AEPD (Spain) - EXP202304094

1/38

 Expediente N.º: EXP202304094

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

HECHOS

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de febrero de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra TELEFÓNICA SERVICIOS INTEGRALES DE
DISTRIBUCIÓN, S.A. con NIF A82261280 (en adelante, ZELERIS). Los motivos en
que basa la reclamación son los siguientes:

La parte reclamante manifiesta que era destinatario de un paquete cuya gestión de
entrega correspondía a ZELERIS y que ésta entregó el referido paquete, que contenía
un terminal móvil, que solo debía ser entregado a la parte reclamante, a (…) del
inmueble donde se encuentra ubicada la vivienda de la parte reclamante, todo ello sin
su consentimiento, poniendo a disposición de un tercero, sus datos personales.

Aporta copia del contrato de telefonía del que es titular, mensajes remitidos por la
parte reclamada sobre la gestión de entrega del paquete con el terminal móvil, de
fecha 13 y 23 de septiembre, y copia del albarán de entrega del paquete, de fecha 23
de septiembre de 2022, en el que figura una firma ajena a la parte reclamante y, entre
otros datos, el número de DNI de la parte reclamante.

El reclamante reside (y así consta en el contrato de telefonía) en la calle
***DIRECCIÓN.1; en el albarán de entrega consta la calle ***DIRECCIÓN.2.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ZELERIS, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 30 de marzo de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 28 de abril de 2023 se recibe en esta Agencia escrito de respuesta
indicando lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/38

Adjuntan, como Documento Anexo N.º 1, la circular de operaciones interna de fecha
21 de febrero de 2022, diseñada e implantada por el equipo de seguridad de
ZELERIS, que ha sido entregada a todos los trabajadores afectados, y en la que se
detalla la operativa concreta a seguir por ellos mismos para el tipo de entrega que
afecta a esta reclamación concreta, y que se denomina internamente “entrega a
titular”, así como las consecuencias que se pueden derivar de un posible
incumplimiento.

ZELERIS informa que, una vez recibido el expediente, se ha procedido a analizar
internamente la reclamación, para ello, entre otras, se ha revisado el sistema que
conserva la entrega del pedido objeto de reclamación.

En este caso, informan que ZELERIS tiene constancia de que esta entrega se ha
realizado correctamente en el lugar de entrega; que la persona encargada de realizar
la entrega, la llevó a cabo siguiendo la operativa implementada, sin que haya ninguna
incidencia que reportar.

Desde ZELERIS, y a la vista de lo ocurrido en este asunto, se ha dado traslado al
equipo de trabajo interno encargado de la distribución de los conductores que realizan
las entregas al objeto de realizar los recordatorios pertinentes sobre la obligatoriedad
de trabajar conforme a operativa.

Por otro lado, también se ha reforzado la operativa interna de trabajo acerca de las
entregas a titular.

TERCERO: Con fecha 9 de mayo de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A. es una empresa
constituida en el año 1999, y con un volumen de ventas de (…) euros en el año 2022.

QUINTO: Con fecha 9 de febrero de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción de lo dispuesto en los artículos 5.1.f) y
32 del RGPD, tipificadas, respectivamente en el artículo 83.5 y 83.4 del RGPD.

SEXTO: Con fecha 20 de febrero de 2024 ZELERIS presentó un escrito mediante el
que solicitaba una ampliación del plazo para presentar alegaciones.

SÉPTIMO: Con fecha 22 de febrero de 2024, el órgano instructor del procedimiento
acordó la ampliación del plazo instada hasta un máximo de cinco días, de acuerdo con
lo dispuesto en el artículo 32.1 de la Ley 39/2015, de 1 de octubre.

El citado acuerdo se notificó a ZELERIS en fecha 26 de febrero de 2024, como consta
en el acuse de recibo que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/38

OCTAVO: Con fecha 1 de marzo de 2024 se recibe en esta Agencia escrito de
ZELERIS en el que aducía alegaciones.

NOVENO: Con fecha 6 de noviembre de 2024, el órgano instructor del procedimiento
acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados
a efectos probatorios la reclamación interpuesta y su documentación, los documentos
obtenidos y generados durante la fase de admisión a trámite de la reclamación, las
alegaciones al acuerdo de inicio del presente procedimiento sancionador y la
documentación que a ellas acompaña.

Ese mismo día, esta Agencia ha requerido a ZELERIS para que en el plazo de 10 días
hábiles presentara la siguiente información:

- aporte copia de la etiqueta que iba impresa en el paquete entregado a la parte
reclamante, o en su defecto, copia del modelo de etiqueta que se adjunta en los
paquetes entregados por la empresa.

- aporte copia del contrato de prestación de servicio de transporte y manipulado que
tiene firmado con TELEFÓNICA DE ESPAÑA S.A.U.

Con fecha 21 de noviembre de 2024, ZELERIS presentó escrito de respuesta ante
esta Agencia, con la documentación requerida.

DÉCIMO: Con fecha 20 de diciembre de 2024 se formuló propuesta de resolución, en
la que se daba respuesta a las alegaciones aducidas y se proponía:

-Que por la Directora de la Agencia Española de Protección de Datos se sancione a
TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF
A82261280, por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 de dicha norma, multa administrativa de cuantía 70.000 euros

-Que por la Directora de la Agencia Española de Protección de Datos se archive a
TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF
A82261280, la infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4 del
RGPD.

-Que por la Directora de la Agencia Española de Protección de Datos se ordene a
TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A., con NIF
A82261280, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 6 meses,
acredite la adopción de las medidas adecuadas conforme el RGPD, para que sus
repartidores no incumplan los protocolos establecidos y no entreguen un paquete en
un domicilio distinto al del destinatario del paquete en cuestión, ni realicen entregas sin
comprobar fehacientemente la identidad de la persona a la que se entrega el paquete.

UNDÉCIMO: Con fecha 24 de diciembre de 2024 se presenta escrito solicitando
ampliación del plazo para presentar alegaciones, a lo que se accede en fecha 9 de
enero de 2025.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/38

DUODÉCIMO: Con fecha 16 de enero de 2025 se recibe en esta Agencia escrito de
ZELERIS en el que aducía alegaciones. En estas alegaciones, en síntesis,
manifestaba que:

ZELERIS se reitera en las alegaciones presentadas al acuerdo de inicio, al considerar
que esta Agencia no ha tenido en cuenta todas las circunstancias acontecidas en los
hechos que se pretenden sancionar, y que no se ha desvirtuado las alegaciones
efectuadas por ZELERIS.

Añade que ZELERIS no ha incurrido en la infracción típica que le imputa esta Agencia,
y que sí dispondría de las medidas de seguridad, tal y como se ha apreciado por la
Agencia.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
EXPEDIENTE SANCIONADOR.

Primera. Inexistencia de comisión de la infracción. disconformidad con la propuesta de
Resolución.

ZELERIS manifiesta que esta Agencia cuestiona en la propuesta de resolución tanto la
diligencia debida a la hora de hacer entrega del paquete que es objeto de este
expediente, como los datos personales que contiene la etiqueta del paquete a
entregar, al considerarse el dato del número de teléfono de la parte reclamante como
un dato excesivo, y que habría supuesto la vulneración del principio de
confidencialidad.

a). Sobre la diligencia debida en las entregas.

ZELERIS quiere manifestar que el hecho que ha motivado este expediente
sancionador es un caso aislado que tiene como origen que la dirección proporcionada
por TELEFÓNICA DE ESPAÑA, S.A.U., o TELEFÓNICA era errónea, de tal manera
que este dato no habría sido recabado por ZELERIS.

De este modo, ZELERIS a pesar del error y con la firme convicción de que la dirección
era correcta, realizó la entrega en la dirección con la que contaba, y quiere añadir que
la parte reclamante no respondió al mensaje de texto SMS que le fue enviado para
que confirmara sus datos. Por ello, ZELERIS quiere incidir en la propia
responsabilidad del cliente final, para entender que su actuación no puede
considerarse como “de falta de diligencia debida”.

b). Sobre las medidas de seguridad, operativa actualizada y refuerzo a los empleados
y proveedores.

ZELERIS quiere manifestar que cuenta con medidas técnicas y organizativas
apropiadas en lo que respecta al tratamiento de datos personales que se lleva a cabo,
toda vez que la Agencia ha propuesto el archivo de la infracción del artículo 32.

Entiende que estas medidas son apropiadas y garantizan un nivel de seguridad
adecuado al riesgo teniendo en cuenta el estado de la técnica, los costes de aplicación
y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como riesgos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/38

probabilidad y gravedad variables para los derechos y libertades de las personas
físicas.

ZELERIS quiere destacar las siguientes medidas que tiene implantadas, entre otras:

i) la continua actualización de la operativa interna que realiza el equipo de seguridad y
operaciones, y que se hace llegar a todos los trabajadores mediante circulares y que
se adjunta al escrito de alegaciones a la propuesta de resolución.

ii) inclusión de cláusulas en los contratos de distribución de paquetería y mensajería
con proveedores.

iii) una vez detectada la incidencia, ZELERIS informó a la empresa colaboradora que
había realizado este servicio para identificar al trabajador que realizó este servicio y le
amonestara.

ZELERIS quiere poner de manifiesto que esta actuación evidenciaría que habría
actuado con la diligencia debida.

c) obligación de medios y no de resultados.

