Terk Edilen Postalar Nedeniyle Veri Güvenliği İhlali

1/38

Expediente N.º: EXP202318430

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 28 de septiembre de 2022, se recibió en la Agencia Española de
Protección de Datos Informe N.º ***INFORME.1 de la POLICÍA LOCAL DEL
AYUNTAMIENTO DE LA PALMA (en adelante, la POLICIA LOCAL).

La POLICÍA LOCAL aporta informe de fecha 22 de septiembre de 2022 elaborado por
agentes de la Policía Local, en el que se pone de manifiesto el hallazgo en un solar de
correspondencia abandonada con datos personales, hasta un total de 1.404 cartas,
con el logo de la empresa HISPAPOST S.A(en adelante HISPAPOST), la cual fue
contactada por los agentes, reconociendo dicha entidad que la correspondencia
encontrada debía haber sido repartida por empleados de CORREO INTELIGENTE
POSTAL SL (en adelante CI POSTAL), sin entender el motivo de que no se llevara a
cabo dicho reparto y fuera abandonada la correspondencia.

Las cartas pertenecían a varias empresas remitentes, entre otras La Caixa, BBVA,
Energía XXI y Endesa.

Que el día 13 de septiembre de 2022 acudió a las dependencias de la POLICIA
LOCAL una persona representante de la empresa CI POSTAL (A.A.A.) y al serle
mostradas las cartas encontradas reconoció el logo de su empresa, afirmando en su
declaración que desconocía el motivo por el que la correspondencia no había sido
repartida, las cartas pertenecían a los meses comprendidos entre febrero y mayo de
2022. Esta persona afirma que esa correspondencia debió ser repartida entre cuatro
trabajadores, dos operarios que ya no estaban trabajando y dos que sí continuaban y
que habían repartido su parte pertinente, que al tratarse de correspondencia ordinaria
es imposible averiguar qué repartidor de los cuatro dejó de hacer su trabajo.

En fecha 22 de septiembre de 2022 acude a las dependencias policiales esta misma
persona representante de CI POSTAL tras ser requerida nuevamente por la policía, en
este acto se le hace entrega de la correspondencia, un total de 1404 cartas de las
empresas remitentes con la siguiente distribución: La Caixa (596 cartas), BBVA (57
cartas), Naturgy (33 cartas), Energia XXI (295 cartas), Imagin (59 cartas), Endesa (307
cartas), MasMovil(1 carta), Telefax (3 cartas), Totem (3 cartas), Laboral Kutxa(1 carta),
PSA (1 carta), Yoigo (1 carta), Orange(6 cartas), Pra Group (1 carta), Jazztel (2
cartas).

Constancia de HISPAPOST 13 septiembre 2022
EMPRESA AFECTADA CARTAS ENCONTRADAS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/38

LA CAIXA 596
BBVA 57
NATURGY 33
ENERGÍA XXI 295
IMAGIN 59
ENDESA 307
MASMOVIL 1
TELEFAX 3
LABORAL KUTXA 1
PSA FINANCIAL 1
YOIGO 1
ORANGE 6
PRA GROUP 1
JAZZTEL 2

En fecha 17 de noviembre de 2022 se recibe en la Agencia Española de Protección de
Datos nueva denuncia por parte de la Delegación Del Gobierno en Islas Baleares, en
esta nos traslada un escrito remitido por la Jefatura Superior De Policía De Las Illes
Balears en relación con la localización de un total de 5354 cartas abandonadas en dos
ubicaciones distintas de La Palma, y de cuya gestión era responsable la empresa
HISPAPOST que gestionaba el reparto por medio de su distribuidor en La Palma CI
POSTAL.

- Se adjunta parte de intervención de la Policía Local en fecha 17 de octubre de
2022 en el que afirma: “Comisionados (…), dos periodistas localizan en el
camino Son Hugo a la altura de las vías del tren de Soller numerosas cartas de
entidades bancarías, compañías de teléfono móvil, etc. Las cuales en su gran
mayoría se encontraban cerradas y algunas pocas manipuladas”.
- Se adjunta también el informe realizado por la Policía y dirigido al Juzgado de
Instrucción en el que se afirma:

 Que se procedió a contactar con HISPAPOST y afirmaron ser la
empresa responsable de los envíos pero que era CI POSTAL el que
gestionaba la distribución final del correo postal en La Palma. Incorpora
capturas de pantalla con correos intercambiados entre la Policía y la
propia empresa HISPAPOST, de su análisis se extrae:
 En fecha 19 de octubre de 2022 el grupo de Policía Nacional
pregunta a HISPAPOST sobre la empresa de reparto y se
traslada el número de cartas localizadas y las denominaciones
de empresas a las que pertenecen.
 Captura de pantalla de correo de respuesta por parte de
HISPAPOST al correo anterior, en fecha 21 de octubre de 2022,
afirmando que el envío por HISPAPOST a través de su
distribuidor en La Palma (CI POSTAL).

 Que no ha resultado posible discernir la identidad del autor o autores
del abandono de la correspondencia y que se hizo entrega de las cartas
a representante autorizado por la empresa HISPAPOST.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/38

Se trata de un recuento total de 5354 cartas con el siguiente reparto de empresas
afectadas y cartas localizadas:

Puesto en conocimiento de HISPAPOST el 19 octubre 2022
EMPRESA CARTAS EMPRESA CARTAS
ENERGY XXI 1420 LEXER 1
ENDESA 1485 EQUIFAX 42
NATURGY 170 TELEFAX 4
GAES 1470 PSA FINANC. 5
VODAFONE 16 INVEST CAPITAL 4
JAZZTEL 51 TR3A 8
YOIGO 5 ZOLVA 29
ORANGE 21 AYTO MADRID (AGENCIA 1
TRIBUTARIA)
MASMOVIL 17 AYTO SEVILLA (AGENCIA 5
TRIBUTARIA)
BANCO 240 MC ABOGADOS 3
SABADELL
CAIXABANK 40 ASISA 2
BBVA 197

Se adjunta un nuevo parte de oficio enviado al Juzgado de Instrucción en fecha 16 de
octubre de 2022 dando cuenta de una nueva intervención realizada por la Policía en el
que se intervinieron unas 3000 cartas aprovechables, no abiertas, procediéndose a
recogerlas y almacenarlas en bolsas de plástico, dejando en el lugar otras que estaban
parcialmente quemadas o mezcladas con la basura. No se aportan detalles de las
empresas a las que pertenecen estas cartas puesto que se pusieron a disposición del
Juzgado.

En relación con este incidente se notificaron a esta Agencia, por parte de distintos
responsables de tratamientos afectados por los abandonos postales las siguientes
brechas de seguridad:

1. El responsable BANCO SABADELL SA notificó la brecha el 20 de octubre de 2022.
2. El responsable PSA FINANCIAL SERVICES notificó la brecha en fechas 21 de
octubre de 2022 y 16 de noviembre de 2022.
3. El responsable ASNEF-EQUIFAX SERVICIOS INFORMACIÓN notificó la brecha en
fechas 21 de octubre de 2022 y 15 de noviembre de 2022.
4. El responsable INTRUM SERVICING SPAIN notificó la brecha en fechas 24 de
octubre de 2022 y 21 de noviembre de 2022.
5. El responsable VODAFONE ESPAÑA notificó la brecha en fechas 27 de octubre de
2022 y 25 de noviembre de 2022.
6. El responsable PRA IBERIA SL notificó la brecha en fecha 1 de noviembre de 2022.
7. El responsable CABOT FINANCIAL SPAIN SA notificó la brecha en fechas 3 de
noviembre de 2022 y 1 de diciembre de 2022.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/38

8. El responsable INVESTCAPITAL LTD notificó la brecha en fecha 18 de noviembre
de 2022.
9. El responsable EOS SPAIN SL notificó la brecha en fechas 17 de noviembre de
2022 y 7 de diciembre de 2022.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a CI POSTAL, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 16 de noviembre de 2022
como consta en el certificado que obra en el expediente.

Con fecha 5 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta al
traslado anterior presentado por la empresa QUICK LOPD SL en calidad de Delegado
de Protección de Datos de CI POSTAL,

Del análisis de la respuesta se extraen las siguientes afirmaciones:
- “En CIPOSTAL tenemos conocimiento de este incidente el 9 de septiembre de
2022, cuando la empresa HISPAPOST, a quien realizamos el servicio de
correo postal en Palma de Mallorca nos informa que la policía local se había
puesto en contacto con ellos para indicarles que se han recogido 2 bolsas de
basura de correspondencia con su logo”.
- “En relación con el código postal de los documentos encontrados, y las fechas
de los mismos, desde CIPOSTAL identificamos las 2 personas encargadas de
dicho reparto y se toman medidas disciplinarias, no estando trabajando para la
empresa en la actualidad “.
- “Tras recibir el aviso, el responsable de CIPOSTAL en Palma de Mallorca se
presenta en las dependencias de la policía local, verificamos que hay 2 bolsas
con correspondencia sin abrir y tras hacer la policía local recuento de las
cartas nos entregan copia de la denuncia junto con las 1.404 cartas ordinarias
recogidas, todas del código postal (...) de varios clientes y de fecha de mayo
2022.”
- “Inmediatamente se informa al resto de la plantilla, así como a la oficina
central, para que a su vez se dé detalle al departamento de COMPLIANCE,
con la finalidad que además de las sesiones formativas ya ofrecidas
anteriormente, se realice una nueva formación que sirva como refuerzo para la
prevención de sucesos similares. Se informa al Delegado de Protección de
Datos para realizar una primera evaluación de los hechos y analizar si se han
visto vulnerados los derechos y libertades de los interesados “.
- “Se trata de un Incidente de seguridad premeditado por parte de personal
interno de la organización que ha supuesto un riesgo de disponibilidad y
confidencialidad de la correspondencia que debía custodiar y repartir
incumpliendo la normativa interna y deber de custodia de la legislación postal.
Se han recuperado 1.404 cartas cerradas sobre un censo poblacional de la
ciudad de Palma de Mallorca de 500.000 personas, en el cual durante el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/38

