1/78
Expediente N.º: EXP202407910
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a SEUR GEOPOST,
S.L. (en adelante, SEUR). Notificado el acuerdo de inicio y tras analizar las
alegaciones presentadas, con fecha 15 de septiembre de 2025 se emitió la propuesta
de resolución que a continuación se transcribe:
<<
Expediente N.º: EXP202407910
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Contenido
PRIMERO: Reclamación presentada ante la AEPD................................................... 4
SEGUNDO: Traslado de la reclamación a CITIBOX................................................... 4
TERCERO: No admisión a trámite de la reclamación:............................................... 6
CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y
resolución del mismo:................................................................................................. 6
QUINTO: Actuaciones previas de investigación:........................................................ 6
A. Información proporcionada por CITIBOX:........................................................... 7
B. Información aportada por SEUR:...................................................................... 15
SEXTO: Acuerdo de inicio del procedimiento sancionador....................................... 20
SÉPTIMO: Práctica de pruebas:............................................................................... 21
OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento:......24
NOVENO: Volumen de negocios de SEUR GEOPOST S.L:.................................... 24
HECHOS PROBADOS................................................................................................ 24
ÍNDICE DE HECHOS PROBADOS.......................................................................... 24
PRIMERO:............................................................................................................... 25
SEGUNDO:.............................................................................................................. 25
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/78
TERCERO:............................................................................................................... 25
CUARTO:................................................................................................................. 26
QUINTO:.................................................................................................................. 26
SEXTO:.................................................................................................................... 28
SÉPTIMO:................................................................................................................ 29
OCTAVO:.................................................................................................................. 29
NOVENO:................................................................................................................. 29
DÉCIMO:.................................................................................................................. 30
UNDÉCIMO:............................................................................................................. 30
DUODÉCIMO:.......................................................................................................... 31
DECIMOTERCERO:................................................................................................ 31
DECIMOCUARTO:................................................................................................... 32
DECIMOQUINTO:.................................................................................................... 32
DECIMOSEXTO:...................................................................................................... 32
DECIMOSÉPTIMO:.................................................................................................. 33
DECIMOCTAVO:...................................................................................................... 33
DECIMONOVENO:.................................................................................................. 34
VIGÉSIMO:.............................................................................................................. 34
VIGÉSIMO PRIMERO:............................................................................................. 35
VIGÉSIMO SEGUNDO:............................................................................................ 35
VIGÉSIMO TERCERO:............................................................................................ 35
VIGÉSIMO CUARTO:............................................................................................... 36
VIGÉSIMO QUINTO:................................................................................................ 36
VIGÉSIMO SEXTO:.................................................................................................. 36
VIGESIMO SÉPTIMO:.............................................................................................. 37
VIGÉSIMO OCTAVO:............................................................................................... 37
VIGÉSIMO NOVENO:.............................................................................................. 39
TRIGÉSIMO:............................................................................................................ 41
TRIGÉSIMO PRIMERO:........................................................................................... 41
TRIGÉSIMO SEGUNDO:......................................................................................... 43
TRIGÉSIMO TERCERO:.......................................................................................... 43
TRIGÉSIMO CUARTO:............................................................................................ 43
TRIGÉSIMO QUINTO:............................................................................................. 44
TRIGÉSIMO SEXTO:............................................................................................... 44
TRIGÉSIMO SÉPTIMO:........................................................................................... 46
TRIGÉSIMO OCTAVO:............................................................................................. 46
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/78
TRIGÉSIMO NOVENO:............................................................................................ 46
CUADRAGÉSIMO:................................................................................................... 47
CUADRAGÉSIMO PRIMERO:................................................................................. 47
CUADRAGÉSIMO SEGUNDO:................................................................................ 48
CUADRAGÉSIMO TERCERO:................................................................................. 49
CUADRAGÉSIMO CUARTO:................................................................................... 50
CUADRAGÉSIMO QUINTO:.................................................................................... 50
CUADRAGÉSIMO SEXTO:...................................................................................... 51
CUADRAGÉSIMO SÉPTIMO:.................................................................................. 51
CUADRAGÉSIMO OCTAVO:................................................................................... 52
CUADRAGÉSIMO NOVENO:.................................................................................. 53
QUINCUAGÉSIMO:................................................................................................. 53
FUNDAMENTOS DE DERECHO................................................................................. 54
I Competencia.......................................................................................................... 54
II Cuestiones previas relativas a los conceptos de responsable y encargado del
tratamiento............................................................................................................... 54
1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los
efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1.
Conceptos autónomos propios del RGPD................................................................ 55
1.2. Conceptos funcionales de responsable y encargado del tratamiento:...............55
1.3. Responsable del tratamiento............................................................................. 57
1.4. Encargado de tratamiento................................................................................. 59
1.5. SEUR determina los fines y medios del tratamiento:......................................... 60
1.5.1. SEUR decide sobre fines del tratamiento:................................................... 60
1.5.2. SEUR decide sobre los medios del tratamiento.......................................... 62
1.6. CITIBOX es encargado del tratamiento:............................................................ 65
1.7 Conclusión:......................................................................................................... 66
III Alegaciones al acuerdo de inicio.......................................................................... 66
IV Obligación incumplida del artículo 28 del RGPD.................................................. 80
V Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 84
VI Obligación incumplida. Integridad y confidencialidad........................................... 85
VII Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción.............................................................................................................. 87
VIII Propuestas de sanción....................................................................................... 88
1.Obligación incumplida del artículo 28 del RGPD................................................ 90
2.Obligación incumplida del artículo 5.1 f) del RGPD:.......................................... 90
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/78
IX Adopción de medidas........................................................................................... 91
PROPUESTA DE RESOLUCIÓN................................................................................. 91
ANEXO........................................................................................................................ 94
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Reclamación presentada ante la AEPD
Con fecha 26 de febrero de 2023 se interpuso reclamación ante la Agencia Española
de Protección de Datos (en adelante, AEPD) por una posible infracción imputable a
SEUR GEOPOST, S.L. con NIF B82516600 (en adelante, SEUR).
Los hechos que se pone en conocimiento de esta autoridad son los siguientes:
La parte reclamante manifiesta que adquirió unos productos a la entidad
***ENTIDAD.1 para que le fueran enviados a su domicilio. Señala que la encargada de
la gestión de la entrega fue la entidad SEUR, quien no entregó el paquete del que era
destinataria en su domicilio y lo depositó, sin previo aviso y sin su consentimiento, en
un buzón de CITIBOX.
SEUR, una vez más sin su consentimiento, facilitó a CITIBOX, entidad con la cual la
reclamante no mantiene relación comercial alguna, sus datos personales y de
contacto. CITIBOX contactó con ella a través de SMS para la recogida del paquete,
(…).
La parte reclamante entiende que el proceso señalado supone una actuación contraria
a su derecho a la protección de datos personales.
Junto al escrito de reclamación, aporta:
1. Justificante de la compra realizada a la entidad ***ENTIDAD.1. En la parte superior
de dicho documento figura el siguiente texto:
Envío: A.A.A.
***DIRECCIÓN.1
***LOCALIDAD.1
2. Copia de los escritos remitidos por la reclamante a los Delegados de Protección de
Datos de ***ENTIDAD.1, SEUR, así como de las contestaciones recibidas.
3. Copia de un escrito remitido a CITIBOX, respuesta a dicho escrito enviado por una
empleada de CITIBOX, copia de un nuevo escrito de la reclamante dirigido a CITIBOX
y contestación a este último escrito por parte del DPD de CITIBOX
SEGUNDO: Traslado de la reclamación a CITIBOX
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/78
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a CITIBOX, para que procediese a
su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas
a cabo para adecuarse a los requisitos previstos en la normativa de protección de
datos.
Con fecha 28 de abril de 2023 tuvo entrada en esta Agencia un escrito de CITIBOX de
fecha 27 de abril de 2023, elaborado en respuesta al traslado de la reclamación y
solicitud de información, junto con el referido escrito, CITIBOX aportó diversa
documentación. En dicho escrito, en síntesis, se indicaba lo siguiente:
1. CITIBOX es una empresa dedicada a la instalación y gestión de buzones (…),
destinados a la recepción y devolución de paquetería, en las zonas comunes de
aquellos edificios cuyos propietarios así lo soliciten.
(…).
(…).
2. SEUR es una de las empresas de mensajería que ha contratado los servicios de
CITIBOX. Con fecha 12 de mayo de 2017 firmaron un contrato, con un anexo de fecha
1 de junio de 2018. CITIBOX que afirma que ambas empresas son responsables del
tratamiento.
3. La comunidad de propietarios de la urbanización en la que reside la reclamante
firmó el ***FECHA.1 un documento en el que autorizaba a CITIBOX a instalar sus
buzones en las zonas comunes de la finca. En uno de dichos buzones SEUR depositó
el paquete dirigido a la reclamante.
4. CITIBOX destaca que cuando un paquete es depositado en sus buzones por una
empresa de mensajería, dicha empresa les comunica el número de teléfono a los
meros efectos de que puedan contactar con el destinatario para facilitar su recogida.
Si el destinatario no es usuario de CITIBOX, se contacta con él por medio de un SMS,
informándole de la llegada del paquete y de las opciones que tiene para retirarlo.
CITIBOX indica que existen dos vías para la recogida del paquete:
(…).
(…). La reclamante optó por esta segunda opción.
5. El ***FECHA.2, el teléfono de asistencia de CITIBOX recibió una llamada del marido
de la reclamante. Posteriormente, atendió la llamada la propia reclamante, (…).
6. El 18 de diciembre de 2022 la reclamante se puso en contacto con el servicio de
atención al cliente de CITIBOX alegando que, a su juicio, se había producido una
comunicación ilegal de sus datos personales por parte de SEUR, dado que no existía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/78
una relación previa entre ella y CITIBOX. El 20 de diciembre el servicio de atención al
cliente de CITIBOX envió un escrito de respuesta.