ZELERIS entiende que, con la propuesta de resolución, esta Agencia está imponiendo
una obligación objetiva de resultados, y que sus medidas de seguridad sean infalibles,
basándose en el resultado de operativas que deben seguir los trabajadores o
mensajeros más allá de la exigencia de medios establecida en los artículos 25 y 32 del
RGPD y confirmada jurisprudencialmente. A este respecto recoge la STS 188/2022 de
15 de febrero.

ZELERIS considera que, a pesar del diseño e implementación de medidas de
seguridad para la realización de los envíos, hay ocasiones en las que, por causas no
imputables a ZELERIS no es posible seguir la operativa marcada, el trabajador es
engañado para no seguir la operativa o directamente, por decisión propia, se aparta de
la misma.

Asimismo, quiere manifestar que no ha sido sancionada nunca por esta Agencia desde
su constitución en el año 1999, lo que demostraría la diligencia debida que emplea en
su actividad.

d) volumen de entregas.

En este punto ZELERIS quiere manifestar que:

-casi el 80% de sus envíos, son a personas físicas,

-en el día en que se produjo la incidencia que ha motivado este expediente
sancionador, se produjeron en la misma provincia 3.063 expediciones, y no hubo
ninguna incidencia similar a ésta.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/38

Por lo tanto, entiende que el porcentaje de incidencias en proporción al volumen de
envíos es muy reducido y no habría provocado reclamaciones en materia de
privacidad.

2. Sobre la inclusión del número de teléfono de contacto en la etiqueta.

ZELERIS quiere manifestar que la inclusión del número de teléfono de contacto del
cliente en la etiqueta no supone el incumplimiento del principio de minimización de
datos, toda vez que es un dato necesario para una correcta prestación del servicio.

De este modo, quiere hacer ver a esta Agencia la necesidad de que el número de
teléfono de contacto esté incluido en dicha etiqueta, debido al volumen de grandes
clientes que le encargan entregas, lo cual implica que es necesario contar con un gran
número de subcontratistas en todo el territorio nacional, y por ello es necesario que
figure, para poder cumplir con la correcta entrega de los paquetes.

a) exigencia de grandes clientes que tienen su propio sistema de etiquetado.

ZELERIS manifiesta que:

i) hay clientes que vuelcan automáticamente en los sistemas de ZELERIS los datos, y
que ésta únicamente tiene que imprimir y pegar las etiquetas en el paquete, de tal
manera que es el propio responsable el que determina que datos incluye en dicha
etiqueta.

ii) hay clientes que presentan como exigencia contractual que el mensajero contacte
telefónicamente con el cliente final, por lo que es necesario que el mensajero disponga
de un teléfono de contacto de manera rápida y sencilla.

iii) para poder resolver incidencias en tiempo real y evitar devoluciones innecesarias
que afectan negativamente a remitentes y destinatarios.

b) No todos los colaboradores disponen de los mismos medios técnicos.

En ocasiones estas empresas colaboradoras no disponen de “PDA”, y, por tanto, no
disponen del albarán digitalizado con los datos de la entrega, por lo que, en caso de
improviso, no tienen forma de contactar con el cliente.

En otras ocasiones, hay falta de cobertura y conectividad, de tal manera que el
número de teléfono se extrae de la etiqueta de forma inmediata.

Insiste en que el hecho de que el número de teléfono figure en la etiqueta ha
determinado que las entregas tengan un porcentaje de éxito elevado, se realicen en
menos tiempo, y hasta el momento no se han producido reclamaciones reseñables en
materia de protección de datos que se hayan materializado en forma de sanciones por
parte de esta Agencia.

c) ámbito de difusión del dato.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/38

ZELERIS indica que esta Agencia afirma que el dato del número de teléfono móvil de
contacto ha quedado expuesto en manos de un tercero, produciéndose una brecha de
confidencialidad, debido a dos circunstancias:

i) que dicho dato iba incluido en la etiqueta del paquete

ii) que la entrega se realizó sin seguir el protocolo interno de entrega al titular.

ZELERIS insiste en este punto que la inclusión del número de teléfono en la etiqueta
no es de ningún modo un dato excesivo, al tratarse de un dato necesario para
provisionar correctamente el servicio de entrega.

No obstante, quiere destacar que la posible difusión que haya podido tener el dato del
teléfono de contacto ha sido muy reducida, mínima, acotada, restringida y controlada
pues solo ha tenido acceso al mismo un vecino. Entiende que habría sido mucho más
grave que el dato hubiera quedado expuesto en fuentes de información de acceso
público o en internet o redes sociales.

d) momento en el que se produce el hecho.

ZELERIS quiere manifestar que los hechos se produjeron en el año 2022, de tal
manera que considera que los riesgos existentes en dicho año no son los mismos que
los existentes en la actualidad.

Hace esta manifestación para que esta Agencia sea consciente de que, hasta hace
unos años, la sensibilidad de que un dato personal como en este caso quedara
expuesto no es la misma que en la actualidad.

e) medidas correctoras.

En estos últimos dos años, ZELERIS habría ido implementando cambios en la forma
de trabajar. De este modo, hace mención a las siguientes medidas:

i) implementadas: inclusión del (…).

(…).

ii) en proceso de implantación:

(…).

(…).

II. SOBRE LOS FUNDAMENTOS DE DERECHO.

Primera. Sobre la presunta infracción cometida por parte de ZELERIS: ausencia de
tipicidad, antijuridicidad y culpabilidad.

ZELERIS, reitera las alegaciones que presentó al acuerdo de inicio, y manifiesta que,
para que una conducta pueda ser reprochada debe ser típica, antijurídica y culpable, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/38

en este punto entiende que se estaría vulnerando el principio d tipicidad en la medida
en que la conducta de ZELERIS no es subsumible en el precepto cuya infracción se
imputa.

De este modo, ZELERIS entiende que la acción no puede ser típica en la medida en
que la entrega se produjo en la dirección que TELEFONICA había facilitado, y sin que
la parte reclamante modificara los datos cuando fue advertido por ZELERIS que
confirmara sus datos de entrega.

Además, entiende que no se ha producido una brecha de seguridad de carácter
confidencial porque los datos aportados en el pedido son los necesarios para la
correcta prestación del servicio, tal y como se ha expuesto con anterioridad.

Insiste en que los datos que aparecen en la etiqueta del paquete son los mínimos
imprescindibles, y que el tercero no tiene acceso a los datos del albarán.

Por otro lado, entiende que la conducta tampoco puede ser considerada antijurídica,
en la medida en que ZELERIS habría actuado de buena fe y fundada creencia
excluyente de culpabilidad, y con el objetivo de cumplir con la correcta entrega de los
envíos. De este modo, entiende que la antijuridicidad de la conducta, como elemento
configurador de un ilícito administrativo, exige en su vertiente formal que exista una
oposición entre el comportamiento y la norma infringida, de tal manera que si el
comportamiento viene avalado por el ordenamiento jurídico no podrá hablarse de una
conducta antijurídica.

Por último, ZELERIS quiere manifestar que no concurre el elemento de culpabilidad,
en la medida en que su conducta revela una inequívoca voluntad de proceder
conforme a Derecho, y teniendo voluntad de cumplimiento, y siendo la diligencia
debida incuestionable.

Quiere manifestar también que es doctrina reiterada la que considera que los
principios inspiradores del orden penal son de aplicación al derecho sancionador,
señalando que uno de los principales componentes de la infracción administrativa es el
elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en
todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia
inexcusable.

En este punto ZELERIS recuerda la STC76/90, de 26 de abril, y añade que es
necesario en un procedimiento administrativo tener la constatación de la intervención
culpable de ZELERIS, y que, en este caso, no se habría producido.

Segunda. Incumplimiento del principio de proporcionalidad en las sanciones.

ZELERIS quiere manifestar que ya habría quedado acreditado que no concurre ningún
hecho que motive la imputación de la infracción, pero, para el caso de que esta
Agencia no resuelva proceder con el archivo de este procedimiento sancionador,
entiende que también se vulneraría el principio de proporcionalidad.

Para ello, hace mención a:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/38

- la STS de 2 de junio de 2003 según la cual el principio de proporcionalidad “tiende a
adecuar la sanción, al establecer su graduación concreta dentro de los márgenes
posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de
antijuricidad como de culpabilidad, ponderando en su conjunto las circunstancias
objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en
particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o
reiteración, la naturaleza de los perjuicios causados y la reincidencia”.

-la sentencia del 30 de octubre de 2020 del recurso contencioso-administrativo número
948/2018 de la Audiencia Nacional, quien recuerda que “el margen de apreciación que
se otorga a la Administración en la imposición de sanciones dentro de los límites
legalmente previstos, debe ser desarrollado ponderando en todo caso las
circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción
entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe
determinarse en congruencia con la entidad de la infracción cometida y según un
criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y reduce el ámbito de sus potestades sancionadoras”.

-órganos legislativos nacionales y europeos que también han tenido en cuenta este
principio jurídico a la hora de configurar la normativa de protección de datos, como los
considerandos 4, 129 y 148, así como el artículo 83 del RGPD.