periodo de enero a octubre del 2022 se repartieron 2.470.632 cartas.
Consideramos que el porcentaje de correspondencia expuesta a terceros sin
consentimiento, pese a ser un hecho preocupante, ha sido residual por el
montante de correspondencia repartida durante el periodo enero – octubre de
2022. Los datos que quedaron expuestos a terceros son datos básicos
identificativos (nombre y apellidos) junto con datos de contacto como es la
dirección postal; al ser correspondencia postal recuperada sin evidencias de
manipulación. Contrastado con la policía no se ha encontrado ninguna carta
manipulada ni sobre vacío que haga pensar se ha accedido otro tipo de
información.”
- “Tras evaluación realizada por CIPOSTAL sobre el incidente, se consideró que
no se podrían producir daños sobre los derechos y libertades de las personas
físicas cuyos datos fueron expuestos, al no apreciarse que pudiera existir un
riesgo alto o muy alto para los derechos y libertades de los sujetos afectados.
NO se tiene constancia de que se haya materializado alguno de los daños
identificados, con el grado indicado en la cuestión anterior. Por ello, se valora
como IMPROBABLE que el daño anterior se materialice sobre las personas
afectadas con la severidad indicada”.
- En relación con las acciones y medidas reactivas adoptadas por esta empresa,
se afirma:
 “En primer lugar, se despidió a los trabajadores implicados en el
incidente y se reunió al resto de la plantilla para recordar sus
obligaciones de custodia de la correspondencia y las consecuencias del
incumplimiento.
 Además de las sesiones formativas ya ofrecidas anteriormente, se ha
realizado una nueva formación que sirva como refuerzo para la
prevención de sucesos similares.
 Recordatorio a todo el personal de clasificación y reparto mediante
reuniones y escritos individualizados de las repercusiones legales que
conlleva la retención, almacenamiento, ocultación, apertura o
destrucción de cualquier envío postal.
 Seguimiento a los repartidores de lo que trabajan, preguntando las
calles donde estuvieron repartiendo y lo constatamos con el reparto que
le hemos preparado.
 Hemos mantenido reuniones y conversaciones con el Delegado de
Protección de Datos de HISPAPOST para que pueda informar a los
responsables de tratamiento últimos que son los clientes emisores de la
correspondencia recuperada.”
- En relación con las medidas preventivas implantadas afirma:
 “Al considerarse una empresa de reparto postal las medidas tendentes
a evitar los riesgos derivados del abandono o no entrega de la
correspondencia están enfocados hacia la formación y compromiso del
personal laboral más allá de la implantación de soluciones
tecnológicas.”
 “En el proceso de incorporación de los trabajadores se le facilita un
pack de bienvenida con un compendio de normas y protocolos de
obligado cumplimiento”. Para acreditar esta afirmación se aportan los
siguientes documentos:
 Un Código Ético y de Conducta, con fecha de implantación 16
de abril de 2018.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/38

 Las políticas corporativas con las obligaciones y conductas
prohibidas, con fecha de implantación 16 de abril de 2018.
 Descripción del canal de denuncias, con fecha de implantación
16 de abril de 2018.
 Régimen disciplinario y sancionador, con fecha de implantación
16 de abril de 2018.
 Protocolo de actuación repartidores, con fecha de implantación
20 de octubre de 2020.”
 Se hace firmar al trabajador el compromiso de confidencialidad. Para
acreditarlo se aporta en adjunto una plantilla o modelo de este
compromiso, no obstante, no se aportan documentos firmados.
 Se adjunta documento con una comunicación informativa del director
general con fecha 19 de noviembre de 2021 trasladando información
sobre la responsabilidad de no entregar las notificaciones o cartas y/o
hacer un uso indebido de ellas, no obstante, no se acredita la puesta a
disposición de los empleados de esta comunicación.
- Se aporta el Registro de Actividades de Tratamientos (RAT) con la actividad
“Reparto paquetería y servicio postal” conteniendo la siguiente información:
responsable de tratamiento, origen de los datos, interesados afectados,
categorías de datos personales, cesiones, encargados de tratamiento,
legitimación, plazos supresión, transferencias internacionales.
- En relación con la notificación del incidente se afirma: “Se consideró no
notificar a los afectados por el escaso volumen de las cartas recuperadas
(menos del 0,5%) frente al total repartido y al haberse recuperado sin síntomas
de manipulación indebida. Desde el momento del conocimiento del incidente,
en calidad de subencargados de tratamiento se informó y colaboró en todo
momento con el encargado de tratamiento (HISPAPOST) para que pudiera
reportar a los diferentes responsables de tratamiento, con la finalidad que
pudieran valorar la notificación de la brecha de seguridad. Se consideró que no
se podrían producir daños sobre los derechos y libertades de las personas
físicas cuyos datos fueron expuestos, motivo por el que no se comunicó la
brecha de seguridad a los afectados conforme al art. 34 del RGPD, al no
apreciarse que pueda existir un riesgo alto o muy alto para los derechos y
libertades de los sujetos afectados, no obstante, es una decisión que
entendimos, debía tomar el Responsable del Tratamiento, al estar hablando de
reparto postal que supone manipulación no automatizada”.
- En relación con las medidas para que el incidente no vuelva a suceder se
afirma: “Se están estudiando y valorando si hay algún tipo de solución
tecnológica que permita tener constancia que el correo se ha depositado en un
buzón. Se ha reforzado el plan de formación y concienciación del equipo de
trabajo para evitar incidentes futuros”.

TERCERO: Como consecuencia del traslado por la POLICIA LOCAL de la denuncia
del hallazgo en un solar de numerosa correspondencia abandonada así como del
descubrimiento en un descampado numerosas de cartas sin entregar dirigidas a
particulares, que aparentemente habrían estado abandonadas varios meses y, ante la
repercusión mediática, la Directora de la Agencia Española de Protección de Datos,
por Nota Interior de fecha de 28 de diciembre de 2022, instó a la Subdirección General
de Inspección de Datos a que inicie de oficio actuaciones previas de investigación
tendentes a acreditar estos hechos y su autoría.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/38

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

En relación con las brechas de seguridad notificadas ante esta Agencia, se señala:

De la brecha notificada por el responsable BANCO SABADELL SA se extrae:
- Se adjunta la denuncia interpuesta por HISPAPOST a Policía Nacional en
fecha 14 de octubre de 2022.
- Descripción del incidente: “Banco de Sabadell, a través de comunicación
efectuada por su proveedor de servicios postales (HISPAPOST) del día 18 de
octubre de 2022, toma conocimiento de la existencia de varios envíos postales
a sus clientes en Palma de Mallorca encontrados en distintos puntos del
municipio arrojados por personal de la empresa encargada de la distribución
(CI POSTAL). Una vez recuperada la documentación, en distintos estados de
deterioro, por las FFCCEE son revisadas por Hispapost y nos trasladan que se
ven afectadas 252 envíos de Banco Sabadell a sus clientes. Estos envíos,
pendientes de su comprobación, podrían incluir movimientos de cuentas,
información sobre saldos, mercadotecnia o cualquier otro tipo de información
personal y financiera. Los hechos han sido denunciados”.
- Volumen de afectados: 252.
- Fecha de detección: 18 de octubre de 2022.

De la brecha notificada por el responsable PSA FINANCIAL SERVICES en fecha 21 de
octubre de 2022 se extrae:
- Descripción del incidente: “Nuestro encargado de tratamiento, Servinform Sa ,
es conocedora a través de la empresa de correos Hispapost, el día 10/10, a
través de un video publicado en redes sociales que la correspondencia
realizada por otro subencargado fue abandonada en la vía pública por parte de
su personal en la ciudad de Palma de Mallorca. Por la tipología de cartas
enviadas, se identifican que un 90% aprox. corresponde a notificaciones
vinculadas a los procesos de recuperación de deudas impagadas”.
- Fecha de detección: 20 de octubre de 2022.
- Volumen de afectados: 44. Las personas afectadas no serán comunicadas.
- Se adjunta un informe de incidencia de seguridad con fecha 14 de noviembre
de 2022 del que se obtiene las siguientes afirmaciones:
 “PSA Finance contrata los servicios de envío de correspondencia a
SERVINFORM, S.A., que actúa en calidad de encargado del
tratamiento. Servinform subcontrata los servicios en HISPAPOST, S.A.,
que a su vez subcontrata la actividad para la región de Palma de
Mallorca en CI POSTAL, S.L., actuando estas dos entidades como
subencargadas del tratamiento de PSA Finance”.
 El 18 de octubre HISPAPOST recibió información de los envíos postales
que fueron recuperados por la Policía, constatándose la existencia de 5
cartas correspondientes a PSA FINANCE. Al día siguiente, 19 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/38

octubre de 2022, SERVINFORM comunicó la incidencia de seguridad a
PSA FINANCE.
 Que se han visto potencialmente afectados 44 envíos y se estima que
aproximadamente un 90% de las mismas se corresponde a
notificaciones vinculadas a los procesos de recuperación de deudas
impagadas.
De las brechas notificadas por el responsable ASNEF-EQUIFAX el 21 de octubre de
2022 y 15 de noviembre de 2022 se extrae:
- Descripción del incidente: “ASNEF-EQUIFAX como responsable del
tratamiento del Bureau de ASNEF, realiza comunicaciones a los consumidores
cuyos datos han sido incluidos en dicho fichero. Con fecha 20/10/2022
HISPAPOST notifica que un empleado de la empresa encargada de la
distribución de notificaciones (CI POSTAL, S.L. en Palma de Mallorca ha
dejado abandonado, en diversas localizaciones de Palma de Mallorca,
comunicaciones que tenía encomendado entregar. El proveedor inicialmente
nos indica que el número afectado de cartas es 187, si bien después de los
análisis efectuados, las notificaciones suman un total 47 cartas de notificación
de inclusión y 1 requerimiento de pago. El ejercicio que ha hecho Equifax ha
sido (en lo que respecta al tratamiento del que es responsable): 1) dar de baja
las operaciones de las notificaciones abandonadas que fueron recuperadas; 2)
de manera cautelar, se han dado de baja todas las operaciones cuyas
notificaciones de inclusión han podido verse potencialmente comprometidas
(desde 1/1/22 hasta 20/10/22 en los CP (...), (…) y (…)) y 3) se ha procedido al
bloqueo del alta de estas operaciones durante 45 días en el fichero ASNEF”.
- Volumen de afectados: 47.
- Fecha detección brecha: 20 de octubre de 2022.