El 20 de diciembre se recibió un nuevo escrito de la reclamante manifestando su
disconformidad con la respuesta recibida. Dicho escrito fue respondido por el DPD de
CITIBOX.
7. CITIBOX afirma haber tratado los datos personales de la reclamante en base a su
interés legítimo en cumplir las obligaciones adquiridas con SEUR (…). (…).
TERCERO: No admisión a trámite de la reclamación:
En fecha 22 de mayo de 2023 tras analizarse la documentación que obraba en el
expediente, se dictó resolución por la Directora de la Agencia Española de Protección
de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue
notificada a la reclamante, en fecha 22 de mayo de 2023, según consta acreditado en
el expediente.
CUARTO: Recurso de reposición interpuesto por la reclamante, tramitación y
resolución del mismo:
El 7 de junio de 2023 la reclamante interpuso un recurso de reposición, a través del
Registro Electrónico de la AEPD, contra la resolución de la Agencia dictada en fecha
22 de mayo de 2023.
En fecha 2 de octubre de 2023 se remitió el recurso interpuesto a CITIBOX en el
marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos
y justificantes que estimase procedentes, lo que se verificó mediante escrito de
respuesta de fecha 16 de octubre de 2023, presentado en la AEPD el día 17 de
octubre.
Con fecha 7 de diciembre de 2023, se dictó resolución por la Directora de la Agencia
Española de Protección de Datos, por la que se acordaba estimar el recurso de
reposición interpuesto por la reclamante contra la resolución de la Agencia dictada en
fecha 22 de mayo de 2023 y, admitir a trámite la reclamación formulada con el fin de
realizar actuaciones previas de investigación, conforme a lo dispuesto en el artículo 67
de la LOPDGDD, y valorar el posible incumplimiento de la normativa en materia de
protección de datos.
QUINTO: Actuaciones previas de investigación:
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/78
En el marco de las actuaciones previas de investigación, se tuvo conocimiento de las
siguientes cuestiones:
A. Información proporcionada por CITIBOX:
1. Servicio prestado por CITIBOX:
“CITIBOX se dedica a la instalación y gestión de buzones destinados a la
recepción y devolución de paquetería y ubicados las zonas comunes de aquellos
edificios cuyos propietarios así lo soliciten. (…).
(…).”
2. Relación entre SEUR y CITIBOX. Base Jurídica del tratamiento alegada:
“CITIBOX tiene suscrito un contrato con SEUR para la “prestación de servicios
de recepción de paquetería en taquillas (...)”, cuyo objeto es “(…)”. Obra copia
del contrato en el presente expediente.
Indican que en el anexo de Protección de Datos firmado (cuya copia también
obra en el expediente) se recoge que el contrato implica una comunicación de
datos por ambas partes, y que cada una gestionará el tratamiento de los datos
personales de los interesados para la ejecución de sus propias finalidades.
Manifiestan que, en consecuencia, ambas partes ostentan la condición de
responsables del tratamiento, señalando que:
1. (…)
2. (…).
En el anexo de protección de datos se verifica que se cita:
"(…).
(…):
(…)
(…):
(…)
- (…).
- (…).
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/78
- (…).
- (…)”.
Los representantes de CITIBOX han manifestado que la posición jurídica de las
distintas partes implicadas, en relación con los paquetes, se enmarca en la
figura jurídica del depósito, prevista en el art. 1766 del Código Civil, que reza
como sigue:
“El depositario está obligado a guardar la cosa y restituirla, cuando le sea
pedida, al depositante, o a sus causahabientes, o a la persona que hubiese sido
designada en el contrato.”
A los efectos anteriores:
1. (…);
1. (…);
3. (…).
Indican que por ello la base jurídica para el tratamiento de datos por parte de
CITIBOX es su interés legítimo en cumplir las obligaciones adquiridas con (…)
(SEUR).”
3. Relación entre CITIBOX y la Comunidad de Propietarios donde reside la
reclamante:
“CITIBOX indica que firmó un documento con la Comunidad de Propietarios en
la que reside la reclamante, con fecha ***FECHA.1, en el que se autorizaba la
instalación de los buzones de CITIBOX en las zonas comunes de la finca.
Indican que, en virtud de este acuerdo, cuya copia obra en el presente
expediente, CITIBOX instaló los mencionados buzones. Manifiestan que fue en
uno de estos buzones, ubicado en el vestíbulo del edificio, donde SEUR
depositó el paquete del que trae causa la presente reclamación.
Se comprueba que CITIBOX aporta copia de un documento suscrito por la
Comunidad de Propietarios sita en una determinada calle (misma en la que
reside la reclamante) que comprende los números o portales “***PORTALES.
A”. Si bien la reclamante reside en el XX, ella misma cita en otros documentos a
su Comunidad de Propietarios como que comprende los portales
“***PORTALES. B” (se trata de una Urbanización), documento tales como su
reclamación ante CITIBOX. El documento se limita a una autorización de
instalación de los buzones y unas condiciones particulares que no incluyen
información ni estipulación alguna sobre tratamientos de datos personales de los
destinatarios de los paquetes.” (subrayado de la AEPD).
4. Procedimiento seguido por CITIBOX para la recogida de paquetes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/78
“Cuando un paquete es depositado en los buzones de CITIBOX por una
empresa de mensajería, ésta les comunica un número de teléfono para
contactar con el destinatario, al objeto que proceda a su recogida.
Si el destinatario no es un usuario de CITIBOX, proceden a contactar con él por
medio de un SMS, informándole sobre la llegada del paquete y las opciones que
tiene para retirarlo. CITIBOX ofrece a los destinatarios de los paquetes dos vías
diferentes:
- (…).
- (…).” (subrayado de la AEPD).
Asimismo, se indica cómo se produjo la entrega del paquete a la reclamante:
“Consta registrado en los sistemas de CITIBOX que el ***FECHA.2 (…), el
mensajero de SEUR depositó en el buzón de CITIBOX de la Comunidad de
Propietarios citada un paquete para la reclamante.
CITIBOX envió un SMS al número de la reclamante, con el siguiente contenido:
“(…)”.
CITIBOX indica que su teléfono de asistencia devolvió una llamada previa a un
particular que decía ser el marido de una persona que había recibido un SMS de
CITIBOX. Dicho mensaje le informaba sobre el depósito de un paquete en el
buzón instalado en su edificio, y sobre la posibilidad de retirarlo. (…).
Aportan grabación de la llamada, se comprueba que (…).”
5. Bloqueo del número de teléfono de la reclamante por parte de CITIBOX y ejercicio
de derecho de oposición por parte de la reclamante:
“Han aportado impresión de pantalla donde se muestra el bloqueo del número
de la reclamante, apareciendo en este registro el número de teléfono, así como
el nombre y apellidos de la reclamante.
Los representantes de CITIBOX han rectificado posteriormente la información
indicando que esta impresión de pantalla aportada corresponde la captura de los
datos bloqueados, a los efectos del artículo 32 de la LOPDGDD. La causa del
error fue una simple confusión terminológica entre “Usuarios bloqueados”
(entendidos como aquellos incluidos en la lista de exclusión) y “Usuarios cuyos
datos han sido suprimidos, pero se conservan bloqueados a los efectos del art.
32 de la LOPDGDD”. Indican que han facilitado los segundos, en lugar de los
primeros. Han aportado también el registro de la lista de exclusión, donde solo
consta el teléfono de la reclamante, no su nombre y apellidos.
Cabe indicar que consta que el 7 de junio de 2023, la reclamante ejercitó su
derecho de oposición al tratamiento de sus datos personales por parte de
CITIBOX. La entidad atendió el citado derecho el 27 de junio siguiente indicando
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/78
que, en aplicación de lo previsto en el artículo 17.1.c) del RGPD, suprimió todos
sus datos, indicando que en la actualidad únicamente se conservan bloqueados,
a los efectos previstos en el artículo 32 de la LOPDGDD. Aportan la respuesta a
la reclamante.”
6. Información de CITIBOX relativa a la recogida de paquetes y política de privacidad
de dicha empresa:
“El enlace ***URL.1 que aparece en el mensaje SMS remitido a la reclamante se
ha comprobado que redirige a ***URL.2 donde se informa al usuario para que
pueda optar por una de las dos vías de recogida:
“(…).”
Se comprueba que en la URL ***URL.3 se publica la siguiente información:
“(…).
(…).
(…).
(…).
CITIBOX trata sus datos personales con los fines estipulados a continuación:
“(…)
(…).
(…).
(…).
(…).
[…]
(…)
(…)”.
(…).
Fecha de actualización: (…).”
(…)”
7. Otra documentación aportada por CITIBOX:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/78
“CITIBOX ha aportado extracto del registro de actividades de tratamiento (RAT),
extracto del análisis de riesgo de los tratamientos de la empresa, y un análisis de
ponderación del interés legítimo, que (…).
(…).” (subrayado de la AEPD).
8. Datos tratados de los destinatarios no registrados (también denominados “(…)” y
caso concreto de la reclamante:
“Realizado un nuevo requerimiento de información a CITIBOX para aclarar los
datos personales tratados de los destinatarios no registrados en CITIBOX, esta
entidad ha manifestado sobre los datos reflejados en el RAT que:
- (…).
- (…).
- (…).
En el caso concreto de la reclamante, los representantes de CITIBOX han
manifestado que (…).
Requerido CITIBOX para aportar registro de los datos comunicados por SEUR
(…).” (subrayado de la AEPD).
9.Ponderación del interés legítimo efectuada por CITIBOX:
“(…).
(…):
1. (…).
2. (…).
(…).
(…).
(…).” (subrayado de la AEPD).
B. Información aportada por SEUR:
1. Sobre el procedimiento de utilización de los servicios de CITIBOX:
“SEUR ha manifestado, sobre el procedimiento de utilización de los servicios de
CITIBOX, que mantiene una relación contractual con dicha empresa para la
prestación de servicios de recepción, custodia y entrega de las mercancías
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/78
depositadas en los lockers de CITIBOX siguiendo el procedimiento acordado por
las partes.
