WORLD SL, FOURTH
PARTY SERVICES SL, y THE BEE LOGISTICS SL tendrían necesariamente que
realizar también tratamiento de los datos personales; si bien, FOURTH PARTY
LOGISTICS SL lo haría en su condición de encargado del tratamiento y ENVIALIA
WORLD S.L., FOURTH PARTY SERVICES SL y THE BEE LOGISTICS SL., como
subencargados del mismo.

Analizada la relación de los distintos intervinientes es evidente que las
subcontrataciones no se ajustan a lo dispuesto en la normativa de protección de datos
vigente, debido a la falta de formalización de contratos o actos jurídicos, así como la
falta de autorizaciones previas a sus formalizaciones.

De conformidad con las evidencias de las que se dispone en este acuerdo de
iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a FOURTH PARTY LOGISTICS SL por vulneración de los
artículos 28.2 y 28.3 del RGPD.

IV
Tipificación de la infracción del artículo 28.2 del RGPD

De confirmarse, la citada infracción del artículo 28.2 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/15

(…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
l) La contratación por un encargado del tratamiento de otros encargados sin contar
con la autorización previa del responsable, o sin haberle informado sobre los cambios
producidos en la subcontratación cuando fueran legalmente exigibles. (…)”.

V
Sanción por la infracción del artículo 28.2 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía,
procede graduar la sanción a imponer de acuerdo con los siguientes criterios que
establece el artículo 83.2 del RGPD:

Como agravantes:

- b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.

La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”

FOURTH PARTY LOGISTICS SL es una empresa que se dedica Transporte de
mercancías por tráfico ferroviario por vía normal y estrecha, transporte de mercancías
por carretera, otros transportes terrestres, transporte marítimo de mercancías
internacional (excepto de crudos y gases), transporte de cabotaje y por vías
navegables interiores (excepto de crudos y gases).

Las empresas de transporte manejan una cantidad de datos muy importante, tanto los
datos de los clientes, los respectivos a sus envíos, así como la de los empleados como
proveedores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/15

FOURTH PARTY LOGISTICS SL está inscrita en el Registro Mercantil de Madrid, es
una empresa de tamaño pequeña cuyo capital social está en el tramo de 50.001 -
100.000€, con una cantidad de empleados de entre 11 y 50 y un importe de ventas de
entre 3.000.001 y 50.000.000€.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 28.2 del RGPD, permite fijar inicialmente una sanción de
60.000 € (SESENTA MIL EUROS).

VI
Tipificación de la infracción del artículo 28.3 del RGPD

De confirmarse, las citada infraccione del artículo 28.3 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del
Reglamento (UE) 2016/679. (…)”.

VII
Sanción por la infracción del artículo 28.3 del RGPD

11/15

Como agravantes:

- b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.

Las empresas de transporte manejan una cantidad de datos muy importante, tanto los
datos de los clientes, los respectivos a sus envíos, así como la de los empleados como
proveedores.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de
60.000 € (SESENTA MIL EUROS).

VIII
Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/15

infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,

SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FOURTH PARTY
LOGISTICS, S.L., con NIF B86496007, por la presunta infracción de los artículos 28.2
y 28.3 del RGPD, ambas tipificadas en el artículo 83.4 a) del RGP.

SEGUNDO: NOMBRAR como instructor a D.D.D. y, como secretario, a E.E.E.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (LRJSP).

TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el artículo 64.2 b) de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
lo sucesivo, LPACAP), la sanción que pudiera corresponder, sin perjuicio de lo que
resulte de la instrucción, sería de:

SESENTA MIL EUROS (60.000€) por presunta infracción del artículo 28.2 tipificada en
el artículo 83.4 a) RGPD.

SESENTA MIL EUROS (60.000€) por presunta infracción del artículo 28.3 tipificada en
el artículo 83.4 a) RGPD.

QUINTO: NOTIFICAR el presente acuerdo a FOURTH PARTY LOGISTICS, S.L., con
NIF B86496007, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura
en el encabezamiento de este documento.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/15

reducción, la sanción quedaría establecida en 96.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 96.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 72.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (96.000,00 euros o 72.000,00 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.

935-290523
Mar España Martí
Directora de la Agencia Española de Protección de Datos

SEGUNDO: En fecha 3 de julio de 2023, la parte reclamada ha procedido al pago de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/15

la sanción en la cuantía de 72000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.

TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/15

del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento EXP202208230, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: NOTIFICAR la presente resolución a FOURTH PARTY LOGISTICS, S.L..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

936-040822
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

AEPD (Spain) - EXP202208230

Karar metni