De las brechas notificadas por el responsable INTRUM en fechas 24 de octubre de
2022 y 21 de noviembre de 2022 se extrae:
- Descripción: “INTRUM SERVICING SPAIN tiene contratado con EQUIFAX un
servcio de envío de notificaciones que, a su vez tiene como subencargado a
Hispapost. El 21/10 a las 18 h nos comunica una incidencia que ha provocado
que algunas de las notificaciones de Requerimientos Previos e inclusión al
bureau no hayan sido realizadas. Como medidas tomadas hasta el momento
por parte de Hispapost, se ha dejado de trabajar con la compañía encargada
de la distribución de comunicaciones en P. de Mallorca y ha presentado las
acciones legales oportunas. Las actuaciones que están siendo llevadas a cabo
por Equifax y de las que daremos información según se vayan llevando a cabo,
son las siguientes: i) determinar el número de envíos de Intrum y el detalle de
los mismos que han sido enviados a los códigos postales implicados en los
meses indicados ii) determinar los destinatarios de las comunicaciones que
han sido incluidos en el fichero ASNEF iii) Proceder a la baja de dichos datos
en el fichero ASNEF, en su caso y el posible bloqueo de nueva alta en ASNEF
iv) Determinar las reclamaciones que han podido efectuar sobre el fichero
ASNEF los destinatarios de las comunicaciones implicadas.”
- Volumen de afectados: 1.
- Fecha detección brecha: 21 de octubre de 2022.

De las brechas notificadas por el responsable VODAFONE en fechas 27 de octubre de
2022 y 25 de noviembre de 2022 se extrae:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/38

- Descripción: “Se han encontrado envíos postales (correspondencia) de varios
clientes abandonados en diferentes zonas en los alrededores de la ciudad de
Palma de Mallorca. La distribución postal en esta zona la realizaba CI
POSTAL, S.L., actuando como subencargada del tratamiento de Hispapost
S.A., entidad subcontratada por Equifax Ibérica, S.L, quien a su vez presta
servicios de cobro de deuda a Vodafone en calidad de encargado de
tratamiento. Las cartas afectadas contienen información sobre impagos del
destinatario a la entidad Vodafone, incluyendo la cantidad adeudada. Vodafone
fue notificado por Equifax el día 24 de octubre de 2022, a través de correo
electrónico. Vodafone ha revisado el incidente y, tras un análisis del proveedor,
se ha concluido que los clientes que potencialmente se han visto afectados se
eleva a 361.”
- Fecha detección: 24 de octubre de 2022.

De la brecha notificada por el responsable PRA IBERIA SL el 1 de noviembre de 2022
se extrae:
- Descripción del incidente: “Recibimos comunicación el 21 de octubre de 2022
por parte de Equifax Ibérica, S.L.U. (Equifax) informándonos de un incidente
con la correspondencia relativo a las cartas de notificación de inclusión del
fichero Asnef. Revisados los ficheros de comunicación a Asnef, comprobamos
que no tenemos ningún registro de alta, no pudiendo afectar esta incidencia a
nuestros clientes en relación a la comunicación al fichero Asnef.
Posteriormente preguntamos a Equifax si el servicio de envío de
correspondencia a clientes de PRA Iberia, S.L.U. (PRA) se ha visto igualmente
afectado. Con fecha 28 de octubre de 2022, recibimos la confirmación oficial
de Equifax del abandono de correspondencia por un empleado de un operador
postal subcontratado por Equifax (CI POSTAL, S.L. -CI POSTAL-, por medio de
Hispapost, distribución de Palma de Mallorca), que afecta a la correspondencia
remitida por PRA para los códigos postales (...), (…) y (…) desde el 1 de enero
de enero de 2022 hasta el 10 de octubre de 2022”.
- Afirman como fecha de detección: 28 octubre de 2022.
- Se afirma la existencia de 1023 potenciales afectados.

De las brechas notificadas por el responsable CABOT FINANCIAL en fechas 3 de
noviembre de 2022 y 1 de diciembre de 2022 se extrae:
- Afirman como fecha de detección: 1 noviembre 2022.
- Volumen de afectados: 326.
- Aportan un informe con el análisis y valoración de la brecha, de su análisis se
extraen las siguientes afirmaciones:
 “Se ha tratado de una brecha de seguridad que ha comprometido la
confidencialidad de los datos en tanto en cuanto terceros podrían haber
accedido a la información contenida en la comunicación de inclusión al
fichero ASNEF, así como la disponibilidad, en la medida en la que
habría un número indeterminado de comunicaciones extraviadas que, a
fecha del presente Informe de Cierre, no ha podido aun determinarse”.
 “EQUIFAX confirma el número de 326 cartas afectadas dirigidas a
deudores”.
 “Siguiendo el criterio de la AEPD se ha considerado que existe una
probabilidad BAJA de que se materialicen los riesgos y que, en todo
caso, la severidad de la brecha ALTA”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/38

De la brecha notificada por el responsable EOS SPAIN SL el 17 de noviembre y 7 de
diciembre de 2022 se extrae:
- Fecha detección: 15 de noviembre de 2022.
- Aportan informe del incidente del que se extraen las afirmaciones:
 “Equifax ha recibido de Hispapost 84 cartas físicas que han recuperado
directamente de los lugares donde se abandonaron. La Policía dispone
también de cartas físicas que hoy en día siguen retenidas por las
autoridades por constituir pruebas de la investigación iniciada por el
Juzgado de Instrucción competente para la tramitación del
procedimiento penal correspondiente. Equifax desconoce el contenido
que esa correspondencia en poder de la Policía.”
 “Las notificaciones afectadas comprenden tanto las notificaciones de
inclusión realizadas por ASNEF-EQUIFAX para informar a los deudores
de su inclusión en el fichero ASNEF, como notificaciones de
requerimientos previos de pago de clientes”.
- Volumen potencial afectados:1067.

Investigación dirigida a CI POSTAL SL:

En fecha 29 de marzo de 2023 se realiza requerimiento de información a CI POSTAL,
entidad encargada del reparto final de la correspondencia y responsable del
abandono. El requerimiento estuvo marcado por la siguiente línea de investigación:
- Obtener copia del informe de la brecha.
- Investigar las medidas técnicas y organizativas implantadas en la organización
para garantizar confidencialidad trabajadores afectados y la seguridad de los
tratamientos en los envíos, en concreto para los cuatro trabajadores posibles
responsables de los abandonos.
- Investigar las medidas de seguridad implantadas para garantizar la seguridad
de los tratamientos realizados en los envíos postales.
- Investigar los contratos de encargo o subencargado de los tratamientos
afectados.

Este requerimiento expiró sin haberse accedido a su contenido en fecha 9 de abril de
2023, llevándose posteriormente a cabo una segunda reiteración vía postal en fecha 5
de junio de 2023, constando como fecha de acuse de recibo el mismo 5 de junio de
2023 tras acceso a la Dirección Electrónica Habilitada Única; no obstante, no consta
respuesta.

El 23 de agosto de 2023 se decide realizar un último intento de requerimiento a esta
entidad solicitando la acreditación de las medidas preventivas que existían para
garantizar la confidencialidad de los empleados, la trazabilidad y el seguimiento de los
envíos, así como las actividades formativas y de concienciación realizadas en
momentos previos a la brecha.

CI POSTAL responde a este último requerimiento en fecha 31 de agosto de 2023, del
análisis de su respuesta se extrae la siguiente información relevante:
- Aportan documento acreditando los compromisos de confidencialidad firmados
por los dos trabajadores que desde CI POSTAL se consideró que fueron los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/38

responsables del abandono de la correspondencia en vía pública y sobre los
que se tomaron medidas disciplinarias de despido.
- En relación con la acreditación de las acciones formativas afirman
textualmente: “Al haber realizado formaciones de información y concienciación
básicas de 1 hora online para explicar los conceptos básicos en protección de
datos no se emitieron certificados formativos. Una formación de 40 horas para
personal de reparto postal con alta rotación no es un sistema ajustado a las
necesidades de la empresa, por ello el realizar jornadas informativas de una
hora. No obstante, tras el incidente del ejercicio 2022, en el Wellcome Pack se
ha incorporado un manual de formación en privacidad que recoge conceptos
básicos para sus funciones, teniendo en cuenta que los repartidores en el 99%
de los casos es un tratamiento de datos de consulta, sin capacidad de registro,
modificación y eliminación de datos”. Se adjunta documento con el manual de
formación básica en protección de datos, pero no se acredita la jornada de
formación mencionada.
- En relación con la acreditación de las medidas adoptadas para garantizar la
trazabilidad y seguimiento de envíos, afirman: “En el reparto postal ordinario,
causa del incidente de seguridad por abandono de correspondencia, implantar
medidas de trazabilidad y seguimiento del reparto conlleva un nivel de
dificultad muy alta. Hasta el día de hoy, no se ha encontrado una solución
tecnológica que permita tener constancia que el correo ordinario ha sido
depositado en el buzón. Cabe recordar que CIPOSTAL recibe de sus clientes
grandes volúmenes de correspondencia para repartir, sin desglose de datos
algunos. Tan solo se nos entregan lotes de correspondencia donde el único
dato que se posee es el número de cartas a repartir. Crear equipos de reparto
de dos personas para poder controlar si se realiza el reparto o no, es una
solución inviable por costes”.

Investigación dirigida al encargado de tratamiento HISPAPOST SA:

En fecha 30 de marzo de 2023 se realiza requerimiento de información a HISPAPOST,
marcado por la siguiente línea de investigación:
- Investigar el registro de incidentes y el registro de actividades de tratamientos
afectados por la brecha.
- Obtener información sobre la notificación de la brecha ante esta Agencia y la
comunicación a los afectados.
- Investigar las notificaciones de la brecha a las empresas afectadas y con las
que se tenía contrato de encargo.
- Investigar la existencia de contratos de encargo con las empresas afectadas.
- Investigar el contrato de encargo con el subencargado CI POSTAL SL.
- Investigar el posible análisis de riesgo y la acreditación de las medidas
preventivas implantadas.