(…).
2. Historia del envío realizado a la reclamante:
“Solicitada la historia del envío con los intentos de entrega en el domicilio de la
reclamante previos al depósito en el buzón de CITIBOX, los representantes de
SEUR indican que “se ha procedido a investigar internamente y recuperar toda
la información relativa a dicho envío. No obstante, no ha sido posible obtener
evidencias de los intentos de entrega en el domicilio de la reclamante, pese a
que (…).” (subrayado de la AEPD)
3. Condiciones de entrega de SEUR puestas en conocimiento de los destinatarios de
paquetes entregados por SEUR:
“Solicitada información sobre las condiciones de entrega de SEUR que se
pusieron en conocimiento de la reclamante, en concreto con relación a CITIBOX,
los representantes de SEUR indican que la entidad informa a los destinatarios
sobre la entrega del envío mediante un correo electrónico donde se le remite a la
web de SEUR, donde se tienen publicadas las condiciones de entrega,
concretamente en el siguiente enlace
***URL.4. Los representantes de SEUR manifiestan que (…).” (subrayado de la
AEPD).
3.1. (…):
“(…):
(…)”.
(…).
(…).
4. Datos tratados de la reclamada:
“Ante el requerimiento de esta Agencia sobre todos los datos relativos a la
reclamante y de su envío, facilitados a CITIBOX para proceder a la entrega o
puesta a disposición del paquete a la destinataria indican que, para cumplir con
el protocolo explicado, ambas partes se cederán los datos mínimos para
efectuar la entrega del paquete al destinatario, así como para poder acreditar la
recogida del mismo.
Han indicado que, en concreto, SEUR comunicó a CITIBOX los siguientes datos
relativos a la reclamante:
- (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/78
- (…)
Igualmente, SEUR comunica a CITIBOX los siguientes datos relativos al envío:
- (…)
- (…).
No obstante, debido a las discrepancias entre las manifestaciones iniciales sobre
los datos personales de la reclamante que fueron comunicados por SEUR a
CITIBOX (…) con respecto a las evidencias encontradas sobre los datos
tratados por CITIBOX (…), se ha vuelto a requerir a SEUR para que aclare y
aporte todos los registros de datos comunicados, manifestando los
representantes de la entidad que en el presente caso objeto de reclamación,
(…).” (subrayado de la AEPD).
5. Sobre la relación SEUR-CITIBOX:
“SEUR aporta el contrato suscrito con CITIBOX formalizado el 12 de mayo de 2017, y
la Adenda formalizada el 1 de junio de 2018, con relación a la comunicación de los
datos personales derivados de la prestación del servicio. Ambos documentos ya
fueron aportados por CITIBOX y citados más arriba en el presente informe.
Solicitada documentación que acredite la autorización previa por escrito,
específica o general, de ***ENTIDAD.1 para la subcontratación con CITIBOX de
la entrega de los paquetes de sus clientes, indican que el servicio prestado por
SEUR a ***ENTIDAD.1 requiere la comunicación de datos de los destinatarios,
regulándose como una cesión de datos y no como un encargo de tratamiento,
siendo ambos responsables del tratamiento, por lo que no es de aplicación una
autorización de ***ENTIDAD.1 para la subcontratación por parte de SEUR a
CITIBOX.
***ENTIDAD.1 contestó a la reclamante, contestación que aporta junto a su
reclamación, que:
“(…)”.
6. Sobre la prestación de servicios de mensajería y la Protección de Datos:
“Manifiestan que la Agencia Española de Protección de Datos (AEPD) se ha
pronunciado en varios informes sobre el rol de responsable del tratamiento de la
empresa de mensajería. En concreto, destacan un Informe del Gabinete Jurídico
(0064/2020) en el que la consultante, una empresa de transporte de
documentos, requiere para prestar sus servicios los datos del cliente, los datos
de origen y de destino que deben ser comunicados por los clientes. Indican que
la AEPD entiende que en estos casos no se produce una actuación como
encargado del tratamiento, sino que se incorporan los datos personales
recabados para sus propios fines, y es la empresa quien decide la forma de
llevar a cabo el servicio de transporte encomendado. En definitiva, no existiría un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/78
encargo del tratamiento sino una cesión de datos, ya que los datos transmitidos
son incorporados en la base de datos de la entidad receptora (empresa de
mensajería) para que esta proceda a su tratamiento para los fines que le son
propios hasta su entrega al destinatario.
Manifiestan que además la ley parece establecer unas obligaciones específicas
en materia de protección de datos al operador postal que supondrían una
justificación más para considerarle Responsable del Tratamiento de los datos
personales. Indican que en este sentido, la Ley 43/2010, de 30 de diciembre, del
servicio postal universal, de los derechos de los usuarios y del mercado postal,
establece unas obligaciones respecto del envío, que incluye tanto la
confidencialidad de su contenido, en un sentido amplio, como la protección de
los datos personales que se han confiado al operador postal para la realización
de su labor. Manifiestan que si fuera un verdadero encargado del tratamiento
dichas obligaciones de protección de datos habría que imponérselas al
remitente, que sería quien le ha realizado el encargo de transportar el
documento al destinatario.” (subrayado de la AEPD).
En la parte final del informe de actuaciones previas de investigación se destaca que:
“Se ha evidenciado que el paquete de ***ENTIDAD.1 para la reclamante fue
repartido por SEUR que lo depositó en un buzón de CITIBOX ubicado en la
urbanización donde reside la reclamante.
(…)
SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de
recepción de paquetería en taquillas (...) de CITIBOX y en la documentación
contractual se configuran ambas entidades como responsables del tratamiento,
no existiendo por tanto contrato de encargado de tratamiento entre ambas
entidades.
CITIBOX remite a un Informe del Gabinete Jurídico de esta Agencia de número
(0064/2020). CITIBOX ha declarado que la base jurídica para el tratamiento de
los datos personales de los destinatarios de los paquetes es su interés legítimo
para cumplir las obligaciones contractuales adquiridas con SEUR. Aportan
documento de análisis de ponderación del interés legítimo.
El destinatario (…). Se ha evidenciado que la reclamante recogió el paquete
mediante llamada telefónica, sin descargarse la app de CITIBOX ni registrarse.
SEUR ha manifestado que comunica a CITIBOX únicamente el teléfono de
contacto del destinatario, único dato necesario para las gestiones, (…).
(…).
Durante las presentes actuaciones se ha evidenciado que CITIBOX ha tratado,
además del teléfono, el nombre completo y la calle donde reside la reclamante,
por lo que se han remitido requerimientos de información adicionales para
aclarar lo sucedido, concluyéndose que (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/78
(…). Con posterioridad la entidad ha bloqueado los datos de la reclamante como
resultado de un ejercicio de su derecho de cancelación.
Así mismo, CITIBOX (…).” (subrayado de la AEPD).
En el referido informe, también se destaca que:
“(…).
SEUR GEOPOST, S.L.U (SEUR).consta en AXESOR como filial del grupo con
un volumen de ventas de 604.974.774 euros (…).”
SEXTO: Acuerdo de inicio del procedimiento sancionador
Con fecha 11 de noviembre de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción:
- Del Artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD.
- Del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD.
- Del Artículo 5.1 f) del RGPD, relativa al caso concreto de la reclamante,
tipificada en el artículo 83.5 del RGPD.
- Del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD.
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones, en el que formulaba alegaciones al acuerdo de inicio y solicitaba la
práctica de las siguientes pruebas:
- Que por la AEPD se solicite:
A la comunidad de vecinos de calle (...) ***PORTALES. B, a través de la
persona de su presidente, B.B.B.; los documentos; contratos; acuerdos y actas
que acrediten la relación existente entre la comunidad de vecinos a la que
afecta este procedimiento y CITIBOX.
A CITIBOX los documentos; contratos y acuerdos que acrediten la relación
existente con la comunidad de vecinos de la calle (...) ***PORTALES. B.
- SEUR aporta enlace para la consulta de empresas que tienen reconocida la
condición de operador postal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/78
SÉPTIMO: Práctica de pruebas:
Con fecha 22 de mayo de 2025, el instructor del procedimiento acordó la apertura de
un periodo de práctica de pruebas.
A. Se dieron por reproducidos, a efectos probatorios, los siguientes documentos:
I. La reclamación interpuesta por A.A.A. y su documentación, los documentos
obtenidos y generados durante la fase de admisión a trámite de la reclamación, así
como los documentos obtenidos y generados durante la fase de actuaciones previas
de investigación, en particular, el informe de actuaciones previas de investigación.
II. Las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado,
presentadas por SEUR, y la documentación que a ellas acompaña.
III. En respuesta a la solicitud formulada por SEUR en el apartado 2 de la proposición
de prueba, que figura en el escrito de alegaciones de SEUR al acuerdo de inicio, se
dio por reproducido el contenido de la Adenda- Corrección de la autorización para la
instalación de buzones (…) para paquetes, firmada el 20 de noviembre de 2024, por el
representante de CITIBOX y ***CARGO.1 de la Comunidad de Propietarios de la (…).
En cuanto a la autorización inicial de la Comunidad de Propietarios, ya formaba parte
del expediente, documento 3, anexo al escrito presentado por CITIBOX con fecha 28
de abril de 2023.
El contenido de dicha práctica de prueba aparece reflejado en la “Diligencia aut
buzones” de 22 de mayo de 2025.
IV. En respuesta a la solicitud formulada por SEUR en el apartado 3 de la proposición
de prueba, que figura en el escrito de alegaciones de SEUR al acuerdo de inicio, se
dio por reproducido el contenido del listado por orden alfabético de operadores
postales inscritos en el Registro general de empresas prestadoras de servicios
postales a fecha 2 de diciembre de 2024, (…).
El contenido de dicha práctica de prueba aparece reflejado en la “Diligencia op postal”
de 22 de mayo de 2025.