Las razones de ZELERIS para considerar que se vulnera el principio de
proporcionalidad son las siguientes:

i) este es el primer expediente sancionador desde el año 1999.

ii) la proporción del volumen de envíos en un año y el número de reclamaciones por
vulnerar la privacidad evidencia que las medidas de seguridad implantadas son
eficaces.

iii) el dato expuesto ha afectado a una sola persona, y se ha producido a (…).

iv) ZELERIS ha adoptado las medidas pertinentes para ir reduciendo el riesgo de que
los datos queden expuestos en caso de producirse alguna incidencia.

Por todo ello entiende que debería disminuirse considerablemente el importe de la
sanción.

Tercera. Sobre los criterios de graduación de la sanción.

ZELERIS vuelve a reiterarse en las alegaciones presentadas al acuerdo de inicio, y
muestra su disconformidad con la aplicación de los siguientes agravantes:

i) La naturaleza, gravedad y duración de la infracción, en el que se reiteran en las
alegaciones presentadas al acuerdo de inicio, y además solicita a esta Agencia que
valore todas circunstancias expuestas, al tratarse de un error puntual y aislado, en el
que no se habría causado perjuicios a la parte reclamante, y que el dato personal tuvo
una difusión mínima.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/38

ii) Intencionalidad/negligencia. ZELERIS manifiesta que tuvo una actitud que revelaría
una inequívoca voluntad de proceder conforme a derecho, sin intención de infringir la
norma y teniendo en todo caso una voluntad de cumplimiento. Añade que cuenta con
las medidas técnicas necesarias y adecuadas para la gestión de envíos a titular, y que,
como se ha constatado, ha sido el mensajero el que decide apartarse de estas
medidas, no pudiendo hablarse en este caso de intencionalidad.

Añade que el tipo infractor ya asumiría, por si mismo, el elemento culpabilísimo de la
negligencia enjuiciada, por lo que, dado que no existe un plus o mayor intensidad del
sancionado en su conducta, no debería haberse tenido en cuenta como agravante a
los efectos de imponer la sanción. Para ello, cita la sentencia de la Audiencia Nacional
de 1 de junio de 2024 en la que se recoge:

“En la demanda se alega que se han tenido en cuenta dos circunstancias de
agravación que consisten en la negligencia de la actora al modificar el contrato sin
tener la certeza de que la persona que llamó solicitando el cambio de potencia
actuase en representación del titular del contrato (art. 83.2.b) RGPD. (EDI.
2016/48900). Y la vinculación de la actividad del infractor con la realización del
tratamiento de datos personales (art. 76.2.b de la LO 3/2018 (EDI 2018/128249).

En cuanto a la proporcionalidad sancionadora la misma se entiende como la
adecuación, según criterios de justicia y equidad, entre los hechos objeto del tipo
infractor y la determinación de la sanción aplicable, teniendo en cuenta la intensidad
de la culpa interviniente, esto es el grado de intencionalidad, descuido o negligencia
que revele la conducta. Y desde luego, se exige una motivación sobre el juicio de
intensidad de la culpa interviniente. Con lo que enlazamos con la primera de las
agravaciones discutidas.

Es evidente que estas sanciones que nos ocupan solo se pueden imponer si existe
culpa o negligencia, de esta manera sin la existencia del elemento culpabilístico no
puede apreciarse la existencia de infracción de tipo alguno. Lo cual nos lleva a
considerar que dicho elemento culpabilístico se encuentra inmerso en el tipo de la
infracción, por ello este Tribunal entiende que en tanto no se demuestre, acredite y se
justifique la existencia de un dolo excesivo, de un plus de culpa en la conducta del
sancionado, la culpa o negligencia debe considerarse como integrante del tipo
infractor sin elevarla a la categoría de agravación de la sanción. No existe en este
caso prueba alguna de una intencionalidad o negligencia mayor o superior a la del tipo
que pueda tomarse en consideración para aumentar la gravedad del hecho
sancionado en ninguna de las dos infracciones, por lo que se excluye dicha agravante
con el resultado de una disminución de la sanción pecuniaria””

iii) la vinculación de la actividad del infractor en la realización de tratamiento de datos
personales

ZELERIS entiende que no debe aplicarse este agravante en la medida en que se
trataría de un supuesto concreto y excepcional, que no ha generado controversia ni
sanciones en materia de protección de datos previa a este expediente, lo que
equivaldría a suponer que en cualquier tipo de infracción que se decidiese imponer a
ZELERIS, se tendría como considerada esta agravante, y lo considera como algo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/38

desproporcionado y que carece de sentido, contraviniendo los principios de justicia y
equidad.

Considera que esta agravante debería aplicarse cuando haya un número elevado de
interesados afectados por la posible infracción, ya que, de no ser así, cualquier
empresa que trate con un numero masivo de datos personales, verá que su conducta
será considerada agravada por la Agencia, y entiende que el Comité Europeo de
Protección de Datos también lo considera así en las Directrices sobe la aplicación y la
fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas por
el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con claridad disponen
que los factores que prevé el artículo 83.2 del RGPD deben evaluarse de manera
combinada, es decir, en lo que ahora nos interesa, el número de interesados junto con
el posible impacto sobre ellos.

En este mismo sentido se pronunciaría el Considerando 75 del RGPD que dispone
que para determinar el grado de daños y perjuicios que pueda producir una posible
infracción en materia de protección de datos debe tenerse en cuenta, entre otros
aspectos “que el tratamiento implique una gran cantidad de datos personales y afecte
a un gran número de interesados”.

Por otro lado, ZELERIS entiende que deberían haberse aplicado las siguientes
atenuantes:

a) grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción, en la medida en que
se habría dado respuesta a todas las solicitudes de información de la Agencia.

b) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción, en la medida en que no se ha obtenido
ningún beneficio por la comisión de la infracción, más bien al contrario con la posible
imposición de una sanción.

ZELERIS entiende que, teniendo en cuenta las circunstancias ya expuestas en este
escrito de alegaciones, esta Agencia debería graduar la sanción y fijarla en su grado
mínimo de 40.001€, al tratarse del primer expediente sancionador que le ha sido
notificado.

Por ello, solicita a esta Agencia que se declare la inexistencia de responsabilidad,
ordenando el archivo del expediente sancionador, y subsidiariamente, para el caso de
que no se proceda al archivo, que se minore la sanción inicialmente propuesta en
virtud de los atenuantes previstos en el artículo 83 RGPD.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/38

PRIMERO: Consta que la parte reclamante era destinatario de un producto (terminal
móvil) solicitado a TELEFÓNICA DE ESPAÑA en septiembre de 2022.

SEGUNDO: Consta que la entrega del producto se realiza por la empresa ZELERIS,
con la que TELEFÓNICA MÓVILES ESPAÑA SAU tiene un contrato de prestación de
servicio de transporte y manipulado, que fue modificado para incluir los servicios
derivados de la comercialización del Servicio Movistar Fusión con arrendamiento de
terminal móvil a los clientes finales Según se especifica en el contrato se planificaron
tres fases en la operativa a realizar por ZELERIS para el nuevo servicio Fusión+
Terminal. La fase III del contrato se inicia desde el 1 de agosto de 2021 o en su
defecto la fecha de finalización del proceso de integración e integra por parte del
transporte la comprobación de la identidad del titular + firma y aviso SMS.

TERCERO: Consta que la dirección de la parte reclamante es ***DIRECCIÓN.1, tal y
como figura en el contrato del servicio de telefonía de la parte reclamante con
TELEFONICA DE ESPAÑA, S.A.U., de fecha 20 de julio de 2020, y que es aportado
por la parte reclamante en su reclamación.

CUARTO: Consta que el producto solo debía entregarse al titular de fusión, tal y como
se recoge en el mensaje de texto que ha aportado la parte reclamante, enviado por
(…)”.

QUINTO: Consta una circular de operaciones de fecha 21 de febrero de 2022,
aportada por ZELERIS, que tiene como asunto “recordatorio ENTREGA A TITULAR
DE LAS EXPEDICIONES DE TME” en la que se puede leer:

“RECORDAD LA OBLIGATORIEDAD DE LA SOLICITUD DE IDENTIFICACIÓN Y
VERIFICACIÓN DE DNI EN TODAS AQUELLAS ENTREGAS DE EXPEDICIONES
Y/O ENTREGAS MARCADAS COMO “ENTREGA A TITULAR”, EN CASO DE NO
SER POSIBLE LA IDENTIFICACIÓN DE TITULAR DE LA EXPEDICIÓN, NO SE
EFECTUARÁ LA ENTREGA.”

SEXTO: Consta que la entrega del producto se realiza en la calle ***DIRECCIÓN.2, tal
y como se observa en el albarán de entrega, aportado por la parte reclamante. El
albarán contiene el nombre y apellidos de la parte reclamante, así como número de
teléfono y número de DNI.

SÉPTIMO: Consta que la etiqueta del paquete contiene los siguientes datos
personales: nombre, apellidos: A.A.A.; dirección postal: ***DIRECCIÓN.1; y número
de teléfono de contacto de la parte reclamante.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/38

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que
TELEFONICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN realiza la recogida y
conservación de, entre otros, los siguientes datos personales de personas físicas:
nombre y apellido, dirección, número de teléfono, DNI, entre otros tratamientos.

El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos.”

En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al
haberse accedido indebidamente a los datos personales de la parte reclamante, como
consecuencia de la entrega de un paquete que contenía, en la etiqueta situada en una
parte visible del mismo sus datos personales, consistentes en nombre y apellidos, y
número de teléfono, a una persona que vivía en el mismo piso que la parte
reclamante, pero en diferente letra, y que no era el titular de la línea de fusión.