En fecha 24 de abril de 2023 se recibe respuesta al requerimiento anterior, de su
análisis se extrae como información relevante:
- Se adjunta el registro documentado de la brecha de seguridad del que se
obtienen las siguientes afirmaciones:
 Se afirma un total de 7924 envíos postales recuperados.
 No se considera que el contenido de las cartas haya sido expuesto en
ningún caso por lo que los datos afectados fueron “nombre y apellidos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/38

del destinatario y dirección postal de entrega”. Afirman que las cartas
han sido encontradas en lugares remotos abandonados por lo que se
descarta exposición a un gran número de personas.
 Afirman que las cartas son envíos ordinarios (no certificados), por lo
que se descarta consecuencias importantes para los interesados
derivadas de la no recepción de la carta, y que se dio traslado a cada
uno de sus clientes (que actuaban en su mayoría como responsables
del tratamiento) para evaluar este impacto. Que se consideró que “no
se podrían producir daños sobre los derechos y libertades de los
afectados”.
 Aportan la siguiente cronología de los hechos (la cual únicamente hace
referencia a las cartas encontradas en el mes de octubre, no
haciéndose referencia en esta cronología a la remesa de cartas
localizada por la Policía Local en septiembre de 2022):
 El 10 de octubre a las 17:20 horas les llega información sobre un
vídeo publicado en internet. La correspondencia se consigue
recuperar por personal de HISPAPOST.
 El 13 de octubre de 2022 se localizan nuevos envíos tras alerta
de un ciudadano.
 El 14 de octubre se comunica incidencia a DPO y se interpone
denuncia en Policía Nacional.
 El 17 de octubre de 2022 llega a las instalaciones de
HISPAPOST en Madrid la correspondencia encontrada para el
análisis y cuantificación de clientes afectados. Este mismo 17 de
octubre de 2022 se descubren nuevos hallazgos por policía y
medios de comunicación.
 El 19 de octubre se recibe información detallada de los envíos
recuperados por la policía, las cartas se devuelven a los clientes
o se desechan en base a sus instrucciones.
 Del 14 al 21 de octubre se realiza la notificación del incidente a
los clientes afectados.
 Se afirma que “los envíos realizados a la ciudad de Palma de Mallorca
no permiten realizar el control de trazabilidad que HISPAPOST aplica a
sus envíos ordinarios ya que existe una dificultad logística por el
transporte”.
 Aportan listado con las medidas reactivas adoptadas por la empresa:
 Cierre distribución Palma de Mallorca.
 Aumentar inspecciones en red reparto.
 Recordatorio personal sobre responsabilidades en los repartos.
 Evitar trabajar en Códigos Postales donde no se disponga de
envíos con trazabilidad para poder evaluar diariamente el estado
de estos (considerando disponer de un número mínimo de
envíos con trazabilidad).
 Despliegue de panelistas internos para hacer seguimiento de
correspondencia.
 Refuerzo en la formación y sensibilización de empleados.
- Se adjunta la denuncia interpuesta por HISPAPOST en fecha 14 de octubre de
2022, del análisis de esta denuncia se extraen las siguientes afirmaciones
relevantes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/38

Se afirma: “en fecha 10 de octubre de 2022 HISPAPOST recibe

mensaje de CI POSTAL en el cual les envían un vídeo sacado de
Telegram en el que se puede observar a un hombre comentando y
filmando miles de cartas esparcidas en un desguace enviadas desde
HISPAPOST y las cuales contienen datos personales de clientes
(Naturgy y Endesa entre otros)… que dichas cartas fueron recogidas
por la distribuidora de Mallorca el día 11 de octubre de 2022 y siendo
enviadas de vuelta el día 13 de octubre de 2022 a la empresa dicente”.
 “Que el día 13 de octubre de 2022 se recibe mensaje por parte de la
empresa CaixaBank comunicando que quien resulta ser B.B.B., ha
encontrado aproximadamente 4000 cartas dirigidas a Caixabank en
perfectas condiciones, las cuales fueron arrojadas por un individuo
desconocido desde un vehículo a las 19 horas del 10 de octubre de
2022”.
- Se aporta el Registro de Actividades de Tratamiento (RAT) de HISPAPOST
como encargado de tratamiento, actualizado a 14 de diciembre de 2022. Del
análisis de este RAT se concluye que HISPAPOST realizaba tratamientos por
cuenta de los siguientes responsables:
 Para el responsable de tratamiento AMPLIFÓN IBÉRICA SAU:
 Descripción tratamiento: Servicio distribución postal.
 Existe autorización para subcontratación: SI.
 Para el responsable de tratamiento BANCO SABADELL SA:
 Descripción tratamiento: Prestación de servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento BBVA SA:
 Descripción tratamiento: Cartería, Telegrama y Burofaxes, Valija,
Mensajería Nacional e Internacional.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento CAIXABANK FACILITIES
MANAGEMENT SA:
 Descripción tratamiento: Recogida y entrega domiciliaria de
correspondencia de CaixaBank.
 Existe autorización para subcontratación: SI.
 Para el responsable de tratamiento EQUIFAX IBERICA SL
(B80855398):
 Se afirma que este cliente actúa como Responsable del
Tratamiento de los datos personales tratados.
 Descripción tratamiento: Servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento ENDESA SA:
 Descripción tratamiento: servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento NATURGY CLIENTES SA:
 Descripción tratamiento: servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente SERVINFORM SA:
 Se afirma que este cliente actúa como Encargado de
Tratamiento de los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/38

 Descripción tratamiento: distribución postal para PSA
FINANCIAL SERVICES SPAIN, E.F.C., S.A (que actúa como
Responsable del Tratamiento).
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento AYUNTAMIENTO DE
MADRID (Dirección General Contratación y Servicios):
 El cliente es Responsable de Tratamiento.
 Descripción tratamiento: Distribución postal para el
Ayuntamiento de Madrid y sus Organismos Autónomos.
 Datos: datos de carácter identificativo (nombre, apellidos y
dirección postal), correspondientes a la actividad de tratamiento
“Recaudación Ejecutiva”.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento GRUPO MEDINA CUADROS
(MC ABOGADOS SL + TELEFAX):
 El cliente es Responsable de Tratamiento.
 Descripción tratamiento: servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento AYUNTAMIENTO DE
SEVILLA (Agencia Tributaria de Sevilla):
 Descripción tratamiento: servicios postales.
 Existe autorización para subcontratación: SI.
 Para el cliente responsable de tratamiento ASOCIACIÓN ESPAÑOLA
CONTRA EL CÁNCER:
 Descripción tratamiento: servicios postales.
 Existe autorización para subcontratación: SI.
 Plazo de conservación 3 meses.
- En relación con la notificación de la brecha afirma: “Hispapost como encargado
del tratamiento de los datos implicados en la incidencia, informó a sus clientes
(Responsables del Tratamiento) sobre la incidencia ocurrida para que estos
realizaran la valoración de la incidencia y si pudiese considerarse brecha de
seguridad, y en su caso realizar la oportuna comunicación de la brecha de
seguridad a la Agencia de Protección de Datos”.
- Se adjunta documento con un informe redactado por el DPD de HISPAPOST, la
empresa Ascendia Reingeniería Y Consulting, S.L., firmado en fecha 21 de
abril de 2023 y conteniendo la valoración de la brecha.
- En relación con la notificación de la brecha a todas las empresas afectadas y
que actuaban como responsables de tratamiento de los datos personales
afectados (clientes de HISPAPOST), se acredita documentalmente las
siguientes:
 Notificación realizada al responsable ASOCIACIÓN ESPAÑOLA
CONTRA EL CÁNCER (AECC), aportándose captura de correo
electrónico enviado el 20 de octubre de 2022.
 Notificación realizada a la AGENCIA TRIBUTARIA DE SEVILLA
aportándose captura de correo electrónico enviado el 20 de octubre de
2022.
 Notificación efectuada a ASISA aportando captura de correo electrónico
enviado el 19 de octubre de 2022. Esta notificación se hace en primer
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/38

lugar al cliente SERVINFORM el 19 de octubre de 2022, este cliente
actúa como encargado de tratamiento del responsable ASISA,
quedando acreditado que este mismo día 19 de octubre de 2022 remitió
la notificación con el informe del incidente a este responsable.
 Notificación efectuada a BBVA aportando captura de correo electrónico
enviado el 20 de octubre de 2022.
 Notificación efectuada a CAIXABANK aportando captura de correo
electrónico enviado el 19 de octubre de 2022. En la información que se
proporcionó en relación a esta notificación se incluían las siguientes
afirmaciones relevantes para la investigación:
 “13/10/2022 recibimos una comunicación de CaixaBank,
avisando de que una persona se presenta en la oficina de
CaixaBank (…), indicando que ha visto a una persona tirar
correspondencia en una ubicación del municipio. Personal de
Caixabank retira los envíos. El 14/10/2022 nos desplazamos a la
Dirección Territorial de Caixa en Palma de Mallorca,
conseguimos el teléfono de la persona que inicialmente
comunicó a Caixabank la ubicación del hallazgo de documentos,
localizamos el punto donde apareció la correspondencia y
recogemos el resto de envío de otros clientes no Caixabank”.
 “17/10/2022 Llegan a las instalaciones de Hispapost Madrid, la
correspondencia recuperada (no en buen estado), para el
análisis y cuantificación de clientes y nº de envíos afectados. En
este análisis se identifican en mal estado 92 comunicados de
Caixabank”.
 “19/10/2022 hemos recibido información de envíos recuperados
por la Policía en estos días. Envíos correspondientes a
Caixabank son 40, los cuales tan pronto nos sean remitidos por
las autoridades los remitiremos a vuestras instalaciones”.
 Notificación efectuada a ENDESA aportando captura de correos
electrónicos enviados el 13 de octubre de 2022 y el 20 de octubre de
2022.
 Notificación efectuada a EQUIFAX aportando captura de correo
electrónico enviado el 20 de octubre de 2022. Adjunto a este correo se
remitió un informe del incidente que también se aporta, de su análisis se
obtienen las siguientes afirmaciones relevantes:
 “Existieron 92 envíos recuperados: 46 cartas de Equifax, 2
cartas de Sabadell, 22 cartas de Intrum, 1 carta de PraGroup,1
carta de Link Finanzas, 3 cartas de BBVA, 1 carta de TEAM4, 2
cartas de Procobro, 6 cartas de Vodafone”.
 Notificación efectuada a GAES (Antes denominada AMPLIFON
IBÉRICA SAU) aportando captura correo electrónico remitido el 18 de
octubre de 2022.
 Notificación efectuada a GRUPO MASMOVIL aportando captura de
correo electrónico enviado el 20 de octubre de 2022.
 Notificación efectuada a NATURGY aportando captura de correo
electrónico enviado el 13 de octubre de 2022 con un comunicado
general sobre la incidencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/38