V. La documentación correspondiente al EXP(...), relativo a la tramitación de la
reclamación presentada por A.A.A. y su traslado a SEUR. S.A, reflejada en la
“Diligencia EXP(...)” de 18 de junio de 2025.
B. Se practicaron las siguientes pruebas:
I. En relación con SEUR:
1. Se requirió a SEUR GEOPOST, S.L para que, en un plazo de ocho días hábiles
computados a partir del día siguiente a aquel en que tuviera lugar la notificación del
escrito de práctica de pruebas de fecha 22 de mayo de 2025, aportara a la AEPD
copia de la etiqueta que iba impresa en el paquete entregado a A.A.A., o en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/78
defecto, copia del modelo de etiqueta que se adjuntaba en los paquetes entregados
por SEUR GEOPOST, S.L en (...).
El escrito de SEUR en respuesta a dicho requerimiento tuvo entrada en la AEPD el 3
de junio de 2025. La contestación se refleja en los hechos probados tercero y
trigésimo sexto.
2. Se requirió a SEUR GEOPOST, S.L. para que, en un plazo de tres días hábiles
computados a partir del día siguiente a aquel en que tuviera lugar la notificación del
escrito de práctica de pruebas de fecha 17 de junio de 2025, aportara a la AEPD el
(…).
El escrito de SEUR en respuesta a dicho requerimiento fue presentado en la AEPD el
día 20 de junio, siendo registrado el 23 de junio de 2025.
3. Asimismo, se dieron por reproducidas, a efectos probatorios varias capturas de
pantalla obtenidas de la dirección (…) (a la que hizo referencia la reclamante en su
recurso de reposición). “Diligencia SEUR pickup” de fecha 19 de junio de 2025.
II. En relación con CITIBOX:
1. Se requirió a CITIBOX SMART SERVICES, S.L. para que, en un plazo de cinco días
hábiles computados a partir del día siguiente a aquel en que tuviera lugar la
notificación del escrito de práctica de pruebas de fecha 22 de mayo de 2025, aportara
la siguiente información y documentación:
Indicara y acreditara a partir de qué fecha CITIBOX (…).
Aclarara si el personal de CITIBOX estaba en algún momento en contacto
físico con los paquetes que depositan los repartidores de SEUR en los buzones
de CITIBOX (pudiendo manipularlos o visualizar el contenido de la etiqueta
relativa al envío, que figura en la cubierta de los mismos)
El escrito de CITIBOX en respuesta a dicho requerimiento fue presentado en la AEPD
el día 29 de mayo de 2025. Las respuestas obtenidas se reflejan en los hechos
probados vigésimo sexto, trigésimo cuarto, trigésimo quinto, trigésimo séptimo y
trigésimo octavo,
2. Se requirió a CITIBOX SMART SERVICES, S.L. para que, en un plazo de cinco días
hábiles computados a partir del día siguiente a aquel en que tuviera lugar la
notificación del escrito de práctica de pruebas de fecha 10 de junio de 2025, aportara
la siguiente información y documentación:
El documento que sirviera como prueba de entrega del paquete destinado a
A.A.A., que CITIBOX entregó a SEUR.
En su caso, aportara el documento que sirviera como prueba de entrega del
paquete destinado a A.A.A., que CITIBOX entregó a la Comunidad de
Propietarios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/78
El escrito de CITIBOX en respuesta a dicho requerimiento fue presentado en la AEPD
el día 16 de junio de 2025 y se refleja en los hechos probados quinto y cuadragésimo
tercero.
III. En relación con la Comunidad de Propietarios:
Se requirió a la Comunidad de Propietarios de la (...) ***PORTALES. B, en un plazo de
ocho días hábiles computados a partir del día siguiente a aquel en que tuviera lugar la
notificación del escrito práctica de prueba de 23 de mayo de 2025, aportara la
siguiente información y documentación:
Las actas fechadas y firmadas que reflejasen los acuerdos adoptados por dicha
Comunidad de Propietarios relativos a la autorización a la empresa CITIBOX
SMART SERVICES, S.L (en adelante, CITIBOX) para la instalación de buzones
(…) en las zonas comunes de dicha Comunidad. Así como, en su caso, otros
contratos o documentos, que acreditasen la relación existente entre dicha
Comunidad de Propietarios y CITIBOX.
Indicara debajo de qué edificio de esa Comunidad de Propietarios se
encontraban situados los buzones (…) de CITIBOX en (...).
El escrito de la Comunidad de Propietarios en respuesta a dicho requerimiento fue
presentado en la AEPD el día 3 de junio de 2025.
El resultado de dicha práctica de prueba figura en la “Diligencia Cdad Prop” de fecha
11 de junio de 2025. También se refleja en los hechos probados cuarto, trigésimo
noveno a cuadragésimo segundo a quincuagésimo primero.
OCTAVO: Anexo con la relación de documentos obrantes en el procedimiento:
Se acompaña como anexo relación de documentos obrantes en el procedimiento.
NOVENO: Volumen de negocios de SEUR GEOPOST S.L:
De acuerdo con información recogida de la herramienta AXESOR, la entidad SEUR
GEOPOST S.L. es una empresa constituida en el año 1999, y con un volumen de
negocios de 604.974.774 euros en el año 2022.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
ÍNDICE DE HECHOS PROBADOS
A los efectos de facilitar la lectura de los hechos probados consignados en la
propuesta de resolución indicaremos que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/78
Del hecho probado primero al décimo se consignan los hechos probados
relativos al envío de un paquete del que era responsable SEUR a la
reclamante.
Del hecho probado undécimo al decimonoveno se consignan los hechos
probados relativos a CITIBOX.
Del hecho probado vigésimo al vigésimo noveno se consignan los hechos
probados que hacen referencia a la relación contractual existente entre SEUR y
CITIBOX.
El hecho probado trigésimo consigna que SEUR y CITIBOX no celebraron un
contrato de encargo de tratamiento.
Del hecho probado trigésimo primero al trigésimo octavo se consignan los
hechos probados que hacen referencia a la comunicación de datos personales
entre SEUR y CITIBOX, tanto en general como en el caso particular de la
reclamante.
Del hecho probado trigésimo noveno al cuadragésimo tercero se consignan los
hechos probados que se refieren a la comunidad de propietarios de la
reclamante y su relación con CITIBOX.
El hecho probado cuadragésimo cuarto consigna que CITIBOX figura en el
listado de operadores postales inscritos Registro general de empresas
prestadoras de servicios postales como operador tipo A.
El hecho probado cuadragésimo quinto consigna información relativa al
EXP(...).
Del hecho probado cuadragésimo sexto al cuadragésimo noveno consignan
información reflejada en la “Diligencia SEUR pickup”.
El hecho probado quincuagésimo consigna información en el documento de
SEUR titulado “DOCUMENTO.1”, que contiene las instrucciones para entregar
paquetes en los lockers de CITIBOX.
PRIMERO:
El ***FECHA.3 la reclamante adquirió unos productos en la página web de
***ENTIDAD.1 e indicó como lugar de entrega del pedido su domicilio.
Junto con el escrito de reclamación de 26 de febrero de 2023, la reclamante ha
aportado un correo electrónico procedente de la empresa ***ENTIDAD.1 en el que se
indica que el pedido está en proceso.
Dicho documento refleja que pedido se realizó el día ***FECHA.3.
En el documento aparece el logo de ***ENTIDAD.1 y bajo el mismo se visualiza el
siguiente texto:
“(…).
(…).”
En relación con los datos personales relativos al envío, dicho documento indica:
“Envío: A.A.A.
***DIRECCIÓN.1
***LOCALIDAD.1”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/78
SEGUNDO:
La empresa SEUR GEOPOST, S.L. (SEUR) era responsable de la entrega del
paquete.
Así se refleja en el correo electrónico de fecha 27 de enero de 2023, que envió la
Oficina de Privacidad de ***ENTIDAD.1 a la reclamante:
“***ENTIDAD.1 contrata a SEUR para sus servicios de entrega y solo comparte
los datos pertinentes para garantizar que la entrega pueda efectuarse. SEUR es
responsable de la entrega” (el subrayado es nuestro)
TERCERO:
En fase de práctica de prueba, SEUR ha indicado que el paquete dirigido a la
reclamante era un envío internacional y la etiqueta se generó en origen.
En dicha etiqueta, figuraban los siguientes datos personales:
“A.A.A. (nombre y apellidos de la reclamante)
***DIRECCIÓN.1
***LOCALIDAD.1”
El envío iba dirigido a la reclamante en su domicilio.
Así se refleja en el escrito presentado por SEUR en esta Agencia el 3 de junio de
2025, elaborado en respuesta al escrito de práctica de prueba de 22 de mayo de 2025,
remitido por esta Agencia, así como en el Anexo I “(…)”. En el mencionado escrito de
SEUR se indica:
“ (…).”
CUARTO:
El repartidor de SEUR depositó el paquete en un buzón (…) o taquilla (…) que la
empresa CITIBOX había instalado en la Calle (…).
En el escrito elaborado por CITIBOX en contestación al traslado de la reclamación y
solicitud de información de 27 de abril de 2023, se indica:
“Volviendo al caso que nos ocupa, todo el proceso quedó debidamente
registrado en los sistemas de Citibox; (…), a los oportunos efectos, como
documento núm. 5.
En ellos se aprecia:
1. Que el paquete fue depositado en el buzón (...) el ***FECHA.2, a las (…), por
un usuario perteneciente al transportista Seur, S.A., y dirigido al teléfono
***TELÉFONO.1;”
El documento 1, que acompaña al escrito de CITIBOX de 16 de junio de 2025,
aportado por CITIBOX en fase de práctica de prueba, figura como documento anexo a
la propuesta de resolución de este procedimiento sancionador incluye en la Imagen 1
(…) del paquete. Junto a dicha imagen CITIBOX figura el siguiente comentario:
“ (…).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/78
Los buzones (…) o taquillas (...) de CITIBOX estaban instalados en el interior del portal
de la Calle (…), tal y como refleja la Diligencia relativa a los documentos aportados en
fase de práctica de prueba por la Comunidad de Propietarios de fecha 11 de junio de
2025 (“Diligencia Cdad Prop”).