En este sentido, la parte reclamante ha aportado pantallazo del mensaje remitido para
comunicar el envío, y en el mismo se puede observar:

“¡Hola! Tu dispositivo está en camino (…) recuerda que solo podemos entregarlo al
titular de Fusión.”

En el albarán de entrega y en la etiqueta del paquete figura una dirección errónea, con
todos los datos de la parte reclamante a excepción de la letra del piso, y una firma que
no parece corresponderse con la firma recogida en el contrato de telefonía.

Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene
regulada en el artículo 32 del RGPD.

III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/38

Respuesta a las alegaciones aducidas al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

1. INEXISTENCIA DE COMISION DE INFRACCIÓN

a) En relación con la infracción del artículo 5.1.f del RGPD que se imputa a ZELERIS,
ésta manifiesta que el tratamiento de los datos que realiza son los facilitados por
TELEFONICA DE ESPAÑA, no teniendo acceso al contrato que el cliente firma con
TELEFONICA DE ESPAÑA.

Añade que los datos que ZELERIS dispone son nombre y apellidos de la parte
reclamante, domicilio, número de teléfono, y DNI, tal y como se puede observar en el
documento que aporta, y que según manifiesta es una imagen del sistema de
ZELERIS en el cual se genera el pedido que le realiza TELEFÓNICA.

En cualquier caso, pone de manifiesto que el pedido se entregó en la dirección
facilitada, y que actuó con la diligencia debida, y conforme a los datos con los que
contaba, sin que se pueda reprochar ningún tipo de negligencia.

En relación con esta manifestación efectuada por ZELERIS es necesario señalar que
desde esta Agencia se considera que no se actuó con la diligencia debida, en contra
de lo manifestado por ZELERIS, en la medida en que, tal y como se recoge en el SMS
que se envió a la parte reclamante, y que la parte reclamante aporta con su
reclamación, el pedido solo podía ser entregado al titular de fusión, cosa que, en este
caso no se confirmó de ninguna manera, en la medida en la que el pedido se entregó
a persona distinta del titular de fusión.

En este sentido, la AN en su SAN de 27 de junio de 2024, rec. 102/2022. “Es sabido
que se puede incurrir en responsabilidad por la infracción que estamos examinando
tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título
de simple inobservancia (art. 28 de la Ley 40/2015, de 1 de octubre-). Y procede ahora
recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de
1998, “... aunque la culpabilidad de la conducta debe también ser objeto de prueba,
debe considerarse en orden a la asunción de la correspondiente carga que
ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar
aquélla forman parte de la conducta típica probada, y que su exclusión requiere que
se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha
empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en
suma, para la exculpación frente a un comportamiento típicamente antijurídico la
invocación de la ausencia de culpa”.

Por tanto, en este caso, de conformidad con lo ya señalado, no se puede entender que
ZELERIS haya actuado con la diligencia debida.

ZELERIS también ponía de manifiesto que los datos que aparecen en la etiqueta son
nombre y apellidos y dirección, y suele ser los mismos datos que aparecen en el
buzón de correspondencia de cualquier piso de una comunidad de vecinos, por lo que

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/38

entiende que, en ningún caso, se habrían expuesto datos que no sean conocidos por
los vecinos del inmueble.

Esta manifestación efectuada por ZELERIS sería dar por hecho que todos los datos de
la parte reclamante que se incluyen en las etiquetas de los envíos figuran en el buzón
de correspondencia de su comunidad de propietarios, sin embargo, ello no es cierto si
se tiene en cuenta que en las etiquetas de los paquetes figuran más datos personales
de los destinatarios de los envíos que los habituales que se recogen en dichos
buzones, en este caso, figura el número de teléfono de contacto de la parte
reclamante.

ZELERIS añade que el albarán sí contendría más datos personales, pero este
documento no se facilita a la persona que recoge el envío, por lo que el tercero no ha
podido visualizar dicho documento.

A este respecto hay que señalar que en el presente procedimiento sancionador no se
hace referencia a que la persona que ha recogido el paquete haya podido disponer de
los datos del albarán, sino que lo que se está cuestionando es el hecho de que en el
albarán figurara una dirección, que ya se ha acreditado que era errónea, pero aun así
el paquete se entregó en esa dirección, sin hacer constar quien recibía dicho envío, ya
que los datos que figuran son los de la parte reclamante, que precisamente lo que
reclamaba es que el paquete no le había sido entregado al mismo, habiéndose
producido, por tanto, una vulneración del principio de confidencialidad, al haber
quedado expuestos los datos personales de la parte reclamante incorporados en la
etiqueta a terceros.

Por último, quiere manifestar que se produce una falta de diligencia de la parte
reclamante a la hora de confirmar su dirección de envío, en la medida en que se le
envió un SMS en fecha 13 de septiembre de 2023 informándole que no se había
podido entregar su pedido, y se le pedía que confirmara los datos de entrega y no lo
realizó.

En relación con esta cuestión, es necesario señalar que la infracción que se imputa a
ZELERIS es precisamente que no había seguido sus propias instrucciones al proceder
a la entrega del envío sin verificar que era el destinatario del mismo y que debía ser el
titular del contrato de fusión.

b) ZELERIS manifiesta que realiza estudios de medidas de seguridad adecuadas al
riesgo, y que dispone de una operativa concreta implantada para todos sus
trabajadores referidas a este tipo de entregas, y, además, ya aportó una circular en la
que se recogían dichas medidas, que eran, entre otras:

- el trabajador encargado de la entrega tiene la obligatoriedad de identificar y verificar
la identidad de todas las entregas.

- que no podrá entregarse en una dirección distinta a la indicada en la expedición.

-penalizaciones por incumplimientos graves del servicio requerido.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/38

En relación con estas manifestaciones, ha quedado acreditado en el expediente que
ZELERIS no ha seguido las medidas de seguridad que tenía implantadas, al haber
procedido a la entrega del envío sin comprobar que la persona que recogía dicho
envío era el titular del contrato de fusión y la persona que debía recogerlo, de tal
manera que con ello se ha producido una quiebra de la confidencialidad, en la medida
en que sus datos personales, en particular su número de teléfono de contacto, ha
quedado expuesto a un tercero.

Es decir, se entiende que ZELERIS tenía implantadas medidas, pero no ha actuado
con la suficiente diligencia, al haber procedido a la entrega del envío a una persona
que no era la titular del contrato de fusión y sin haber comprobado quien era la
persona que había recibido el envío, en la medida en que, en el albarán no figuran los
datos de la persona que recogió el envío, sino únicamente los datos de la parte
reclamante, cuando parece constatado que no es la parte reclamante quien recogió
dicho envío, puesto que, además, ya ha quedado acreditado a lo largo de este
procedimiento sancionador, que la dirección no era correcta.

Además, hay que recordar que la circular de 21 de febrero de 2022 recoge
expresamente que “en caso de no ser posible la identificación del titular de la
expedición, no se efectuará la entrega” y que consta en el contrato de prestación de
servicios aportado por ZELERIS al procedimiento que se deberá comprobar la
identidad.

ZELERIS añade, en este punto que, como operador postal, debe cumplir con las
obligaciones de la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de
los derechos de los usuarios y del mercado postal.

En este sentido, manifiesta que el artículo 24 de esta Ley establece que:

“procurará la entrega de aquellos envíos postales cuya dirección aun siendo
incompleta permita la identificación del destinatario" (...) "Los envíos, según el tipo de
que se trate, se entregarán al destinatario o a la persona que éste autorice o serán
depositados en los casilleros postales o en los buzones domiciliarios, individuales o
colectivos. Se entenderá autorizado por el destinatario para recibir los envíos en su
domicilio cualquier persona que se encuentre en el mismo, haga constar su identidad
y se haga cargo de ellos, excepto que haya oposición expresa del destinatario por
escrito dirigida al operador designado que presta el servicio postal universal.”

Y por ello, manifiesta que la ley permite que cualquier persona que se encuentre en el
domicilio y se identifique está autorizado a recoger el envío, y en este caso, la entrega
se produjo en el domicilio que ZELERIS tenía como el domicilio de entrega, el
mensajero identificó a la persona que se encontraba en el domicilio, que la persona
firmó el albarán y por ello se procedió a la entrega, y es por eso por lo que la firma no
coincidiría.

Sin embargo, tales afirmaciones no constan acreditadas en este caso, hay que tener
en cuenta que la normativa a la que alude ZELERIS exige:

-que los envíos se entreguen al destinatario o a la persona que éste autorice

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/38

- se considerará autorizado por el destinatario a recibir los envíos en su domicilio a la
persona que se encuentre en el mismo y

-haga constar su identidad y se haga cargo del envío
-excepto que haya oposición expresa del destinatario por escrito.

En este caso, no se hace constar la identidad de la persona que se hace cargo del
envío, ya que, tal y como se observa en el albarán de entrega, solo figuran los datos
de la parte reclamante, y una firma, que no se corresponde con la firma de la parte
reclamante. Así lo reconoce también ZELERIS, que dice que si figura identificada la
persona que recoge el envío, cuando es evidente que no, ya que no figuran sus datos
en el albarán.

En este caso, en el SMS que se envía a la parte reclamante se recoge expresamente
que el envío solo podrá entregarse al titular del contrato de fusión, cosa que tampoco
se hace en este supuesto.