Notificación efectuada a GRUPO ORANGE aportando captura de

correo electrónico enviado el 20 de octubre de 2022.
 Notificación efectuada a PSA FINANCIAL aportando captura de correo
electrónico enviado desde la dirección ***EMAIL.1 el 20 de octubre de
2022. Según el RAT, HISPAPOST actúa como encargado de
tratamiento de SERVINFORM, y este al mismo tiempo actúa como
encargado de tratamiento para la distribución postal del responsable
PSA FINANCIAL SERVICES.
 Notificación efectuada a BANCO SABADELL aportando captura de
correo electrónico enviado el 18 de octubre de 2022.
 Notificación efectuada a MC ABOGADOS Y TELEFAX aportando
captura de correo electrónico enviado el 21 de octubre de 2022.
 Notificación efectuada a TR3A aportando captura de correo electrónico
enviado el 20 de octubre de 2022, el correo es enviado desde la
dirección ***EMAIL.2 hacia el destinatario ***EMAIL.3. Por parte del
presente inspector se constata que este responsable NO está recogido
en el RAT de HISPAPOST como encargado.
- Se adjunta copia del contrato de encargo de tratamiento entre HISPAPOST y
CI POSTAL, de su análisis se extrae la siguiente información relevante:
 La fecha de firma del contrato es el 10 de enero de 2022 y en él se
detallan los tipos de datos afectados por el encargo, las categorías de
interesados, las operaciones de tratamiento, sobre las transferencias
internacionales y los datos de ambos DPD.
 Se afirma que HISPAPOST tiene el carácter de encargado de
tratamiento siendo CI POSTAL subencargado de tratamiento, actuando
EL CLIENTE DE HISPAPOST como responsable de tratamiento de los
datos afectados por el encargo.
 Se detallan las obligaciones del proveedor CI POSTAL como
subencargado del tratamiento, entre las que se destacan:
 Garantizar que las personas autorizadas para tratar los datos
personales se comprometan de forma expresa y por escrito a
respetar la confidencialidad y cumplir las medidas de seguridad
correspondientes, de las que hay que informarles
convenientemente.
 Garantizar la formación necesaria en materia de protección de
datos personales de las personas autorizadas.
 A tenor del art 32 RGPD, CI POSTAL se compromete a adoptar
las medidas necesarias para evitar la alteración, pérdida,
tratamiento o acceso no autorizado a los datos personales de
los clientes de HISPAPOST, habida cuenta del estado de la
tecnología, la naturaleza de los datos y los riesgos expuestos,
ya provengan de la acción humana o de medio físico o natural.
CI POSTAL manifiesta que posee Manual de Privacidad en el
que se determinan las medidas técnicas y organizativas a
implementarse.
 CI POSTAL notificará a HISPAPOST sin dilación indebida y con
la mayor celeridad posible y en cualquier caso antes de las 24
horas, a través de correo electrónico
[email protected] las brechas de seguridad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/38

salvo que sea improbable que constituya un riesgo para los
derechos y libertades de personas físicas.
 Corresponde a HISPAPOST o a su cliente (responsable de
tratamiento) notificar las brechas a la AEPD y a los interesados.
 De acuerdo con la evaluación de riesgos realizada por el cliente
de HISPAPOST, y lo establecido en el art 28 RGPD, CI POSTAL
como mínimo deberá implementar las medidas de seguridad
correspondientes al nivel medio de conformidad con lo dispuesto
en el Reglamento de desarrollo de la LOPD (RLOPD) RD
1720/2007, mientras no se especifique en su sustitución otras
medidas.

- Se aportan copias de los contratos de encargo de tratamiento que existían
formalizados entre HISPAPOST y cada uno de sus clientes a los que prestaba
el servicio de distribución postal y que fueron afectados por la brecha, se
acreditan:
 Se aporta copia de contrato de encargo con el responsable de
tratamiento ASISA, con fecha de firma 1 de enero de 2022.
 Se aporta copia del contrato de encargo con AYUNTAMIENTO DE
MADRID, con fecha de firma de la licitación 26 de enero de 2021. En
este contrato se especifica la autorización para subcontratar el servicio
con CI POSTAL.
 Se aporta copia de contrato de encargo con el responsable de
tratamiento BBVA, con fecha de firma 13 de abril de 2021.
 Se aporta copia de contrato de encargo con el responsable de
tratamiento CAIXABANK con fecha de firma 19 de julio de 2019.
 Se aporta copia de contrato de encargo con EQUIFAX IBERICA SL, con
fecha de firma 1 de abril de 2019.
 Se aporta copia de contrato de encargo con AMPLIFON IBERICA SAU
A59198770 (antigua denominación de GAES), con fecha de firma 30 de
marzo de 2021. Entre su clausulado se autoriza a HISPAPOST para
subcontratar los servicios con todos los integrantes de su red de reparto
donde no se tenga cobertura propia.
 Se aporta copia del contrato de encargo con SERVINFORM, con fecha
de firma 15 de enero de 2019.
 Se aporta copia del contrato de encargo con BANCO SABADELL, con
fecha de firma 24 de febrero de 2022.
 Se aporta copia del contrato de encargo con ENDESA, con fecha de
firma 1 de febrero de 2022.
 Se aporta copia del contrato de encargo con NATURGY CLIENTES SA,
con fecha de firma 31de marzo de 2022. Se autoriza la subcontratación
de CI POSTAL de forma expresa en el contrato.

- En la respuesta al requerimiento también se aporta documento con un informe
de la Evaluación de Impacto para la Protección de Datos (EIPD) sobre la
actividad de tratamiento de distribución postal.
- Se aporta documento conteniendo el listado de medidas reactivas implantadas
por HISPAPOST tras la brecha de seguridad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/38

En fecha 20 de junio de 2023 se decide realizar segundo requerimiento de información
a HISPAPOST marcado por la siguiente línea de investigación:
- Se solicita que acredite si existieron notificaciones de la brecha de seguridad a
los responsables (clientes) afectados por los abandonos que localizó la Policía
Local en septiembre de 2022, y del que tuvieron constancia el mismo 13 de
septiembre de 2022, según parte de la policía.
- Que aclare algunas de las medidas implantadas para garantizar la trazabilidad
de los envíos.
- Que acredite la medida reactiva adoptada (…), en concreto se solicita
acreditación de los resultados obtenidos para el distribuidor CI POSTAL.

En fecha 29 de junio de 2023 se recibe respuesta al requerimiento anterior, de su
análisis se extraen las siguientes afirmaciones:
- “El día 13 de septiembre personal de CI Postal acude a la comisaría e
identifica las cartas (1404 cartas de diferentes clientes) y el 22 de septiembre
CI Postal recoge las cartas de la comisaria de la Policía Local de Palma,
ninguna carta ha sido abierta ni manipulada”.

- “Tras realizar una evaluación de los factores que intervienen en el incidente
(durante la última semana de septiembre y primera de octubre, conforme se
obtuvo la información): la cantidad limitada de cartas afectadas, el buen estado
de las mismas sin abrir ni manipular, la posibilidad de reanudar la distribución,
la localización del hallazgo en lugar remoto y poco accesible (que reduce la
probabilidad de que fueran accesibles), la tipología de las cartas que eran
correo ordinario (que descarta contenidos que puedan generar consecuencias
importantes para los interesados), la causa intencionada por parte de
trabajadores de CI Postal; se consideró que sería improbable que se pudieran
producir daños sobre los derechos y libertades de las personas físicas cuyos
datos fueron expuestos, al no apreciarse que pueda existir un riesgo alto o muy
alto para los derechos y libertades de los afectados, y en ese momento no se
consideró necesaria la comunicación a los clientes afectados. Comunicación a
dichos clientes que se realizó días después en los nuevos hallazgos que se
produjeron en el mes de octubre (detectados en fecha 11 de octubre de 2022)”.

- “Los códigos postales sensibles o con defecto de trazabilidad, son todos los de
Palma de Mallorca (única ciudad de Baleares que Hispapost distribuía), siendo
el subencargado del tratamiento la empresa CI Postal, y ante la imposibilidad
de realizar un control del servicio, desde la ocurrencia de la incidencia se
decidió no reanudar el servicio”.

- “Los envíos ordinarios no permiten aplicar ningún tipo de trazabilidad directa ni
por Hispapost ni por ningún operador postal. El procesamiento de este tipo de
envíos se realiza de manera manual (en papel) y el único dato que maneja
Hispapost son los volúmenes de clientes y cartas. En cuanto al control de la
trazabilidad que Hispapost aplica para este tipo de envíos se realiza de forma
indirecta por las siguientes vías:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/38

 Control indirecto a través de los envíos certificados

 Control de reclamaciones

 Inspecciones periódicas”.

- Se acreditan evidencias de algunas inspecciones periódicas realizadas en
centros de reparto, aportándose también el manual que utilizan para llevarlas a
cabo.

- En relación con nuestra solicitud para que acrediten las acciones de
sensibilización que habían obtenido del subencargado CI POSTAL, aportan:

 Acreditación de una comunicación informativa dirigida a los
trabajadores de CI POSTAL en fecha 19 de noviembre de 2021 sobre
las consecuencias de incumplimiento de normas, código ético y
programa COMPLIANCE.

 Acreditan sesión formativa en diciembre de 2021 con el siguiente
contenido, sin especificar tiempo de duración de la formación: Código
Ético, Acuerdo de Confidencialidad, Riesgos Penales en el trabajo,
Régimen Disciplinario y Canal de Denuncias.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
CI POSTAL es una mediana empresa constituida en el año 2010, y con un volumen de
negocios de 6.274.271 euros en el año 2022.

SEXTO: Con fecha 22 de diciembre de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del artículo 5.1.f) del RGPD y del artículo 32 del RGPD,
tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD, respectivamente.

SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado
para la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la parte reclamada.

El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/38

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO. La entidad HISPAPOST es una empresa dedicada a la prestación de
servicios postales o de distribución postal, asumiendo todas las tareas que conllevan
dichos servicios, desde la recogida hasta la entrega a los destinatarios de los objetos
postales de que se trate.

Con ese objeto, tiene formalizado contrato de prestación de servicios postales con
numerosas entidades, entre las que figuran ASISA, AYUNTAMIENTO DE MADRID,
BBVA, CAIXABANK, EQUIFAX IBERICA SL, AMPLIFON IBERICA SAU (GAES),
SERVINFORM, BANCO SABADELL, ENDESA o NATURGY CLIENTES SA.

Desde el punto de vista de la protección de datos personales, en todas las relaciones
contractuales citadas, la entidad HISPAPOST interviene bajo la condición de
encargada del tratamiento, siendo responsables del tratamiento de los datos
personales las entidades clientes de HISPAPOST.

SEGUNDO. Para el desarrollo y ejecución de esos servicios postales, HISPAPOST
subcontrata dichos servicios o parte de ellos con otras entidades, especialmente para
aquellos lugares en los que su red de reparto no tiene cobertura propia.