QUINTO:
(…).
(…).
(…)
“(…):
(…)
(…): (el destinatario del paquete)
(…).
(…).
(…).
(…)
(…)
(…).
En el caso de la reclamante, el documento 1, que acompaña al escrito de CITIBOX de
16 de junio de 2025, aportado por CITIBOX en fase de práctica de prueba, figura como
documento anexo a la propuesta de resolución de este procedimiento sancionador,
incluye en la Imagen 1 (…).
El comprobante se generó el ***FECHA.2 a las (…)
El texto que figura (…) indica:
“(…).
(…).
(…).
(…).
(…)
(…)”
CITIBOX en su escrito de 16 de junio de 2025, elaborado en respuesta al escrito de
práctica de prueba de esta Agencia de fecha 10 de junio de 2025, indica:
“(…).”
SEXTO:
Tras depositarse el paquete en el buzón (…) de CITIBOX, la reclamante recibió en su
teléfono móvil un mensaje SMS procedente de CITIBOX con el siguiente texto:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/78
“(…)”
En relación con el mensaje SMS enviado a la reclamante, en el escrito elaborado por
CITIBOX en contestación al traslado de la reclamación y solicitud de información de 27
de abril de 2023, se indica:
“Volviendo al caso que nos ocupa, todo el proceso quedó debidamente
registrado en los sistemas de Citibox; (…), como documento núm. 5.
En ellos se aprecia:
1. Que el paquete fue depositado en el buzón (…) el ***FECHA.2, a las (…), por
un usuario perteneciente al transportista Seur, S.A., y dirigido al teléfono
***TELÉFONO.1;
2. (…):
“(…)”
El documento 1, que acompaña al escrito de CITIBOX de 16 de junio de 2025,
aportado por CITIBOX en fase de práctica de prueba, figura como documento anexo a
la propuesta de resolución de este procedimiento sancionador, incluye en la Imagen 2
(…). Junto a dicha imagen figura el siguiente comentario de CITIBOX:
“(…), del prestador de servicios de mensajería de Citibox, recoge que la
empresa envió un mensaje (…).
SÉPTIMO:
La reclamante era una usuaria no registrada en CITIBOX, dado que no había
mantenido ninguna relación comercial previa con dicha empresa.
OCTAVO:
La reclamante abrió la taquilla de CITIBOX, en la que estaba depositado el paquete,
tras una conversación telefónica con un empleado de CITIBOX.
La grabación de la conversación mantenida entre el empleado de CITIBOX y la
reclamante forma parte del expediente.
El informe de actuaciones previas de investigación en relación con la grabación de la
llamada señala:
“(…).”
NOVENO:
Tras la recepción del paquete la reclamante dirigió sendos escritos al DPO de
***ENTIDAD.1, al DPO de SEUR y al DPD de CITIBOX. Dichos documentos
acompañan al escrito de reclamación.
El texto de los mensajes era muy similar. Entre otros aspectos, la reclamante
destacaba que la entrega del paquete en el buzón (…) de CITIBOX se había producido
sin su autorización.
Asimismo, señalaba que no tenía relación comercial alguna con la empresa CITIBOX.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/78
También hacía referencia a una cesión ilegal de sus datos personales por parte de
SEUR a CITIBOX.
DÉCIMO:
El DPO de SEUR envió a la reclamante un correo electrónico de respuesta el 20 de
diciembre de 2022 en el que informaba a la reclamante que SEUR dispone de una
amplia red de puntos de entrega como (…) para las mercancías que son transportadas
por SEUR, con el objetivo de facilitar el acceso a las mismas por parte de sus clientes.
(…).
(…).
El texto del correo electrónico es el siguiente:
“(…),
(…).
(…).
(…).
(…)” (subrayado de la AEPD)
UNDÉCIMO:
CITIBOX es una empresa dedicada a la instalación y gestión de buzones destinados a
la recepción y devolución de paquetería ubicados en las zonas comunes de edificios.
Los buzones de CITIBOX (…).
Así, se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado en
contestación al traslado de la reclamación y solicitud de información por parte de la
AEPD, en el que se indica:
“0.1. Acerca de Citibox
Citibox es una empresa española dedicada a la instalación y gestión de
buzones, destinados a la recepción y devolución de paquetería, en las zonas
comunes de aquellos edificios cuyos propietarios así lo soliciten. Estos buzones
(…).” (subrayado de la AEPD).
Esta misma información se refleja en el informe de actuaciones previas de
investigación de 5 de abril de 2024.
DUODÉCIMO:
CITIBOX señala que su modelo de negocio consiste en (…).
(…).
En este sentido se refleja en el escrito de CITIBOX de 27 de abril de 2023, elaborado
en contestación al traslado de la reclamación y solicitud de información por parte de la
AEPD, en el que se señala:
“(…) El modelo de negocio de la empresa (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/78
DECIMOTERCERO:
El uso de los buzones (…) de CITIBOX (…).
En relación con esta cuestión, el escrito de CITIBOX de 27 de abril de 2023, elaborado
en contestación al traslado de la reclamación y solicitud de información por parte de la
AEPD, indica:
“(…).”
Asimismo, el informe de actuaciones previas de investigación de 5 de abril de 2024,
señala:
“Estos buzones cuentan con (…), de tal forma que solo son accesibles (…).
DECIMOCUARTO:
SEUR remunera a CITIBOX el servicio de recepción de los envíos de paquetería de
SEUR en los buzones (…) de CITIBOX.
En este sentido la cláusula quinta denominada “(…)” del contrato de prestación de
servicios de recepción de paquetería en taquillas (...) celebrado por SEUR y CITIBOX
el 12 de mayo de 2017 (en adelante, contrato de 12 de mayo de 2017) dispone:
“(…).
(…).
(…).
DECIMOQUINTO:
Cuando un paquete es depositado en los buzones de CITIBOX por una empresa de
mensajería (en este caso, SEUR), dicha empresa comunica a CITIBOX el número de
teléfono del destinatario.
CITIBOX afirma que dicha comunicación del dato personal (número de teléfono del
destinatario) se produce a los meros efectos de que CITIBOX pueda contactar con el
destinatario del paquete (en este caso, la reclamante) para facilitar la recogida del
paquete.
Así lo refleja CITIBOX en su escrito 27 de abril de 2023, elaborado en contestación al
traslado de la reclamación y solicitud de información por parte de la AEPD, señala:
“(…) cuando un paquete es depositado en nuestros buzones por una empresa
de mensajería, esta nos comunica un número de teléfono a los meros efectos de
que podamos contactar con el destinatario, para facilitar su recogida.”
(subrayado de la AEPD).
DECIMOSEXTO:
Cuando una empresa de mensajería deposita un paquete en los buzones (…) de
CITIBOX y la persona física destinataria del paquete no desea darse de alta (…) de
CITIBOX, CITIBOX la considera un usuario no registrado.
Tal y como refleja el hecho probado séptimo este era el caso de la reclamante, que no
tenía relación comercial previa con CITIBOX.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/78
DECIMOSÉPTIMO:
Si el destinatario del paquete es un usuario no registrado en CITIBOX, CITIBOX le
envía un mensaje SMS informándole de la llegada del paquete y de las opciones que
tiene para retirarlo.
CITIBOX lo indica en su escrito 27 de abril de 2023, elaborado en contestación al
traslado de la reclamación y solicitud de información por parte de la AEPD:
“(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él
por medio de un SMS, informándole sobre la llegada del paquete y las opciones
que tiene para retirarlo.” (subrayado de la AEPD).
DECIMOCTAVO:
CITIBOX ofrece dos vías diferentes para que los usuarios no registrados retiren el
paquete que se encuentra depositado en sus buzones (…).
Opción 1: El (…).
Se convierte en cliente de CITIBOX. A partir de ese momento, todas las entregas
y procesos de comunicación se gestionarán (…).
Opción 2: (…).
(…).
(…).
La reclamante retiró el paquete utilizando esta segunda opción tal y como refleja la
grabación, que forma parte del expediente, a la que hace referencia el hecho probado
octavo.
CITIBOX, explica estas dos opciones de entrega en su escrito 27 de abril de 2023,
elaborado en contestación al traslado de la reclamación y solicitud de información por
parte de la AEPD:
“(…) Si el destinatario no es un usuario de Citibox, se procede a contactar con él
por medio de un SMS, informándole sobre la llegada del paquete y las opciones
que tiene para retirarlo. Así, Citibox ofrece dos vías diferentes:
(…)
(…) optó por esta segunda opción, que (como acredita la llamada) funcionó
con normalidad,” (subrayado de la AEPD).
El escrito de CITIBOX de 27 de abril de 2023 incluye dos imágenes que explican las
dos formas de recoger los paquetes en los buzones de CITIBOX.
La imagen explicativa de la opción de abrir el buzón (…) (empleada por la reclamante),
también figura en la “Diligencia info CITIBOX”, que contiene varias comprobaciones
realizadas por la SGID en la página web de CITIBOX con fecha 7 de febrero de 2024.
DECIMONOVENO:
El apartado de política de privacidad de la página web de CITIBOX indicaba que en el
caso de (…) sus datos personales serían tratados con la única finalidad de gestionar la
recogida del paquete.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/78
En este sentido, la diligencia denominada “Diligencia info CITIBOX” de la SGID, refleja
una serie de comprobaciones realizadas en la página web de CITIBOX a fecha 7 de
febrero de 2024, reproduce el texto capturado de dicha página web:
“(…).”
VIGÉSIMO:
Descripción de la relación entre SEUR y CITIBOX, aportada por SEUR a la SGID, en
contestación a un requerimiento de información.
SEUR indica que las entregas en los lockers de CITIBOX siguen lo establecido en las
condiciones de transporte de SEUR, disponibles en la página web de SEUR.