Por último, y como ya se ha mencionado, la circular de operaciones de fecha 21 de
febrero de 2022 recoge expresamente que “en caso de no ser posible la identificación
de titular de la expedición, no se efectuará la entrega.”

Por lo tanto, de conformidad con todo lo expuesto, no se puede tener en cuenta la
alegación presentada por ZELERIS.

2. AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD DE TELEFÓNICA-
ZELERIS.

ZELERIS afirma que la acción no puede ser típica en la medida en que la entrega se
realizó en la dirección que TELEFÓNICA le había facilitado, y entiende que no se
puede atribuir la comisión de una brecha de carácter confidencial en la medida en que
los datos aportados en el pedido son mínimos y el tercero no ha tenido acceso a ellos.

Sin embargo, esta afirmación no puede ser tenida en cuenta en la medida en que, a
pesar de que ZELERIS manifieste que los datos personales que contiene la etiqueta
del envío son mínimos, siguen siendo datos personales de la parte reclamante, y el
tercero que recoge el paquete si tiene acceso a ellos. En el presente caso, ha quedado
constatado que la etiqueta incluía el número de teléfono de la parte reclamante.

ZELERIS prosigue manifestando que no se le puede atribuir que no haya adoptado
medidas de seguridad, e insiste en que los datos que aparecen en la etiqueta son los
mínimos imprescindibles, y que el tercero que recibe el envío no tiene acceso al
albarán, y por lo tanto no podría ser considerado como prueba.

En este sentido, ha quedado constatado que ZELERIS no ha seguido las medidas de
seguridad que tenía implantadas, al haber procedido a la entrega del envío sin
comprobar que la persona que recogía dicho envío era el titular del contrato de fusión
y la persona que debía recogerlo, de tal manera que con ello se ha producido una
quiebra de la confidencialidad, en la medida en que sus datos personales, en particular
número de teléfono de contacto ha quedado expuesto a un tercero.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/38

Además, en relación con la manifestación referida a que los datos personales que se
recogen en la etiqueta del envío sean los mínimos imprescindibles no puede ser tenido
en cuenta, en la medida en que no hay datos personales mínimos, sino que se trata en
todo caso de datos personales de la parte reclamante.

Por otro lado, en relación con lo manifestado acerca del albarán de entrega hay que
señalar que el albarán prueba que la entrega no se ha efectuado según las
condiciones de la normativa, y de las propias medidas que tiene implantadas
ZELERIS, puesto que la entrega se realizó en un domicilio distinto al del reclamante y
fue recogido por un tercero. No se entrega al propio destinatario del envío, que es el
titular del contrato de fusión y la parte reclamante, y tampoco se identifica a la persona
que ha recogido el envío. La entrega del envío sin comprobar que la persona que lo
recogía era el titular del contrato de fusión tal y como se recogía en las instrucciones
que tenía implantadas ZELERIS ha supuesto una pérdida de confidencialidad, al
quedar los datos personales de la parte reclamante, expuestos a un tercero.

Así lo reconoce ZELERIS cuando afirma que la firma no coincidiría con la firma que la
parte reclamante aportó en su contrato con TELEFONICA DE ESPAÑA porque no es
quien recoge el envío, afirmando que el mensajero sí habría identificado a la persona
que recoge el paquete, pero de este documento se constata que la persona que
recoge el envío no se encuentra identificada en el albarán.

Hay que recordar que el envío debía ser entregado al titular de fusión, y de acuerdo
con la propia circular de ZELERIS si no se puede identificar al titular de la expedición,
no se puede efectuar la entrega.

Con relación a la manifestación efectuada por ZELERIS que entiende que la conducta
no sería antijuridica, al haber actuado de buena fe y fundada creencia excluyente de
culpabilidad, hay que tener en cuenta lo dispuesto en la sentencia de la AN, SAN de
27 de junio de 2024, rec. 102/2022 “Es sabido que se puede incurrir en
responsabilidad por la infracción que estamos examinando tanto de manera
intencionada o dolosa como por descuido, negligencia o aún a título de simple
inobservancia (art. 28 de la Ley 40/2015, de 1 de octubre-). Y procede ahora recordar
que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “...
aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe
considerarse en orden a la asunción de la correspondiente carga que ordinariamente
los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte
de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia
de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que
era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación
frente a un comportamiento típicamente antijurídico la invocación de la ausencia de
culpa”

Por tanto, corresponde a ZELERIS acreditar que empleó la diligencia que era exigible
para que quede excluida la culpabilidad cosa que, en el presente caso, no se produce,
ya que ha quedado constatado que el paquete se entregó a una persona distinta del
titular del contrato de fusión, produciéndose con ello una brecha de confidencialidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/38

Además, la entrega del envío se produjo sin tener en cuenta las propias medidas
comunicadas por ZELERIS a sus empleados, en la medida en que no se aseguraron
que la persona que recibía dicho envío era el destinatario del mismo.

Por lo tanto, la alegación aducida por ZELERIS no puede ser tenida en cuenta.

3: SOBRE LOS CRITERIOS DE GRADUACION DE LA SANCION.

ZELERIS, en esta alegación, quiere mostrar su disconformidad con los agravantes
recogidos en el acuerdo de inicio. De este modo:

- en relación con la circunstancia referida a la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de
tratamiento de que se trate, así como el número de interesados afectados y el nivel de
los daños y perjuicios que hayan sufrido (apartado a): en el presente caso no se habría
seguido las medidas indicadas en la circular de fecha 21 de febrero de 2022, según
consta en el documento 1 adjunto a la respuesta del traslado de la reclamación.

En este punto, ZELERIS manifiesta que se trataría de un caso único y excepcional que
no ha causado perjuicios a la parte reclamante, y por tanto, la sanción de 100.000
euros por la comisión de dos infracciones sería desproporcionada.

En relación con esta circunstancia, hay que poner de manifiesto que, al efectuarse la
entrega no se tuvieron en cuenta las propias medidas que la compañía tenía
implantadas, y que aportaron en su escrito de contestación al traslado de la
reclamación, lo que permitió que se produjera una pérdida de confidencialidad de los
datos de la parte reclamante y una pérdida de control sobre sus propios datos

En cualquier caso, desde esta Agencia se considera que la sanción no es
desproporcionada.

Por todo lo expuesto, no se puede tener en cuenta esta alegación.

-En relación con la circunstancia de intencionalidad/negligencia en la infracción
(apartado b). En este sentido, el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.
[Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]

En relación con esta circunstancia, ZELERIS manifiesta:

a) ZELERIS sí cuenta con las medidas de seguridad adecuadas al riesgo

b) si se cumplió la normativa sectorial aplicable al caso, pues quien recogía el paquete
se identificó

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/38

c) la parte reclamante pudo confirmar y/o modificar la dirección de entrega porque el
primer intento fue fallido.

d) si se adoptaron medidas internas, como se indicó en el escrito dirigido a esta
Agencia de 27 de abril de 2023 en la que se indicaba que se reforzaría las operativas
internas para este tipo de entrega a todos los trabajadores

e) por lo que parece, ZELERIS contaba desde el principio con un error en la dirección
de entrega en ningún caso imputable a ZELERIS.

En relación con estas manifestaciones, hay que señalar que ya se han contestado a lo
largo de este documento, en la medida en que la infracción que se imputa a ZELERIS
es precisamente que, en la entrega, no se siguieron las propias medidas implantadas.
A todo esto, hay que añadir que la persona que recoge el paquete no se identificó,
puesto que no figura en el albarán de entrega.

En relación con el error al que se hace referencia, hay que tener en cuenta, como ya
se ha recogido con anterioridad, que la entrega del envío debía realizarse al titular del
contrato de fusión, y no a cualquier persona que se encontrara en el domicilio, a la que
ni siquiera se identificó, por lo tanto, no es posible tener en cuenta estas
manifestaciones efectuadas por ZELERIS.

Por último, en relación con la cuestión referida a que la parte reclamante no confirmó
la dirección de entrega, es necesario señalar que la infracción que se imputa a
ZELERIS es precisamente que no había seguido sus propias instrucciones al proceder
a la entrega del envío sin verificar que era el destinatario del mismo y que debía ser el
titular del contrato de fusión.

- En relación con la circunstancia agravante referida a la vinculación de la actividad
del infractor con la realización de tratamientos de datos personales (apartado b):
TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN lleva a cabo de manera
habitual y continua el tratamiento de datos de carácter personal, ZELERIS quiere
manifestar su disconformidad en la medida en que considera que no se ha producido
una falta de medidas de seguridad en la entrega.

Esta cuestión también ha sido contestada en varias ocasiones a lo largo de la
propuesta de resolución puesto que ha sido precisamente el no haber cumplido con
las medidas que ZELERIS tiene implantadas para efectuar las entregas de los envíos
lo que no se ha tenido en cuenta en el presente supuesto. Estas medidas eran, entre
otras, que el trabajador encargado de la entrega tiene la obligatoriedad de identificar y
verificar la identidad de todas las entregas, y si no fuera posible identificar al titular de
la expedición, no se efectuará la entrega.

En este caso, como ya se ha manifestado, no consta en el expediente que la entrega
se haya realizado al titular del contrato de fusión, que es lo que se había concretado
con el cliente en esta entrega.