En las relaciones de este tipo que HISPAPOST formaliza, la entidad subcontratista
interviene, desde el punto de vista de la protección de datos personales, bajo la
condición de subencargada del tratamiento.

TERCERO. La entidad HISPAPOST formalizó un contrato con la entidad CI POSTAL,
en virtud del cual esta última se obliga cubrir la distribución de correo ordinario en la
ciudad de Palma de Mallorca.

Con motivo de esta contratación, con fecha 10/01/2022, ambas entidades suscribieron
el correspondiente contrato de encargo de tratamiento, el cual se declara reproducido
en este acto a efectos probatorios. En dicho contrato, entre otras cuestiones, se
detallan los tipos de datos afectados por el encargo, las categorías de interesados y
las operaciones de tratamiento.

Se dispone, asimismo, que HISPAPOST tiene el carácter de encargado de tratamiento,
siendo CI POSTAL subencargado de tratamiento y actuando el cliente de HISPAPOST
como responsable de tratamiento de los datos afectados por el encargo.

Entre las obligaciones asumidas por CI POSTAL como subencargado del tratamiento
figuran las siguientes:

. Garantizar que las personas autorizadas para tratar los datos personales se
comprometan de forma expresa y por escrito a respetar la confidencialidad y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/38

cumplir las medidas de seguridad correspondientes, de las que hay que
informarles convenientemente.
. Garantizar la formación necesaria en materia de protección de datos personales
de las personas autorizadas.
. A tenor del art 32 RGPD, CI POSTAL se compromete a adoptar las medidas
necesarias para evitar la alteración, pérdida, tratamiento o acceso no autorizado a
los datos personales de los clientes de HISPAPOST, habida cuenta del estado de
la tecnología, la naturaleza de los datos y los riesgos expuestos, ya provengan de
la acción humana o de medio físico o natural. CI POSTAL manifiesta que posee
Manual de Privacidad en el que se determinan las medidas técnicas y
organizativas a implementarse.
. CI POSTAL notificará a HISPAPOST sin dilación indebida y con la mayor
celeridad posible y en cualquier caso antes de las 24 horas, a través de correo
electrónico [email protected] las brechas de seguridad salvo que
sea improbable que constituya un riesgo para los derechos y libertades de
personas físicas.
. Corresponde a HISPAPOST o a su cliente (responsable de tratamiento) notificar
las brechas a la AEPD y a los interesados.
. De acuerdo con la evaluación de riesgos realizada por el cliente de HISPAPOST,
y lo establecido en el art 28 RGPD, CI POSTAL como mínimo deberá implementar
las medidas de seguridad correspondientes al nivel medio de conformidad con lo
dispuesto en el Reglamento de desarrollo de la LOPD (RLOPD) RD 1720/2007,
mientras no se especifique en su sustitución otras medidas.

CUARTO: La Policía Local del Ayuntamiento de Palma de Mallorca, mediante informe
de 22/09/2022, comunicó a esta AEPD el hallazgo en un solar de correspondencia
abandonada con datos personales, hasta un total de 1.404 cartas1404 de las
empresas remitentes con la siguiente distribución: La Caixa (596 cartas), BBVA (57
cartas), Naturgy (33 cartas), Energía XXI (295 cartas), Imagin (59 cartas), Endesa (307
cartas), MasMovil (1 carta), Telefax (3 cartas), Totem (3 cartas), Laboral Kutxa(1 carta),
PSA (1 carta), Yoigo (1 carta), Orange(6 cartas), Pra Group (1 carta), Jazztel (2
cartas). Dichas cartas pertenecían a los meses comprendidos entre febrero y mayo de
2022.

Según consta en dicho informe, la documentación fue hallada en un solar entre la MA-
30 y las vías del tren, según se refleja en el ***INFORME.1 de fecha 02/07/2022.

En relación con este hallazgo de documentación, se informa que los agentes de la
citada Policía Local contactaron con HISPAPOST, reconociendo dicha entidad que la
correspondencia encontrada debía haber sido repartida por empleados de CI POSTAL,
desconociendo el motivo por el que dicho reparto no se llevó a cabo y del abandono
de la correspondencia.

Las cartas en cuestión fueron entregadas por la Policía Local a una persona
representante de CI POSTAL en fecha 22/09/2022. Previamente, en fecha 13/09/2022,
esta misma persona acudió a las dependencias de la Policía Local y al serle
mostradas las cartas halladas, reconoció el logo de su empresa.

QUINTO. A través de la Delegación del Gobierno de Illes Balears, con fecha
17/11/2022, se recibe en la AEPD información elaborada por la Jefatura Superior de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/38

Policía de Illes Balears en relación con la localización, en fecha 16/10/2022, de un total
de 5354 cartas abandonadas en dos ubicaciones distintas de Palma de Mallorca, de
cuya gestión era responsable la empresa HISPAPOST, que ejecutaba el reparto por
medio de su distribuidor subcontratado CI POSTAL. El detalle de estas cartas, según
la entidad remitente, consta reseñado en el Antecedente Primero del presente acto,
que se declara reproducido a efectos probatorios.

El hallazgo de una parte de esta documentación (3000 cartas aproximadamente) fue
alertado a la Policía Nacional por un ciudadano, (…), que a su vez recibió un correo
electrónico de una tercera persona informándole de la existencia de estas
comunicaciones en uno de los torrentes de la ciudad. Según informan, se recogieron
“las cartas aprovechables, no abiertas… dejando en el lugar otras que estaban total o
parcialmente quemadas y otras que se encontraban mezcladas con la basura”.

La documentación aportada por la Delegación del Gobierno incluye otro parte de
intervención de la Policía Nacional, de fecha 17/10/2022, relativo al hallazgo de
numerosas cartas, en su gran mayoría cerradas y algunas manipuladas. Dan cuenta
de la declaración de un testigo, según la cual las cartas llevaban en el lugar
aproximadamente una semana.

SEXTO. HISPAPOST, por su parte, con fecha 14/10/2024, interpuso denuncia ante la
Policía Nacional en la que se afirma que “en fecha 10 de octubre de 2022 HISPAPOST
recibe mensaje de CI POSTAL en el cual les envían un vídeo sacado de Telegram en
el que se puede observar a un hombre comentando y filmando miles de cartas
esparcidas en un desguace enviadas desde HISPAPOST y las cuales contienen datos
personales de clientes… que dichas cartas fueron recogidas por la distribuidora de
Mallorca el día 11 de octubre de 2022 y siendo enviadas de vuelta el día 13 de octubre
de 2022 a la empresa dicente”.
“Que el día 13 de octubre de 2022 se recibe mensaje por parte de la empresa
CaixaBank comunicando que quien resulta ser B.B.B., ha encontrado
aproximadamente 4000 cartas dirigidas a Caixabank en perfectas condiciones, las
cuales fueron arrojadas por un individuo desconocido desde un vehículo a las 19
horas del 10 de octubre de 2022”.

Sobre la última incidencia reseñada, en correo electrónico de 19/10/2022, remitido por
HISPAPOST a CAIXABANK se indica:
“13/10/2022 recibimos una comunicación de CaixaBank, avisando de que una persona
se presenta en la oficina de CaixaBank (…), indicando que ha visto a una persona tirar
correspondencia en una ubicación del municipio. Personal de Caixabank retira los
envíos. El 14/10/2022 nos desplazamos a la Dirección Territorial de Caixa en Palma
de Mallorca, conseguimos el teléfono de la persona que inicialmente comunicó a
Caixabank la ubicación del hallazgo de documentos, localizamos el punto donde
apareció la correspondencia y recogemos el resto de envío de otros clientes no
Caixabank”.

SÉPTIMO. En relación con el incidente reseñado en el Hecho Probado Cuarto, con
fecha 18/10/2022, la entidad CI POSTAL realizó un informe de evaluación en el que,
entre otras circunstancias, se expresa lo siguiente:

“1. El incidente ha sido intencionado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/38

2. El origen del incidente ha sido interno (personal de reparto)…
4. Como consecuencia del incidente personas u organizaciones que no están
autorizadas, o no tienen un propósito legítimo para acceder a los datos, han podido
acceder a los mismos.
5. Referido específicamente a los datos afectados (nombres y direcciones postales),
NO están protegidos de forma que son legibles para quien haya podido tener acceso y
se puede identificar a las personas...
10. Se desconoce si entre las personas afectadas hay menores, así como, colectivos
vulnerables (víctimas de violencia de género o en riesgo de exclusión social)
11. Se estima que el número de cartas recuperadas no supera las 2.000 unidades”.

OCTAVO. La entidad CI POSTAL, en sus respuestas a esta AEPD ha referido las
medidas de naturaleza preventiva que tenía implantadas. Entre los detalles facilitados,
cabe destacar la información siguiente:

“Al considerarse una empresa de reparto postal las medidas tendentes a evitar los
riesgos derivados del abandono o no entrega de la correspondencia están enfocados
hacia la formación y compromiso del personal laboral más allá de la implantación de
soluciones tecnológicas” (se hace firmar al personal un compromiso de
confidencialidad), además de comunicaciones informativas sobre la responsabilidad de
no entregar las notificaciones o cartas y/o hacer un uso indebido de ellas (aporta una
comunicación de fecha 19/11/2021).

“En el proceso de incorporación de los trabajadores se le facilita un pack de
bienvenida con un compendio de normas y protocolos de obligado cumplimiento”
(Código Ético y de Conducta, con fecha de implantación 16 de abril de 2018; políticas
corporativas con las obligaciones y conductas prohibidas, con fecha de implantación
16 de abril de 2018; descripción del Canal de denuncias, con fecha de implantación 16
de abril de 2018; Régimen disciplinario y sancionador, con fecha de implantación 16 de
abril de 2018; y Protocolo de actuación repartidores, con fecha de implantación 20 de
octubre de 2020)”.

En relación con la acreditación de las medidas adoptadas para garantizar la
trazabilidad y seguimiento de envíos, CI POSTAL informó como sigue: “En el reparto
postal ordinario, causa del incidente de seguridad por abandono de correspondencia,
implantar medidas de trazabilidad y seguimiento del reparto conlleva un nivel de
dificultad muy alta. Hasta el día de hoy, no se ha encontrado una solución tecnológica
que permita tener constancia que el correo ordinario ha sido depositado en el buzón.
Cabe recordar que CIPOSTAL recibe de sus clientes grandes volúmenes de
correspondencia para repartir, sin desglose de datos algunos. Tan solo se nos
entregan lotes de correspondencia donde el único dato que se posee es el número de
cartas a repartir. Crear equipos de reparto de dos personas para poder controlar si se
realiza el reparto o no, es una solución inviable por costes”.