En el escrito de 4 de enero de 2024, elaborado por CITIBOX en contestación al
requerimiento de la SGID de fecha 19 de diciembre de 2023, se indica:
“(…).
(…).
(…).”
VIGÉSIMO PRIMERO:
CITIBOX y SEUR suscribieron un contrato de prestación de servicios de recepción de
paquetería en taquillas (...) el 12 de mayo de 2017 (en adelante, contrato de 12 de
mayo de 2017).
El referido contrato ha sido aportado por CITIBOX, junto con su escrito 27 de abril de
2023, elaborado en contestación al traslado de la reclamación y solicitud de
información por parte de la AEPD como Documento 1. Asimismo, dicho contrato ha
sido aportado con la denominación de anexo II por SEUR, junto con su escrito de 4 de
enero de 2024, elaborado en contestación al requerimiento del Inspector de 19 de
diciembre de 2023.
VIGÉSIMO SEGUNDO:
En el contrato de 12 de mayo de 2017 SEUR manifiesta, en desarrollo de sus servicios
logísticos, su interés (…).
Así se refleja en el punto I de dicho Contrato:
"(…)
(…).” (Subrayado de la AEPD).
VIGÉSIMO TERCERO:
A través del contrato de 12 de mayo de 2017 CITIBOX facilitaba a SEUR el acceso a
(…).
Así se refleja en el siguiente párrafo de dicho Contrato:
“(…).” (Subrayado de la AEPD).
A continuación, el contrato menciona algunas funcionalidades y servicios disponibles
(…):
“(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/78
(…).
(…).
(…).
(…).”
VIGÉSIMO CUARTO:
(…).
(…).
“(…)”.
VIGÉSIMO QUINTO:
(…).
(…).
VIGÉSIMO SEXTO:
(…).
En este sentido, el contrato de 12 de mayo de 2017 señala:
En relación con esta cuestión, el contrato de prestación de servicios de recepción de
paquetería en taquillas (...) celebrado entre CITIBOX y SEUR el 12 de mayo de 2017
indica:
“(…).
(…).
(…)”
Asimismo, CITIBOX en su escrito de 29 de mayo de 2015, elaborado en respuesta a
una solicitud a una práctica de prueba de fecha 22 de mayo de 2025, aclara:
“(…)
(…)”.
VIGESIMO SÉPTIMO:
En el supuesto de que el paquete no sea retirado (…) de CITIBOX por el destinatario.
CITIBOX comunica la falta de recogida a SEUR, que procederá a gestionar la
devolución (…).
El contrato de 12 de mayo de 2017 en su cláusula tercera “Condiciones de uso”
apartado 6 “(…)”:
“(…).
(…)”.
VIGÉSIMO OCTAVO:
El contrato de 12 de mayo de 2017 contenía una cláusula sexta denominada “(…)”
con el siguiente contenido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/78
“(…).
(…).
1. (…).
(…).
(…).
2. (…).
(…).
(…).
3. (…).
(…).”
VIGÉSIMO NOVENO:
Con fecha 1 de junio de 2018 CITIBOX y SEUR firmaron un anexo al contrato de
prestación de servicios.
Tal y como destaca el informe de actuaciones previas de investigación:
“(…).”
SEUR y CITIBOX sustituyeron la cláusula sexta del contrato denominada “(…)” por
una nueva cláusula denominada “(…)”.
Dicha cláusula regula la cesión de datos personales entre ambas empresas (…)
partiendo de la idea de que son responsables del tratamiento independientes. (…).
La nueva cláusula tenía la siguiente redacción:
"(…).
(…):
(…)
(…):
(…)
- (…).
- (…).
(…)
- (…).
- (…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/78
Asimismo, incorporaron al contrato una cláusula denominada “(…)”.
(…).
Se indica que (…).
La nueva cláusula tenía la siguiente redacción:
“(…).
(...).
(A continuación, se citan las direcciones de correo electrónico del DPD de
CITIBOX y del DPO de SEUR)
(…)”.
TRIGÉSIMO:
SEUR y CITIBOX no celebraron un contrato de encargo de tratamiento.
En este sentido, el informe de actuaciones previas de investigación de 5 de abril de
2024 indica:
“SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de
recepción de paquetería en taquillas (...) de CITIBOX y en la documentación
contractual se configuran ambas entidades como responsables del tratamiento,
no existiendo por tanto contrato de encargado de tratamiento entre ambas
entidades.” (subrayado es nuestro).
SEUR, en el escrito de alegaciones al acuerdo de inicio, señala:
“(…) está imponiendo un imposible ontológico a esta administrada ya que,
obviamente no existe un contrato de encargo de tratamiento porque existe un
contrato de distribución de la condición de responsables del tratamiento; y este
excluye la necesidad de aquel.” (el subrayado es nuestro)
TRIGÉSIMO PRIMERO:
SEUR, en contestación a dos requerimientos de información de la SGID, indicó a la
AEPD los datos que comunicaba a CITIBOX. Entre los mismos no se encontraban el
(…).
En el escrito de SEUR de fecha 4 de enero de 2024, elaborado en contestación al
primer requerimiento de información de la SGID de 19 de diciembre de 2023, se
indica:
“PUNTO 5. Copia de todos los datos relativos a A.A.A. y de su envío (…),
facilitados a CITIBOX para proceder a la entrega o puesta a disposición del
paquete a la destinataria.
(…):
- (…)
- (…)
(…):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/78
- (…)
- (…)” (Subrayado de la AEPD).
En relación con esta misma cuestión, en el escrito de SEUR (presentado en la AEPD
el 28 de febrero de 2024), elaborado en contestación al segundo requerimiento de
información de la SGID se indica:
“PUNTO 1. Información exacta sobre todos los datos personales de los
destinatarios que SEUR comunica a CITIBOX en el marco del contrato
suscrito, aportando documentación acreditativa de la información que se
facilite. Se pide copia de todos los tipos de registros informáticos de datos
comunicados de SEUR a CITIBOX con explicación de cada uno de sus
campos. Copia de los registros informáticos de datos relativos a la
reclamante comunicados a CITIBOX con ocasión del envío objeto de
reclamación.
(…):
- (…)
- (…)
(…):
- (…)
- (…)
-(…).
(…).” (subrayado de la AEPD)
Asimismo, la parte final del informe de actuaciones previas de investigación señala:
“(…).” (Subrayado de la AEPD).
TRIGÉSIMO SEGUNDO:
CITIBOX, en contestación a un requerimiento de información de la SGID indicó que los
únicos datos obligatorios que precisa obtener de las empresas de mensajería para
realizar la entrega del paquete son (…).
En este sentido, CITIBOX en su escrito de fecha 29 de febrero de 2024, elaborado en
contestación al primer requerimiento de información de la SGID, señaló:
“Como expusimos en su momento, los únicos datos obligatorios que Citibox
precisa obtener de las empresas de mensajería para realizar una (…).
TRIGÉSIMO TERCERO:
El repartidor de SEUR, en el momento de realizar la entrega del paquete en la taquilla
(…) o buzón de CITIBOX, comunicó a esta segunda empresa (CITIBOX) el nombre y
los apellidos de la reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/78
Así lo muestra la imagen 1 (…), que figura como anexo a la propuesta de resolución.
En (…) ***FECHA.2 a las (…) se refleja que el repartidor de SEUR comunicó a
CITIBOX además del número de teléfono de la reclamante “***TELÉFONO.1” el
nombre y apellidos de la misma “A.A.A.”
(…), CITIBOX ha incluido el siguiente texto:
“(…).”
TRIGÉSIMO CUARTO:
Citibox dispone de (…):
(…).
(…).
En este sentido, lo señala CITIBOX en su escrito de 29 de mayo de 2025, elaborado
en contestación a la práctica de prueba de la AEPD de fecha 22 de mayo de 2025:
“(...)”.
TRIGÉSIMO QUINTO:
Los repartidores de las empresas de mensajería (en este caso, SEUR) pueden
depositar paquetes en los buzones (…) Citibox de dos formas diferentes:
(…).
(…).
(…).
Así lo refleja CITIBOX en su escrito de 29 de mayo de 2025, elaborado en
contestación a la práctica de prueba de la AEPD de fecha 22 de mayo de 2025:
“(…):
(…)
(…)
(…).”
TRIGÉSIMO SEXTO:
A principios de marzo de 2023, hubo un intercambio de correos electrónicos entre el
(…) de SEUR y empleados de CITIBOX.
El primer correo electrónico, enviado por (…) a un empleado de CITIBOX el (…),
comunica una serie de acuerdos adoptados por SEUR. Dichos acuerdos son los
siguientes:
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/78
(…).
Se reproduce el contenido de dicho correo electrónico. Aportado por SEUR como
Anexo II al documento de SEUR presentado en la AEPD el 3 de junio de 2025, en
contestación al escrito de práctica de prueba de 22 de mayo de 2025. Dicho Anexo II
se titula “(…)”
El correo indica:
“(…)
(…):
(…).
(…).
(…).
(…).”
El correo de respuesta, bajo el título “(…)” figura también en el Anexo II titulado “(…)”,
en el mismo se indica:
“(…)
(…).”
Dichos correos electrónicos evidencian que SEUR, responsable del tratamiento, daba
instrucciones a CITIBOX, su encargado.
TRIGÉSIMO SÉPTIMO:
CITIBOX ha aportado en el escrito de 29 de mayo de 2025, elaborado en contestación
al escrito de práctica de prueba de esta Agencia de fecha 22 de mayo de 2025, un
gráfico que refleja que en julio de 2023 (…).
TRIGÉSIMO OCTAVO:
El 3 de abril de 2024 se produjo el bloqueo efectivo de (…).
(…).
CITIBOX, en su escrito de 29 de mayo de 2025, elaborado en contestación a la
práctica de prueba de la AEPD de fecha 22 de mayo de 2025, (…)”.