Añade ZELERIS que este agravante, en este caso, se aplica sin tener en cuenta que
estamos ante un caso concreto y excepcional, lo que equivale que cualquier tipo de
infracción que se decidiese imponer a ZELERIS se tendría como considerada siempre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/38

esta agravante, algo que considera desproporcionado, y que carece de todo sentido
contraviniendo los principios de justicia y equidad.

Desde esta Agencia se considera que esta manifestación no puede ser tenida en
cuenta en la medida en que el desarrollo de la actividad empresarial de ZELERIS
requiere un tratamiento continuo y a gran escala de datos personales de clientes, por
lo que le resulta exigible una mayor diligencia en el tratamiento de los datos
personales.

Por último, añadir que el legislador es quien previó la posibilidad de utilizar este
agravante y que la Agencia se limita a aplicarlo.

Por otro lado, ZELERIS considera que se deberían aplicar las siguientes atenuantes,
con la consiguiente minoración de la cuantía:

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción.

ZELERIS considera que debe aplicarse este atenuante en la medida en que se ha
dado respuesta a todas las solicitudes de información de la Agencia, con el fin de
colaborar en la medida de lo posible con las labores de investigación que tiene esta
Agencia.

No se puede tener en cuenta esta alegación en la medida en que contestar a los
requerimientos de información enviados desde esta Agencia son una obligación del
responsable, tal y como se recoge en la LOPDGDD.

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.

ZELERIS entiende que, en el presente caso, no se ha obtenido ningún tipo de
beneficio por la comisión de las supuestas infracciones. Más bien al contrario, si
finalmente se impusiese la sanción se obtendría una pérdida económica por esta
parte.

Esta alegación no puede ser considerado como un atenuante, de acuerdo con la
sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica:
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse
en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia
"e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el
presupuesto para su aplicación conlleva que no pueda ser tomada en consideración,
pero no implica ni permite, como pretende la actora, su aplicación como atenuante”;
aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto
del art. 76.2.c) de la LOPDGDD, esto es, obtener beneficios consecuencia de la
infracción, no permite su aplicación como atenuante.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/38

De este modo, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia
de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos
contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el
artículo 83.2.k) del RGPD y a los principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor.

En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y no se estima que la ausencia de beneficios sea un factor de
graduación adecuado y determinante para valorar la gravedad de la conducta
infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para
determinar el grado de antijuricidad y de culpabilidad presentes en la concreta
actuación infractora podrá considerarse como una atenuante, en aplicación del artículo
83.2.k) del RGPD, que se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso”.

4: LA SANCIÓN ES DESPROPORCIONADA Y ARBITRARIA.

En relación con esta cuestión, ZELERIS pone de manifiesto que el RGPD y la
LOPDGDD lo que atribuyen a esta Agencia es, como autoridad de control, velar por el
cumplimiento de la normativa de protección de datos desplegando sus funciones
investigadoras, y que, en este supuesto, no se ha producido investigación, y la
motivación de la apertura del procedimiento sancionador se encontraría en la
reclamación presentada y en el escrito presentado por ZELERIS, dando por hecho
presupuestos como que se ha entregado el albarán de entrega con datos personales a
la persona que ha recibido el paquete, cuando no habría sido así.

En este sentido, el artículo 47 de la LOPDGDD, referido a las “Funciones y potestades
de la Agencia Española de Protección de Datos” establece en su apartado primero:

“Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación
de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las
funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del
mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo.”

De este modo, el artículo 58 del RGPD, referido a los “Poderes” establece, en su
apartado 2:

“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/38

d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;

(…)

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular; “

Asimismo, el artículo 64 de la LOPDGDD referido al “la forma de iniciación del
procedimiento y duración” establece en su apartado 2:

“Cuando el procedimiento tenga por objeto la determinación de la posible existencia
de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se
iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como
consecuencia de reclamación, que le será notificado al interesado.

Si el procedimiento se fundase en una reclamación formulada ante la Agencia
Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión
a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.

Admitida a trámite la reclamación, así como en los supuestos en que la Agencia
Española de Protección de Datos actúe por propia iniciativa, con carácter previo al
acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que
se regirá por lo previsto en el artículo 67 de esta ley orgánica.”

Por tanto, de conformidad con lo señalado en los párrafos anteriores, dentro de las
funciones atribuidas a esta Agencia se encuentra la posibilidad de incoar
procedimientos sancionadores e imponer las multas y las medidas correspondientes.
Además, las actividades de investigación podrán o no ser realizadas, de conformidad
con lo dispuesto en el artículo 64 de la LOPDGDD. Por lo tanto, esta alegación no
puede ser tenida en cuenta.

Por otro lado, en relación con la manifestación referida a que se entregó el albarán de
entrega con datos personales a la persona que recibió el paquete, cuando no fue así,
es necesario reiterar de nuevo que, como ya se ha señalado anteriormente, en este
procedimiento sancionador no se cuestionaba el hecho de que el albarán se haya
entregado a la persona que recogió el paquete, sino que el mismo, ha servido para
determinar que la infracción se habría cometido en la medida en que prueba que el
envío no se entregó a la parte reclamante. No se imputa en este caso a ZELERIS una
falta de confidencialidad por la entrega del albarán a un tercero, sino por la entrega de
un paquete junto con una etiqueta que contenía los datos personales de la parte
reclamante.

En relación con el incumplimiento del principio de proporcionalidad, es necesario
manifestar que el RGPD prevé expresamente la posibilidad de graduación, mediante la
previsión de multas susceptibles de modulación, en atención a una serie de
circunstancias de cada caso individual efectivas, proporcionadas y disuasorias
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/38

(artículo 83.1 y 2 RGPD), condiciones generales para la imposición de las multas
administrativas que sí han sido objeto de análisis por esta Agencia, a las que hay que
sumar los criterios de graduación previstos en la LOPDGDD.

Hay que señalar que la multa administrativa acordada será efectiva porque conducirá
a la compañía a aplicar las medidas técnicas y organizativas que garanticen los
derechos y libertades de los interesados, habida cuenta del valor de la criticidad del
tratamiento.

También es proporcional a la vulneración identificada, en particular a su gravedad, el
círculo de personas físicas afectadas y los riesgos en los que se han incurrido y a la
situación financiera de la compañía.

Y, por último, es disuasoria. Una multa disuasoria es aquella que tiene un efecto
disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013,
Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice:

“94. Respecto, en primer lugar, a la referencia a la sentencia Showa
Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta
incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado
23 de dicha sentencia que el factor disuasorio se valora tomando en
consideración una multitud de elementos y no sólo la situación particular de
la empresa de que se trata, se refería a los puntos 53 a 55 de las
conclusiones presentadas en aquel asunto por el Abogado General
Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador
de carácter disuasorio puede tener por objeto no sólo una «disuasión
general», definida como una acción para desincentivar a todas las
empresas, en general, de que cometan la infracción de que se trate, sino
también una «disuasión específica», consistente en disuadir al demandado
concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto,
el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no
estaba obligada a limitar su valoración a los factores relacionados
únicamente con la situación particular de la empresa en cuestión.”

“102. Según reiterada jurisprudencia, el objetivo del factor multiplicador
disuasorio y de la consideración, en este contexto, del tamaño y de los
recursos globales de la empresa en cuestión reside en el impacto deseado
sobre la citada empresa, ya que la sanción no debe ser insignificante,
especialmente en relación con la capacidad financiera de la empresa (en
este sentido, véanse, en particular, la sentencia de 17 de junio de 2010,
Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7
de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado
82).”

La Sentencia de fecha 11 de mayo de 2006 dictada en el recurso de casación
7133/2003 establece que: “Ha de tenerse en cuenta, además, que uno de los criterios
rectores de la aplicación de dicho principio régimen sancionador administrativo (criterio
recogido bajo la rúbrica de «principio de proporcionalidad» en el apartado 2 del
artículo 131 de la citada Ley 30/1992) es que la imposición de sanciones pecuniarias
no debe suponer que la comisión de las infracciones tipificadas resulte más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/38

beneficiosa para el infractor que el cumplimiento de las normas infringidas”.

También es importante la jurisprudencia que resulta de la Sentencia de la Sala Tercera
del Tribunal Supremo, dictada en fecha 27 de mayo de 2003 (rec. 3725/1999) que
dice: La proporcionalidad, perteneciente específicamente al ámbito de la sanción,
constituye uno de los principios que rigen en el Derecho Administrativo sancionador, y
representa un instrumento de control del ejercicio de la potestad sancionadora por la
Administración dentro, incluso, de los márgenes que, en principio, señala la norma
aplicable para tal ejercicio. Supone ciertamente un concepto difícilmente determinable
a priori, pero que tiende a adecuar la sanción, al establecer su graduación concreta
dentro de los indicados márgenes posibles, a la gravedad del hecho constitutivo de la
infracción, tanto en su vertiente de la antijudicidad como de la culpabilidad,
ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el
presupuesto de hecho sancionable -y, en particular, como resulta del artículo 131.3
LRJ y PAC, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y
la reincidencia-. (SSTS 19 de julio de 1996, 2 de febrero de 1998 y 20 de diciembre de
1999, entre otras muchas).