NOVENO. La entidad CI POSTAL, en sus respuestas a esta AEPD ha referido las
medidas y acciones de naturaleza reactiva adoptadas con ocasión de las incidencias
reseñadas en los Hechos Probados anteriores con el fin de evitarlas en el futuro:

. “En primer lugar, se despidió a los trabajadores implicados en el incidente y se reunió
al resto de la plantilla para recordar sus obligaciones de custodia de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/38

correspondencia y las consecuencias del incumplimiento.
. Se ha realizado una nueva formación que sirva como refuerzo para la prevención de
sucesos similares.
. Recordatorio a todo el personal de clasificación y reparto mediante reuniones y
escritos individualizados de las repercusiones legales que conlleva la retención,
almacenamiento, ocultación, apertura o destrucción de cualquier envío postal.
. Seguimiento a los repartidores de lo que trabajan, preguntando las calles donde
estuvieron repartiendo y lo constatamos con el reparto que le hemos preparado”.

“Se están estudiando y valorando si hay algún tipo de solución tecnológica que
permita tener constancia que el correo se ha depositado en un buzón. Se ha reforzado
el plan de formación y concienciación del equipo de trabajo para evitar incidentes
futuros”.

“…se ha incorporado un manual de formación en privacidad que recoge conceptos
básicos para sus funciones, teniendo en cuenta que los repartidores en el 99% de los
casos es un tratamiento de datos de consulta, sin capacidad de registro, modificación
y eliminación de datos”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el artículo 4 del RGPD, se establece que:

A efectos del presente Reglamento se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/38

persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número
de identificación, datos de localización, un identificador en línea o uno o varios
elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;

En el punto 2 del mismo artículo se define el concepto de “tratamiento” de datos
personales.

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;

En el presente caso y de conformidad con el informe de la POLICIA LOCAL, de fecha
de 22 de septiembre de 2022, se pone de manifiesto el hallazgo en un solar de
correspondencia abandonada con datos personales (nombre y apellidos, y dirección
postal), hasta un total de 1.404 cartas, con el logo de la empresa HISPAPOST, la cual
fue contactada por los agentes de la POLICIA LOCAL, reconociendo dicha entidad que
la correspondencia encontrada debía haber sido repartida por empleados de CI
POSTAL, sin entender el motivo de que no se llevara a cabo dicho reparto y fuera
abandonada la correspondencia.

Posteriormente, se recibe nueva denuncia por parte de la Delegación Del Gobierno en
Islas Baleares, en el que se da traslado de un escrito remitido por la Jefatura Superior
De Policía De Las Illes Balears en relación con la localización de un total de 5354
cartas abandonadas en dos ubicaciones distintas de La Palma, y de cuya gestión era
responsable la empresa HISPAPOST que gestionaba el reparto por medio de su
distribuidor en La Palma CI POSTAL SL

Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo
es acorde con lo establecido en el RGPD.

En el artículo 4 del RGPD, puntos 7 y 8, se especifica lo que se debe entender por
responsable del tratamiento y encargado del tratamiento. Así tenemos, como:

“7) «responsable del tratamiento» o «responsable» es la persona física o
jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros,
determine los fines y medios del tratamiento; si el Derecho de la Unión o de los
Estados miembros determina los fines y medios del tratamiento, el responsable
del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;

8) «encargado del tratamiento» o «encargado» es la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento...”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/38

En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad
pública, que decide sobre el tratamiento de los datos personales, determinando los
fines y los medios de dicho tratamiento.

En virtud del principio de responsabilidad proactiva el responsable del tratamiento
tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que
implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el
cumplimiento.

Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad
pública, servicio u otro organismo que presta un servicio al responsable que conlleva
el tratamiento de datos personales por cuenta de éste.

En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los
datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a
cargo del responsable.

La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde
se establecen los requisitos que debe cumplir respecto a la protección de datos:

1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiados, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general, del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable la oportunidad de oponerse
a dichos cambios.
3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;

b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;

c) tomará todas las medidas necesarias de conformidad con el artículo 32; (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/38

4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo
determinadas actividades de tratamiento por cuenta del responsable, se impondrán a
este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al
Derecho de la Unión o de los Estados miembros, las mismas obligaciones de
protección de datos que las estipuladas en el contrato u otro acto jurídico entre el
responsable y el encargado a que se refiere el apartado 3, en particular la prestación
de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas
de manera que el tratamiento sea conforme con las disposiciones del presente
Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos,
el encargado inicial seguirá siendo plenamente responsable ante el responsable del
tratamiento por lo que respecta al cumplimiento de las obligaciones del otro
encargado. (…).

10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del
tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento. (…).

Estas obligaciones específicas podrán ser supervisadas por las autoridades de
protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación
con el cumplimiento del RGPD o de la LOPDGDD por parte del responsable o el
encargado del tratamiento.

De las actuaciones practicadas, se ha constatado que la brecha tuvo como vector de
entrada la acción negligente de uno o varios trabajadores desleales de la empresa CI
POSTAL, empresa de reparto actuaba como subencargado de tratamiento de
HISPAPOST, que al mismo tiempo actuaba como encargado de tratamiento de otras
múltiples empresas responsables (o encargadas) del tratamiento de los datos
personales que contenían las cartas abandonadas.

CI POSTAL ha tratado datos personales de manera incompatible con el marco del
tratamiento, tal y como ha sido determinado por HISPAPOST. Por ello, de conformidad
con el artículo 28, apartado 10, del RGPD, CI POSTAL, como encargado del
tratamiento de HISPAPOST, debe, en este supuesto, ser considerado responsable del
tratamiento de datos personales con respecto a dicho tratamiento.

Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene
regulada en el artículo 32 RGPD, que reglamenta la seguridad del tratamiento.

III
Artículo 5.1.f) del RGPD

Los hechos puestos de manifiesto se concretan en la existencia de varias brechas de
datos personales consecuencia del abandono en espacios públicos, por parte de
trabajadores de la entidad CI POSTAL, de correspondencia postal cuyo reparto debía
llevarse a cabo por dicha entidad en virtud de los contratos formalizados por la misma
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/38

con HISPAPOST. Ello posibilitó el acceso no autorizado por terceros a los datos
personales relativos a los destinatarios de los envíos, concretamente a su nombre y
dirección postal completa.

Respecto de estos hechos, CI POSTAL actúa como responsable del tratamiento,
según se ha expuesto en el fundamento anterior. Como tal, viene obligada a demostrar
el cumplimiento RGPD y de la LOPDGDD y a aplicar las medidas técnicas y
organizativas que garanticen la seguridad de los datos personales al llevar a cabo el
tratamiento, conforme a lo establecido en el artículo 5.1.f) del RGPD, según el cual:

“Artículo 5 Principios relativos al tratamiento:

1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”

En relación con este principio, el Considerando 39 del referido RGPD señala que:

“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.

La documentación obrante en el expediente ofrece evidencias suficientes de que CI
POSTAL vulneró el artículo 5.1 del RGPD, principios relativos al tratamiento, al
producirse una brecha de datos personales que tuvo como vector de entrada la acción
de uno o varios trabajadores desleales de la empresa CI POSTAL, no garantizando
debidamente la confidencialidad e integridad de los datos.

En este sentido, el citado art. 5.1.f) del RGPD, prevé que los datos personales serán
tratados de tal manera que se garantice su seguridad, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental,
mediante la aplicación de medidas técnicas u organizativas apropiadas.

Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños
y perjuicios, materiales o inmateriales para las personas físicas (considerando 85 del
RGPD). En tal sentido, el considerando 75 del RGPD establece que: “Los riesgos para
los derechos y libertades de las personas físicas, de gravedad y probabilidad
variables, pueden deberse al tratamiento de datos que pudieran provocar daños y
perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el
tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o
fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de
datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o
cualquier otro perjuicio económico o social significativo; en los casos en los que se
prive a los interesados de sus derechos y libertades o se les impida ejercer el control
sobre sus datos personales; …”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/38

Por tanto, el acceso no autorizado a los datos de carácter personal supone que éstos
puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una
pérdida total y absoluta de control sobre los mismos.

En este mismo sentido, el artículo 28.2 de la LOPDGDD, y respecto de las
obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del
RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de
diversos riesgos, dispone que:

“2. Para la adopción de las medidas a que se refiere el apartado anterior los
responsables y encargados del tratamiento tendrán en cuenta, en particular, los
mayores riesgos que podrían producirse en los siguientes supuestos:

a) Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico, moral o social significativo para
los afectados. …”.

Y la Sentencia del Tribunal Constitucional (STC) 292/2000 en el FD séptimo, señala:
“… resulta que el contenido del derecho fundamental a la protección de datos consiste
en un poder de disposición y de control sobre los datos personales que faculta a la
persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o
un particular, o cuáles puede este tercero recabar, y que también permite al individuo
saber quién posee esos datos personales y para qué, pudiendo oponerse a esa
posesión o uso. Estos poderes de disposición y control sobre los datos personales,
que constituyen parte del contenido del derecho fundamental a la protección de datos
se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el
acceso a los datos personales, su posterior almacenamiento y tratamiento, así como
su uso o usos posibles, por un tercero, sea el Estado o un particular.”

En el presente caso, ha quedado acreditado que existieron varias remesas de cartas
que no fueron entregadas a sus destinatarios y, en lugar de ello, fueron arrojadas en
espacios públicos, según los detalles que constan reseñados en los hechos probados
de esta resolución, afectado a miles de envíos.

El abandono de dichas cartas en un descampado en las que figuran datos de carácter
personal (nombre y apellidos, y dirección postal), posibilitó, en algunos casos, su
acceso no autorizado por terceros ajenos, y en otros casos, su destrucción o daño
accidental no autorizado, vulnerándose los principios de confidencialidad y de
integridad, ambos establecidos en el artículo 5.1.f) del RGPD.

Todo ello ha sido reconocido por la propia entidad CI POSTAL.

Por todo lo expuesto, se consideran que los hechos acontecidos son constitutivos de
una infracción, imputable a CI POSTAL, por vulneración del artículo 5.1.f) del RGPD.