El texto de dicho mensaje es el siguiente:
“(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/78
(…).
(…).
(…).
(…)
(…).”
Asimismo, Citibox ha aportado en su escrito de 29 de mayo de 2025 una captura de
pantalla (…).
TRIGÉSIMO NOVENO:
La Comunidad de Propietarios ***COMUNIDAD.1, donde reside la reclamante, celebró
***FECHA.4 una Junta General Extraordinaria.
El punto (…) del Orden del día era la propuesta de instalación de buzones de CITIBOX
en las zonas comunes.
La propuesta fue aprobada por mayoría de los vecinos presentes.
(…).
(…):
(…).
(…).
(…).
Examinada la relación de propietarios asistentes y representados en la Junta, que
figura en el acta, se observa que a dicha reunión no asistió ningún vecino del portal XX
(la reclamante reside en la ***DIRECCIÓN.1. (…).
(Información reflejada en la “Diligencia Cdad Prop”, que figura en el expediente)
CUADRAGÉSIMO:
El ***FECHA.1 el presidente de la Comunidad de Propietarios y el representante de la
empresa (…), firmaron un (…).
(Información reflejada en la “Diligencia aut buzones” y en la “Diligencia Cdad Prop”,
que figuran en el expediente)
CUADRAGÉSIMO PRIMERO:
La autorización de la Comunidad de Propietarios a (…) para la instalación de buzones
(…), vigente en el momento en el que se produjeron los hechos examinados en este
expediente (***FECHA.2), indicaba lo siguiente:
(…)
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/78
EXPONEN
I.- (…).
II. (…).
CONDICIONES PARTICULARES
I.- (…).
II.- (…).
III.- (…).
IV.- (…).
V.- (…).”
El documento lo firman tanto el Presidente de la Comunidad de Propietarios como el
representante de (…).
Tal y como ha destacado el inspector en el informe de actuaciones previas de
investigación, el documento no incluye información ni estipulación alguna sobre
tratamientos de datos personales de los destinatarios de los paquetes:
“Se comprueba que CITIBOX aporta copia de un documento suscrito por la
Comunidad de Propietarios sita en una determinada calle (misma en la que
reside la reclamante) que comprende los números o portales “***PORTALES-
A”. (…) El documento se limita a una autorización de instalación de los buzones
y unas condiciones particulares que no incluyen información ni estipulación
alguna sobre tratamientos de datos personales de los destinatarios de los
paquetes.” (subrayado nuestro).
CUADRAGÉSIMO SEGUNDO:
La autorización de la comunidad de propietarios a la empresa (…) para la instalación
de buzones (…), vigente en el momento en el que se produjeron los hechos
examinados en este expediente (***FECHA.2), hacía referencia a la comunidad de
propietarios sita en la Calle (…) ***PORTALES-A.
En este sentido, en el informe de actuaciones previas de investigación se señala:
“Se comprueba que CITIBOX aporta copia de un documento suscrito por la
Comunidad de Propietarios sita en una determinada calle (misma en la que
reside la reclamante) que comprende los números o portales “***PORTALES-
A”. Si bien la reclamante reside en el XX, ella misma cita en otros documentos a
su Comunidad de Propietarios como que comprende los portales
“***PORTALES- B” (se trata de una Urbanización), documento tales como su
reclamación ante CITIBOX.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/78
Con fecha 20 de noviembre de 2024 ***CARGO.1 de la Comunidad de Propietarios y
el representante de CITIBOX firmaron, a petición de CITIBOX, una Adenda (…).
En dicha Adenda, entre otras cuestiones, se indica:
“4. Que dichos buzones (…) de CITIBOX están funcionando en la actualidad y
dan servicio a las siguientes direcciones:
(…)
(…)
(…)
5. Que Citibox ha identificado un error manual en la autorización de instalación
inicial por el cual se indica que la dirección de la comunidad de propietarios es la
calle (…) ***PORTALES-A y en realidad la comunidad de propietarios cubre (…)
direcciones adicionales a la mencionada en la orden de instalación original y que
se han descrito en el punto 4.
6. Por este motivo Citibox solicita la firma de esta adenda para corrección e
inclusión de todas las direcciones y viviendas a las cuales los buzones (…) de
Citibox dan servicio de entrega de paquetería.”
(Información reflejada en la “Diligencia aut buzones” y en la “Diligencia Cdad Prop”,
que figuran en el expediente).
CUADRAGÉSIMO TERCERO:
La relación entre CITIBOX y las comunidades de propietarios (…).
(…).
Así lo indica CITIBOX en su escrito de 16 de junio de 2025, elaborado en respuesta a
una práctica de prueba de la AEPD de fecha 10 de junio de 2025:
“SEGUNDA. Prueba de entrega del paquete a la comunidad de propietarios
(…):
“(…).”
(…).
(…).
CUADRAGÉSIMO CUARTO:
A fecha 2 de diciembre de 2024 CITIBOX SMART SERVICES S.L figuraba inscrita en
el listado de operadores postales inscritos Registro general de empresas prestadoras
de servicios postales como operador tipo A.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/78
CUADRAGÉSIMO QUINTO:
Tal y como refleja la “Diligencia EXP(...)”, que forma parte del expediente:
1. La reclamación de 26 de febrero de 2023, presentada por la Sra. A.A.A., que dio
tanto al EXP(...) como a este expediente sancionador (EXP(…)).
2. Durante la tramitación el EXP(...) la AEPD dio traslado de la reclamación presentada
por la Sra. A.A.A. y dicha empresa formuló las alegaciones que estimó oportunas.
3. En el documento denominado “Información sobre el resultado de la reclamación” de
fecha 22 de mayo de 2023, enviada por la AEPD a SEUR, que obra en el EXP(...), se
indicaba que la Directora de la AEPD había acordado no admitir a trámite la
reclamación presentada contra SEUR por una presunta vulneración de los artículos
5.1 f) y 32 del RGPD, advirtiendo a continuación:
“Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y
correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al
tratamiento de datos referido en la reclamación.”
CUADRAGÉSIMO SEXTO:
Un locker es una taquilla que ofrece SEUR a sus clientes, que pueden ir a recoger sus
paquetes cuando les sea más oportuno, sin necesidad de estar pendientes en casa o
en la oficina de la llegada del mensajero o del transportista para su recepción.
Las taquillas (…). Cada pedido se asocia a un locker, que sólo podrá abrir el
destinatario del mismo.
Información reflejada en la “Diligencia SEUR pickup”.
CUADRAGÉSIMO SÉPTIMO:
(…).
(…).
(…).
(…).
(…):
(…).
(…).
(…).
(…).
Información reflejada en la “Diligencia SEUR pickup”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/78
CUADRAGÉSIMO OCTAVO:
Tal y como refleja la “Diligencia SEUR pickup”, las ventajas de SEUR pick up para los
clientes de SEUR (destinatarios de los paquetes) serían, en síntesis, tres:
(…).
(…).
(…).
La “Diligencia SEUR pickup” indica:
“(…):
(…)
(…).” (el subrayado es nuestro).
CUADRAGÉSIMO NOVENO:
SEUR pickup tiene las siguientes ventajas para SEUR:
(…).
(…).
(…).
Así se refleja en la “Diligencia SEUR pickup” refleja las siguientes ventajas que tiene el
servicio SEUR pick up para SEUR:
“(…)
(…)
(…).” (el subrayado es nuestro).
QUINCUAGÉSIMO:
SEUR dispone de un documento dirigido a sus repartidores titulado “DOCUMENTO.1”
que contiene las instrucciones para entregar paquetes tanto en los lockers (…) como
en los lockers de CITIBOX.
En dicho documento se refleja que el repartidor realizará la entrega desde (…) de
SEUR.
En una de las páginas bajo el título “(…)” se indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/78
“(…).”
FUNDAMENTOS DE DERECHO
I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II Cuestiones previas relativas a los conceptos de responsable y encargado del
tratamiento
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que SEUR
GEOPOST, S.L. realiza, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas a las que van dirigidos los paquetes de cuya entrega
es responsable, así como la comunicación a sus encargados del tratamiento de datos
personales de los destinatarios de los envíos que SEUR ha de entregar. Entre los
datos personales tratados por SEUR se encuentran el nombre y apellidos, la dirección
postal completa, el número de teléfono, etc.…
SEUR GEOPOST, S.L. realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
de lo dispuesto en el artículo 4.7 del RGPD.
Con carácter previo al análisis de las alegaciones formuladas por SEUR al acuerdo de
inicio, resulta necesario analizar los conceptos de responsable y encargado y su
aplicación al caso particular de SEUR y CITIBOX.
1. Conceptos de responsable y encargado del tratamiento según el RGPD (a los
efectos de protección de datos). Aplicación al caso de SEUR y CITIBOX1.1.
Conceptos autónomos propios del RGPD
El artículo 4 del RGPD define lo que es el responsable y el encargado del tratamiento,
en relación con la protección de datos personales, con el siguiente tenor:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/78
“7) «responsable del tratamiento» o «responsable»: la persona física o
jurídica, autoridad pública, servicio u otro organismo que, solo o junto con
otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o
de los Estados miembros determina los fines y medios del tratamiento, el
responsable .del tratamiento o los criterios específicos para su nombramiento
podrá establecerlos el Derecho de la Unión o de los Estados miembros;
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento”.
Estos conceptos son autónomos, propios y específicos de la normativa en materia de
protección de datos de carácter personal (RGPD y LOPDGDD), sin que puedan
desfigurarse por mezclarse con otros de otros ámbitos del Derecho tal y como
disponen las Directrices 07/2020 sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de
julio de 2021:
“13. Los conceptos de «responsable del tratamiento» y «encargado del
tratamiento» también son conceptos autónomos, en el sentido de que, aunque
fuentes legales externas puedan ayudar a identificar quién es el responsable,
este concepto debe interpretarse fundamentalmente con arreglo al Derecho de
la Unión en materia de protección de datos. El concepto de «responsable del
tratamiento» no debería verse afectado por otros conceptos —con los que a
veces colisiona o se solapa— de otros ámbitos del Derecho, como los
conceptos de «autor» o «titular de derechos» de la normativa sobre la
propiedad intelectual o la competencia”. (el subrayado es nuestro)
1.2. Conceptos funcionales de responsable y encargado del tratamiento:
Nos enfrentamos a un concepto puramente funcional de responsable y encargado del
tratamiento, que obliga, en cada supuesto concreto, a examinar quién determina los
fines y los medios del tratamiento.