Asimismo, cuando ZELERIS pone de manifiesto que en el acuerdo de inicio no se
motiva el cálculo del importe de las sanciones, sin una explicación y limitándose a
mencionar que existen agravantes, y que por ello se estaría vulnerando el principio de
proporcionalidad hay que señalar que esto no es así, en la medida en que se
especifica que la sanción por la infracción del artículo 5.1.f) del RGPD asciende a
70.000 euros, y la sanción por la infracción del artículo 32 del RGPD es de 30.000
euros, y se explica con claridad la aplicación de circunstancias concurrentes, como se
puede comprobar en el acuerdo de inicio y en el presente documento.

Por tanto, esta alegación no puede ser tenida en cuenta.

5. ADOPCIÓN DE MEDIDAS.

ZELERIS muestra su disconformidad con la imposición de la adopción de medidas
para el caso de confirmarse las infracciones imputadas, ya que, como se ha expuesto
a lo largo del escrito de alegaciones al acuerdo de inicio, ZELERIS habría explicado
motivadamente su correcta forma de proceder en virtud de los datos con los que
contaba, siguiendo una operativa estricta y en respeto tanto de la normativa sectorial
como en materia de protección de datos.

En relación con esta cuestión, tal y como se ha señalado anteriormente, dentro de las
funciones de esta Agencia se encuentra la posibilidad de imponer medidas correctivas.

Las medidas recogidas en el acuerdo de inicio se refieren a la posibilidad de ordenar
que ZELERIS acredite en el plazo de 6 meses la adopción de las medidas adecuadas
conforme el RGPD, para que sus repartidores no incumplan los protocolos
establecidos y no realicen entregas sin comprobar fehacientemente la identidad de la
persona a la que se entrega el paquete.

ZELERIS ha manifestado que se habrían adoptado medidas internas para reforzar las
operativas internas para este tipo de entregas a todos los trabajadores, pero no se han
acreditado, por lo que no se puede tener en cuenta esta alegación, y se mantiene la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/38

propuesta para que se ordene la aplicación de las medidas en la resolución que ponga
fin al presente procedimiento sancionador, sin perjuicio de la posibilidad de su
presentación a lo largo del presente expediente sancionador.

IV
Respuesta a las alegaciones a la propuesta de resolución del procedimiento
sancionador

En relación con las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por ZELERIS:

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
EXPEDIENTE SANCIONADOR.

Primera. Inexistencia de comisión de la infracción. disconformidad con la propuesta de
Resolución.

a) Sobre la diligencia debida en las entregas.

Esta cuestión ya fue contestada en las alegaciones al acuerdo de inicio, en el apartado
1 referido a la “inexistencia de comisión de infracción” a la que nos remitimos.

b) Sobre las medidas de seguridad, operativa actualizada y refuerzo a los empleados y
proveedores.

En este punto, ZELERIS quiere manifestar que cuenta con medidas técnicas y
organizativas apropiadas en lo que respecta al tratamiento de datos personales que se
lleva a cabo, toda vez que esta Agencia ha propuesto el archivo de la infracción del
artículo 32 RGPD.
En relación con esta cuestión, es necesario destacar que la infracción que se imputa a
ZELERIS es una infracción del artículo 5.1.f) del RGPD, en la que también se exige la
aplicación de medidas técnicas y organizativas apropiadas que garanticen la seguridad
adecuada de los datos personales, incluida la protección contra el tratamiento no
autorizado o ilícito.

Además, quiere destacar las siguientes medidas que tiene implantadas:

i) la continua actualización de la operativa interna que realiza el equipo de seguridad y
operaciones, y que se hace llegar a todos los trabajadores mediante circulares y que
se adjunta al escrito de alegaciones a la propuesta de resolución.

ii) inclusión de cláusulas en los contratos de distribución de paquetería y mensajería
con proveedores.

iii) una vez detectada la incidencia, ZELERIS informó a la empresa colaboradora que
había realizado este servicio para identificar al trabajador que realizó este servicio y le
amonestara.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/38

ZELERIS quiere poner de manifiesto que esta actuación evidenciaría que habría
actuado con la diligencia debida.

La cuestión referida a que la actuación de ZELERIS evidenciaría que habría actuado
con la diligencia debida ya ha sido contestada, y hay que añadir que, a pesar de estas
medidas, se efectuó la entrega del envío sin tener en cuenta dichas medidas
implementadas.

c) obligación de medios y no de resultados.

Con esta manifestación, ZELERIS afirma que, con la propuesta de resolución, esta
Agencia estaría imponiendo una obligación de resultados, y que las medidas de
seguridad sean infalibles, basándose en el resultado de operativas que deben seguir
los trabajadores y mensajeros más allá de la exigencia establecida en los artículos 32
y 25 RGPD.

Sin embargo, en relación con esta cuestión hay que hacer referencia a la SAN de 29
de octubre de 2024, rec. 1824/2021, que dispone que

“…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no
estamos ante un requisito meramente formal, sino material. En este sentido, y en línea
con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec.
7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios
también es necesaria su correcta implantación y su utilización de forma apropiada, de
modo que también responderá por la falta de la diligencia en su utilización, entendida
como una diligencia razonable atendiendo a las circunstancias del caso", lo que no
implica que se exija una obligación de resultado”.

Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo,
en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho
fundamental a la protección de datos por el que se garantiza a la persona el control
sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar
el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados;
de esta forma, el derecho a la protección de datos se configura como una facultad del
ciudadano para oponerse a que determinados datos personales sean usados para
fines distintos a aquel que justificó su obtención.

En este sentido, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el
RGPD -partiendo de la doble configuración de la seguridad como un principio relativo
al tratamiento y una obligación para el responsable o el encargado del tratamiento- no
impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al
riesgo.

De este modo, en el caso que nos ocupa ha quedado constatado que la entrega del
envío se realizó sin tener en cuenta sus propias instrucciones puesto que, tal y como
se recogía en el SMS que se envió a la parte reclamante, el envío solo podía ser
recogido por el titular del contrato de fusión, y a lo largo de este expediente se ha
constatado que la entrega se realizó sin que se confirmara quien recogía el envío, lo
que supone un claro incumplimiento de las medidas contenidas en las citadas
instrucciones, que no se siguieron de un modo diligente por ZELERIS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/38

Por lo tanto, procede rechazar esta alegación.

d) volumen de entregas.

ZELERIS quiere manifestar que, desde el año 1999, fecha en la que se constituyó la
empresa, no había tenido ninguna reclamación en materia de privacidad, a pesar de
que la gran mayoría de sus envíos son a personas físicas.

Desde esta Agencia se quiere manifestar que, en el presente procedimiento, ha
quedado acreditado que se ha producido una vulneración del artículo 5.1.f) RGPD, sin
que sea motivo de valoración el hecho de que sea la primera infracción que se le
imputa en materia de protección de datos.

2. Sobre la inclusión del número de teléfono de contacto en la etiqueta.

ZELERIS presenta una serie de razones por las que considera que es necesario incluir
el número de teléfono en la etiqueta del paquete. No obstante, lo que se está
valorando en el presente expediente y los hechos que constituyen la infracción es que
se ha producido una pérdida de confidencialidad, en la medida en que una persona no
autorizada ha tenido acceso a los datos personales de la parte reclamante, que no
tiene por qué conocer, por una actuación indebida de ZELERIS, esto es, a
consecuencia de que se entregara un paquete a un tercero no autorizado, y sin haber
verificado su identidad, en una dirección incorrecta, sumado a que su protocolo interno
indica claramente que esto no se puede hacer.

Asimismo, manifiesta que los hechos que han motivado la apertura del procedimiento
sancionador se produjeron en el año 2022, y considera que los riesgos existentes en
dicho año ya no son los mismos que en la actualidad, y añade que hace esta
manifestación porque entiende que la sensibilidad de que un dato personal quedara
expuesto no es la misma que en la actualidad.

En relación con estas manifestaciones hay que tener en cuenta que la vulneración del
artículo 5.1.f) RGPD en el supuesto que nos ocupa la pérdida de confidencialidad se
produce tras haberse incumplido las normas con las que ya contaba ZELERIS, y es,
por tanto, innegable y ha quedado constatada a lo largo del procedimiento
sancionador, al haber quedado expuesto a terceros datos personales de la parte
reclamante, por lo tanto, procede rechazar la presente alegación.

Además, el RGPD es plenamente aplicable desde mayo de 2018 y desde esta fecha
los responsables tienen que dar cumplimiento al principio de confidencialidad, sin que
pueda quedar debilitado el sistema de garantías que el RGPD recoge por una
supuesta “falta de sensibilización”,

Por otro lado, ZELERIS presenta una relación de medidas que ha ido implementando,
entre las que cita:

i) implementadas: inclusión del (…).

(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/38

ii) en proceso de implantación:

-(…).

-(…).

En relación con estas manifestaciones, desde esta Agencia se quiere señalar que
estas medidas, han sido adoptadas y comunicadas a esta Agencia en las alegaciones
a la propuesta de resolución, el 16 de enero de 2025, lo que significa que se han
adoptado o están en vías de implementación con posterioridad al inicio del
procedimiento sancionador, cuyo acuerdo de inicio fue notificado el día 12 de febrero
de 2024.
Por tanto, a todos los efectos, la infracción ha tenido lugar. Cuestión distinta es si, a la
vista de las medidas adoptadas por la parte reclamada, esta Agencia procede a
ordenar medidas en el marco del artículo 58.2.d) del RGPD.

II. SOBRE LOS FUNDAMENTOS DE DERECHO.

Primera. Sobre la presunta infracción cometida por parte de ZELERIS: ausencia de
tipicidad, antijuridicidad y culpabilidad.