IV
Tipificación de la infracción del artículo 5.1.f) del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/38

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

V
Sanción por la infracción del artículo 5.1.f) del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía,
procede graduar la sanción a imponer de acuerdo con los siguientes criterios que
establece el artículo 83.2 del RGPD.

Como agravantes:

- b) la intencionalidad o negligencia en la infracción;

En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/38

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas”
de la LOPDGDD:

Como agravantes:
- b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.

CI POSTAL se dedica al transporte y entrega de toda clase de bienes e información, lo
que implica el tratamiento de los datos personales de los clientes y destinatarios.

En consecuencia y a efectos del cumplimiento de los requisitos legalmente
establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y
aplicación de la normativa vigente en materia de protección de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 5.1.f) del RGPD, permite fijar una sanción de 120.000 €
(CIENTO VEINTE MIL EUROS).

VI
Artículo 32 del RGPD

En lo que respecta a la aplicación de la normativa de protección de datos al supuesto
planteado, debe tenerse en cuenta que el RGPD, en su artículo 32, exige a los
responsables y encargados del tratamiento, la adopción de las correspondientes
medidas de seguridad necesarias que garanticen que el tratamiento es conforme a la
normativa vigente, así como garantizar que cualquier persona que actúe bajo la
autoridad del responsable o del encargado y tenga acceso a datos personales, solo los
pueda tratar siguiendo instrucciones del responsable.

Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/38

d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

El RGPD define las violaciones de seguridad de los datos personales como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o
alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos”.

La documentación obrante en el expediente evidencia la vulneración del artículo 32.1
del RGPD, como consecuencia de la falta de medidas técnicas y organizativas
apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo del
tratamiento.

Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.

En todo caso, al evaluar la adecuación del nivel de seguridad al riesgo se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/38

acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

En este mismo sentido el considerando 83 del RGPD señala que:

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en
el presente Reglamento, el responsable o el encargado deben evaluar los riesgos
inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas
medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

Para garantizar estos factores de la seguridad son necesarias medidas tanto de índole
técnica como de índole organizativo que sean adecuadas para conseguir un nivel de
seguridad adecuado al riesgo.

En el presente caso, se evidencia que las medidas de seguridad que el responsable
del tratamiento tenía implantadas en relación con los datos que sometía a tratamiento
no eran adecuadas, con independencia de la brecha.

Al referirse a las medidas preventivas que tenía implantadas en el momento en que
tuvieron lugar los abandonos de cartas ocurridos, CI POSTAL, más allá del
compromiso de confidencialidad que exige a sus trabajadores y de la información que
facilita sobre sus protocolos internos o comunicaciones informativas sobre sus
responsabilidades, no incluye ninguna medida de seguridad realmente adoptada con
la finalidad de evitar en lo posible este tipo de incidencias.

Así, en este caso, existen evidencias de la ausencia de medidas técnicas y
organizativas de CI POSTAL que garanticen un nivel de seguridad adecuado al riesgo,
al no disponer de un sistema que compruebe que las cartas llegan a sus destinatarios
ni haber remitido a sus empleados instrucción concreta alguna sobre la forma de
entrega de las cartas a los efectos de cumplir con la normativa en materia de
protección de datos de carácter personal, salvo una acción formativa de una hora de
duración al inicio de la relación laboral. No existía ninguna comprobación posterior, ni
auditorías ni muestreos.

Al contrario, en su respuesta a los servicios de inspección de esta AEPD, en relación
con la acreditación de las medidas adoptadas para garantizar la trazabilidad y
seguimiento de envíos, CI POSTAL admitió no disponer de ningún sistema de control,
justificando este hecho como sigue: “En el reparto postal ordinario, causa del incidente
de seguridad por abandono de correspondencia, implantar medidas de trazabilidad y
seguimiento del reparto conlleva un nivel de dificultad muy alta. Hasta el día de hoy, no
se ha encontrado una solución tecnológica que permita tener constancia que el correo
ordinario ha sido depositado en el buzón. Cabe recordar que CIPOSTAL recibe de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/38

clientes grandes volúmenes de correspondencia para repartir, sin desglose de datos
algunos. Tan solo se nos entregan lotes de correspondencia donde el único dato que
se posee es el número de cartas a repartir. Crear equipos de reparto de dos personas
para poder controlar si se realiza el reparto o no, es una solución inviable por costes”.

El RGPD, además, exige no solo diseñar los medios técnicos y organizativos
necesarios, también es necesaria su correcta implantación y su utilización de forma
apropiada, de modo que también responderá por la falta de la diligencia en su
utilización, entendida como una diligencia razonable atendiendo a las circunstancias
del caso.

En definitiva, la responsabilidad del reclamado viene determinada por la inadecuación
de las medidas de seguridad de carácter técnico y organizativas puestas de manifiesto
ya que es responsable de tomar decisiones destinadas a implementar de manera
efectiva medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo
y, entre ellas, las dirigidas a restaurar la disponibilidad e impedir el acceso a los datos
en caso de incidente físico o técnico. Sin embargo, de la documentación aportada se
desprende que la entidad incumple esta obligación, por cuanto los procedimientos
implantados no comprueban el cumplimiento del encargo.

Hay que insistir que la adecuación del nivel de seguridad al riesgo debe ser evaluada
por el responsable y reconsiderada periódicamente en función de los resultados
obtenidos, teniendo en cuenta para ello -entre otros factores- los riesgos que pueda
presentar el tratamiento como consecuencia de la comunicación no autorizada de
dichos datos. Las medidas técnicas y organizativas de seguridad que deben de
aplicarse son las pertinentes para responder al riesgo existente, valorando, entre otros
factores, el estado de la técnica, los costes de aplicación, la naturaleza, alcance,
contexto y finalidades del tratamiento y los riesgos de probabilidad y gravedad para los
derechos y libertades de las personas interesadas.

Uno de los requerimientos que establece el RGPD para responsables y encargados
del tratamiento que realizan actividades de tratamiento con datos personales es la
necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información
con el fin de establecer las medidas de seguridad y control orientadas a cumplir los
principios de protección desde el diseño y por defecto que garanticen los derechos y
libertades de las personas.

Esa falta de medidas de seguridad adecuadas que provoca la infracción del artículo
32.1 constituye una infracción en si misma considerada e independiente de los
incidentes de seguridad detectados, brechas de datos personales producidas.

De conformidad con lo expuesto, se considera que los hechos conocidos son
constitutivos de una infracción, imputable a la entidad denunciada, por vulneración del
artículo 32 del RGPD.

IV
Tipificación de la infracción del artículo 32 del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/38

La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

g) El quebrantamiento, como consecuencia de la falta de la debida diligencia, de
las medidas técnicas y organizativas que se hubiesen implantado conforme a lo
exigido por el artículo 32.1 del Reglamento (UE) 2016/679.

V
Sanción por la infracción del artículo 32 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía,
procede graduar la sanción a imponer de acuerdo con los criterios que establece el
artículo 83.2 del RGPD.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas”
de la LOPDGDD:

Como agravantes:
- b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.

CI POSTAL se dedica al transporte y entrega de toda clase de bienes e información, lo
que implica el tratamiento de los datos personales de los clientes y destinatarios.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/38

En consecuencia y a efectos del cumplimiento de los requisitos legalmente
establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y
aplicación de la normativa vigente en materia de protección de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 32 del RGPD, permite fijar una sanción de 80.000 €
(OCHENTA MIL EUROS).

V
Adopción de medidas

Las infracciones en la materia que nos ocupa pueden dar lugar a la imposición al
responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación
a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado
artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”. La imposición de esta
medida es compatible con la sanción consistente en multa administrativa, según lo
dispuesto en el art. 83.2 del RGPD.

Así, esta Agencia puede requerir a la entidad responsable para que, en el plazo que se
determine, adecúe su actuación a la normativa de protección de datos personales, con
el alcance expresado en los Fundamentos de Derecho del presente acuerdo.

En el presente acto se establecen las infracciones cometidas y los hechos que dan
lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

Durante las actuaciones previas al inicio del procedimiento sancionador, CI POSTAL
ha comunicado a esta AEPD las medidas correctivas que adoptó con ocasión de los
incidentes de seguridad y confidencialidad objeto del expediente, entre las que figura
el despido de los trabajadores implicados, la realización de nuevas formaciones de los
trabajadores, con elaboración de un manual sobre privacidad, o el envío a los mismos
de recordatorios sobre las repercusiones legales que conlleva la retención de los
envíos postales.

No se cuestiona la validez de estas medidas, pero se declaran insuficientes en la
medida en que ninguna de ellas contempla el establecimiento de mecanismos dirigidos
a asegurar el efectivo reparto de las cartas a sus destinatarios, evitando que las
mismas sean depositadas en un lugar inadecuado, salvo la medida que contempla el
seguimiento a los repartidores, la cual, por otra parte, no se explica convenientemente.

En consecuencia, procede requerir a CI POSTAL para que, en el plazo de seis meses,
contado desde la fecha de ejecutividad de la presente resolución sancionadora, adopte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/38

las medidas técnicas y organizativas de todo tipo, incluidas las medidas de seguridad
apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de forma que se
dé cumplimiento a lo establecido en los artículos 5.1.f) y 32 del RGPD.

A modo indicativo, entre las medidas a adoptar podrán contemplarse aquellas que
tengan por objeto garantizar el control de las entregas postales, estableciendo un
sistema viable de comprobación de la trazabilidad de las cartas que envían, control
sobre las devoluciones, seguimiento de reclamaciones, mediciones, realización de
inspeccione periódicas en la red de reparto, auditorías internas, establecimiento de
modelos de gestión de calidad, circulación de envíos test o la implantación de
panelistas internos o externos.

Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CORREO INTELIGENTE POSTAL, S.L., con NIF B95604021,

- Por la infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 de dicha
norma, una multa administrativa de cuantía de 120.000,00 euros.
- Por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha
norma, una multa administrativa de cuantía de 80.000,00 euros.

SEGUNDO: ORDENAR a CORREO INTELIGENTE POSTAL, S.L., con NIF
B95604021, que en virtud del artículo 58.2.d) del RGPD, en el plazo de seis meses
desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al
cumplimiento de las siguientes medidas de seguridad:

- Un sistema de comprobación de la trazabilidad de las cartas que envían.
- Instrucciones concretas para los empleados indicando la formar de entregar
las cartas de manera que se dé cumplimiento con la normativa de datos de
carácter personal.

TERCERO: NOTIFICAR la presente resolución a CORREO INTELIGENTE POSTAL,
S.L.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/38

Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es