En relación con esta alegación, hay que señalar que la misma ya fue contestada en el
apartado 2 de la contestación a las alegaciones al acuerdo de inicio, a la que nos
remitimos, y por ello, procede rechazar la presente alegación.

Segunda. Incumplimiento del principio de proporcionalidad en las sanciones.

Las razones de ZELERIS para considerar que se vulnera el principio de
proporcionalidad son las siguientes:

i) este es el primer expediente sancionador desde el año 1999.

ii) la proporción del volumen de envíos en un año y el número de reclamaciones por
vulnerar la privacidad evidencia que las medidas de seguridad implantadas son
eficaces.

iii) el dato expuesto ha afectado a una sola persona, y se ha producido a (…).

iv) ZELERIS ha adoptado las medidas pertinentes para ir reduciendo el riesgo de que
los datos queden expuestos en caso de producirse alguna incidencia.

En relación con el incumplimiento del principio de proporcionalidad, hay que señalar
que fue contestado en la respuesta a las alegaciones al acuerdo de inicio, en el
apartado 4, a la que nos remitimos, de tal manera que esta alegación no puede ser
tenida en cuenta.

Tercera. Sobre los criterios de graduación de la sanción.

ZELERIS pone de manifiesto su disconformidad con la aplicación de los siguientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/38

agravantes.

i) La naturaleza, gravedad y duración de la infracción, en el que se reiteran en las
alegaciones presentadas al acuerdo de inicio, y además solicita a esta Agencia que
valore todas circunstancias expuestas, al tratarse de un error puntual y aislado, en el
que no se habría causado perjuicios a la parte reclamante, y que el dato personal tuvo
una difusión mínima.

En relación con estas manifestaciones, hay que señalar que ya fueron analizadas en la
contestación a las alegaciones al acuerdo de inicio, apartado 3, al que nos remitimos.

Sin embargo, en relación con la manifestación referida a que no se habrían causado
perjuicios a la parte reclamante y que el dato personal tuvo una difusión mínima,
conviene señalar que no se puede afirmar que la parte reclamante no haya sufrido
ningún perjuicio, en la medida en que el envío del que era destinatario nunca le llegó, y
además, el hecho de que la difusión de sus datos personales fuera “mínima” como
afirma ZELERIS no puede tenerse en consideración, en la medida en que la brecha de
confidencialidad existió, al facilitarse datos personales a una vecina, con quien,
además, según manifiesta la parte reclamante, tiene mala relación. Por lo tanto, esta
alegación no puede ser tenida en cuenta.

ii) Intencionalidad/negligencia. Esta cuestión ya ha sido contestada en la contestación
a las alegaciones al acuerdo de inicio, apartado 3, al que nos remitimos, procediendo
desestimar dicha alegación.

iii) la vinculación de la actividad del infractor en la realización de tratamiento de datos
personales

En relación con este agravante, hay que señalar que ya ha sido contestado en las
contestaciones a las alegaciones al acuerdo de inicio, apartado 3, al que nos
remitimos.

Por otro lado, ZELERIS manifiesta que, de conformidad con las Directrices sobre la
aplicación y fijación de multas administrativas a efectos del Reglamento 2016/679,
adoptadas por el Grupo de Trabajo del artículo 29, los factores que prevé el artículo
83.2 del RGPD deben evaluarse de manera combinada, de tal manera que debería
realizarse teniendo en cuenta el número de interesados junto con el posible impacto
sobre ellos. Y añade que en este mismo sentido se pronunciaría el Considerando 75
del RGPD.

En relación con esta cuestión, ZELERIS debería recordar que el artículo 83 del RGPD,
referido a las Condiciones Generales para la imposición de multas administrativas, en
su apartado 5 establece:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/38

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;

Es decir, que las infracciones que afecten al artículo 5 RGPD como es este caso
pueden ser sancionadas con una multa administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior. En
el presente caso, el porcentaje es de 0,017, y considerándose que los agravantes han
sido debidamente valorados, procede rechazar esta alegación.

Por otro lado, ZELERIS considera que deberían haberse tenido en cuenta las
siguientes atenuantes:

a) grado de cooperación con la autoridad de control.

b) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.

Estas manifestaciones ya fueron contestadas en la contestación a las alegaciones al
acuerdo de inicio, en el apartado 3, a la que nos remitimos, procediendo a rechazar
dicha alegación.

V
Integridad y confidencialidad

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:
(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”

En el presente caso, consta que los datos personales de la parte reclamante, en
especial su teléfono de contacto, que no tiene por qué ser conocido por su vecino, ha
sido indebidamente expuesto a un tercero, en la medida en que los datos personales
de la parte reclamante figuraban en la etiqueta del paquete a entregar a la parte
reclamante (nombre, apellidos, dirección y número de teléfono).

Hay que tener en cuenta que la etiqueta presentaba el error en la letra del piso al que
había que hacer la entrega, y que esta entrega debía hacerse única y exclusivamente
al titular de la línea de fusión, que es la parte reclamante, circunstancia que no se ha
producido, y la entrega se realiza a otra persona que vive en el mismo edificio que la
parte reclamante

De este modo, al haberse producido la entrega del paquete a una persona que no era
el destinatario del envío o titular del contrato de fusión, es decir, la parte reclamante,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/38

ha supuesto una vulneración del principio de confidencialidad de los datos personales
de la parte reclamante.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
son constitutivos de una infracción, imputable a ZELERIS por vulneración del artículo
5.1.f) del RGPD.

IV
Tipificación y calificación de la infracción del artículo 5.1.f) del RGPD

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VI
Sanción por la infracción del artículo 5.1.f) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/38

Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/38

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de la infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía se
considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (apartado a): se han cedido los datos personales de la parte
reclamante, en particular su teléfono, a un tercero no autorizado para ello toda vez
que se hizo entrega de un paquete con la citada información a quien no se debía.

A lo anterior cabe añadir que el reclamante no recibió el terminal solicitado tal y
como consta en la documentación obrante en el expediente.

- Intencionalidad/ Negligencia en la infracción (apartado b). En este sentido, el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta
con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de
que, en el caso ahora examinado, cuando la actividad de la recurrente es de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/38

constante y abundante manejo de datos de carácter personal ha de insistirse en el
rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.
[Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

En este caso, se ha producido una falta de diligencia, al no haberse seguido las
instrucciones de la propia compañía en el momento de efectuar la entrega.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (apartado b): ZELERIS lleva a cabo de manera habitual y continua el
tratamiento de datos de carácter personal, en la medida en que ZELERIS como
consecuencia de su actividad empresarial (servicio de transporte y logística), realiza
de forma habitual y continua tratamientos de datos de carácter personal de un elevado
número de interesados. La realización de actividades de transporte de mercancías,
que es su actividad principal, implica necesariamente operaciones de tratamiento de
datos personales. Así, las acciones infractoras se producen en el marco de un
tratamiento de datos personales que habitualmente realiza ZELERIS en su negocio y
ligado a este.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f del RGPD, permite fijar una sanción de 70.000 € (setenta mil euros).

VII
Seguridad del tratamiento

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/38

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros.”

Revisadas las alegaciones formuladas por la parte reclamada, y en atención a las
mismas, revisada la documentación obrante en el expediente administrativo y la
aportada por la parte reclamada, se evidencia que todas las medidas técnicas y
organizativas de seguridad cuya ausencia ha quedado probada, posibilitando
directamente la brecha de datos personales, sin que se haya producido una
conculcación, en el caso concreto, del artículo 32 del RGPD al no haberse acreditado
la ausencia de otras medidas técnicas y organizativas de seguridad independientes de
la brecha de datos personales.

VIII
Medidas correctivas

De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”, se requiere a ZELERIS para que, en el plazo de 6 meses notifique a
esta Agencia la adopción de las siguientes medidas

- Acreditar en el plazo de 6 meses la adopción de las medidas técnicas y organizativas
adecuadas conforme el RGPD, para que sus repartidores no incumplan los protocolos
establecidos y no entreguen un paquete a un tercero no autorizado, ni realicen
entregas sin comprobar fehacientemente la identidad de la persona a la que se
entrega el paquete.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la orden de medidas de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/38

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida, ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
acreditar el cumplimiento de las medidas correctivas propuestas.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a TELEFÓNICA SERVICIOS INTEGRALES DE
DISTRIBUCIÓN, S.A., con NIF A82261280, por una infracción del artículo 5.1.f) del
RGPD tipificada en el artículo 83.5 del RGPD, una multa de setenta mil euros (70.000
euros).

ARCHIVAR a TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN, S.A.,
con NIF A82261280, la infracción del Artículo 32 del RGPD, tipificada en el artículo
83.4 del RGPD.

SEGUNDO: ORDENAR a TELEFÓNICA SERVICIOS INTEGRALES DE
DISTRIBUCIÓN, S.A., con NIF A82261280, que en virtud del artículo 58.2.d) del
RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva,
la adopción de las medidas técnicas y organizativas adecuadas conforme el RGPD,
para que sus repartidores no incumplan los protocolos establecidos y no entreguen un
paquete a un tercero no autorizado, ni realicen entregas sin comprobar
fehacientemente la identidad de la persona a la que se entrega el paquete.

TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA SERVICIOS
INTEGRALES DE DISTRIBUCIÓN, S.A..

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000, abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/38

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-101224
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es