Las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y
«encargado del tratamiento» en el RGPD lo expresan con claridad,
“12. Los conceptos de «responsable del tratamiento» y «encargado del
tratamiento» son conceptos funcionales: su objetivo es asignar
responsabilidades en función del papel real de cada parte. Esto implica que la
condición jurídica de «responsable del tratamiento» o «encargado del
tratamiento» de los participantes debe establecerse en principio en virtud de
sus actividades concretas en una situación determinada y no en función de la
designación formal de un participante como «responsable del tratamiento» o
«encargado del tratamiento» (p. ej., en un contrato). Esto implica que la
asignación de la función de responsable o encargado debe derivar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/78
normalmente de un análisis de los hechos o circunstancias del caso y, en
consecuencia, no es negociable”. (el subrayado es nuestro)
En el caso examinado, el tratamiento de datos personales servía a las finalidades
propias de SEUR de entrega de los envíos de paquetería de los que dicha empresa
era responsable.
Cabe recordar que las propias Directrices 7/2020 advierten que los términos
contractuales no son determinantes para identificar quién es responsable del
tratamiento:
“28. En muchas ocasiones, el examen de las cláusulas contractuales entre las
distintas partes involucradas puede ayudar a determinar qué parte o partes
actúan como responsables del tratamiento. Aun cuando el contrato no estipule
quién es el responsable del tratamiento, puede contener elementos suficientes
para inferir quién tiene el poder de decisión en relación con los fines y medios
del tratamiento.También es posible que el contrato contenga una declaración
expresa sobre la identidad del responsable del tratamiento. Si no existen
motivos para dudar de que esta se ajuste a la realidad, nada se opone a que
se sigan las condiciones fijadas en el contrato. No obstante, los términos de un
contrato no son determinantes en todos los casos, ya que, de ser así, las
partes simplemente podrían atribuir la responsabilidad como lo consideraran
oportuno. No es posible devenir responsable del tratamiento ni rehuir las
obligaciones del responsable mediante una mera fórmula en el contrato cuando
las circunstancias de hecho indiquen lo contrario”.
Y todo ello porque no es baladí quién sea responsable o encargado del tratamiento,
quién deba de cumplir con qué obligaciones de las fijadas en el RGPD para cada uno
de ellos (procurando de esta forma la protección efectiva de las personas físicas),
afectando, además, a cuestiones tan importantes como ante quién se lleva a cabo el
ejercicio de los derechos conferidos por el RGDP a los interesados (artículos 15 a 22 y
77 a 82 del RGPD) y cuyo ejercicio incide directamente en el control que ejercen estos
últimos sobre los datos personales que les conciernen, puesto que, como indican las
Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y
«encargado del tratamiento» en el RGPD,
“2. El concepto de «responsable del tratamiento» y su interacción con el
concepto de «encargado del tratamiento» tienen una importancia fundamental
en la aplicación del RGPD, puesto que determinan quién responde del
cumplimiento de las distintas normas relativas a la protección de datos y cómo
pueden los interesados ejercer sus derechos en la práctica. El RGPD introduce
expresamente el principio de responsabilidad proactiva, en virtud del cual el
responsable del tratamiento es responsable del cumplimiento de los principios
relativos al tratamiento de los datos personales previstos en el artículo 5 y debe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/78
ser capaz de demostrarlo. Además, el RGPD también introduce unas normas
más específicas sobre el recurso a encargados del tratamiento, y algunas de
las disposiciones relativas al tratamiento de datos personales se dirigen no solo
a los responsables del tratamiento, sino también a los encargados.
…
14. Puesto que el objetivo último de la atribución de la función de responsable
del tratamiento es garantizar la responsabilidad proactiva y una protección
eficaz e integral de los datos personales, el concepto de «responsable»
debería interpretarse de un modo suficientemente amplio, de manera que
promueva, en la medida de lo posible, una protección eficaz y completa de los
interesados, con el fin de garantizar la plena eficacia del Derecho de la Unión
en materia de protección de datos, evitar lagunas y prevenir las posibles
elusiones de la normativa, sin que todo ello suponga una merma de las
atribuciones del encargado del tratamiento.”.
En este mismo sentido, la Sentencia del Tribunal Superior de Justicia de 5 de
diciembre de 2023 (Asunto C-807/21) hace referencia a la extensión de la
responsabilidad del responsable del tratamiento, indicando:
“38 Para responder a esta primera cuestión, procede señalar, para empezar,
que los principios, prohibiciones y obligaciones previstos en el RGPD se dirigen,
en particular, a los «responsables del tratamiento» cuya responsabilidad se
extiende, como subraya el considerando 74 del RGPD, a cualquier tratamiento
de datos personales realizado por ellos mismos o por su cuenta, y que, a este
respecto, no solo están obligados a aplicar medidas oportunas y eficaces, sino
también a poder demostrar la conformidad de sus actividades de tratamiento con
el RGPD, incluida la eficacia de las medidas adoptadas para garantizar tal
conformidad. Es esa responsabilidad la que constituye, cuando se produce una
de las infracciones contempladas en el artículo 83, apartados 4 a 6, de dicho
Reglamento, el fundamento de la imposición de una multa administrativa al
responsable del tratamiento con arreglo al referido artículo 83.”
1.3. Responsable del tratamiento
La definición de «responsable del tratamiento» contiene cinco componentes
principales: (i) «la persona física o jurídica, autoridad pública, servicio u otro
organismo», (ii) «determine», (iii) «solo o junto con otros», (iv) «los fines y medios» y
(v) «del tratamiento».
En cuanto al elemento “determine”, hace mención al poder de decisión y la influencia
del responsable del tratamiento quien decide sobre elementos esenciales del mismo,
como el hecho de que se lleve a cabo un tratamiento de datos personales para el
cumplimiento de fines propios del responsable que pretende lograr.
Así, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y
«encargado del tratamiento» en el RGPD indican que,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/78
“20. (…) El responsable del tratamiento es quien decide determinados aspectos
esenciales del tratamiento de los datos. La responsabilidad del tratamiento
puede establecerse en la normativa o deducirse de un análisis de los hechos o
las circunstancias del caso. Es necesario dirigir la atención a las actividades de
tratamiento concretas de que se trate y comprender quién las determina. Para
ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar
el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento
para un fin concreto?».”
…
29. Si una parte decide en la práctica cómo y por qué se tratan los datos
personales, dicha parte será el responsable del tratamiento, aunque el contrato
estipule que se trata del encargado. De manera análoga, el hecho de que un
contrato mercantil utilice el término «subcontratista» no implica que el ente se
considere encargado del tratamiento en el contexto de la legislación en materia
de protección de datos. (el subrayado es nuestro).
En cuanto a la determinación de fines y medios, siguen indicando las citadas
Directrices que,
“33. Los diccionarios definen la palabra fin como un «resultado anticipado que
se persigue o que guía la actuación prevista» y la palabra medio como la
«manera en que se obtiene un resultado o se alcanza un objetivo».
…
35. La determinación de los fines y los medios equivale a decidir,
respectivamente, el porqué y el cómo del tratamiento: en una operación de
tratamiento concreta, el responsable del tratamiento es la parte que determina
por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo
se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo).
Una persona física o jurídica que influye de este modo en el tratamiento de
datos personales participa, por tanto, en la determinación de los fines y los
medios de dicho tratamiento de conformidad con la definición prevista en el
artículo 4, punto 7, del RGPD.
…
37. En la práctica, si un responsable del tratamiento recurre a un encargado
para que lleve a cabo el tratamiento por cuenta de aquel, el encargado
normalmente podrá tomar ciertas decisiones propias sobre el modo de
efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar
de cierto margen de maniobra para tomar algunas decisiones sobre el
tratamiento. (…)”
Esto es, que es el responsable del tratamiento el que determina la finalidad y los
medios, al menos los esenciales, mientras que el encargado del tratamiento tiene una
función de prestar servicios al responsable del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/78
En otras palabras, «actuando en nombre y por cuenta del responsable del
tratamiento» significa que el encargado del tratamiento está al servicio del interés del
responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto,
sigue las instrucciones establecidas por el responsable del tratamiento, al menos en lo
que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado.
1.4. Encargado de tratamiento
Como se puede apreciar, la definición de «encargado del tratamiento» incluye una
amplia gama de actores, ya sean personas físicas o jurídicas, autoridades públicas,
agencias u otros organismos.
La existencia de un encargado del tratamiento depende de una decisión adoptada por
el responsable del tratamiento, que, para el cumplimiento de sus propios fines, podrá
decidir realizar él mismo determinadas operaciones de tratamiento o contratar la
totalidad del tratamiento o algunas operaciones del tratamiento a un encargado del
tratamiento.
En este sentido, las Directrices 07/2020 sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptada el 7 de
julio de 2021
“Un encargado del tratamiento, o encargado, es la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento. Para ser considerado encargado del
tratamiento, es necesario reunir dos condiciones fundamentales: ser un ente
independiente del responsable del tratamiento y tratar datos personales por
cuenta de este”. (el subrayado es nuestro).
Siguen indicando sobre el encargado del tratamiento que: (el subrayado es nuestro)
“79. Por otra parte, tratar datos personales por cuenta del responsable
requiere, en primer lugar, que el ente independiente trate los datos personales
en beneficio del responsable. En el artículo 4, punto 2, el tratamiento se define
como un concepto que abarca un amplio abanico de operaciones: desde la
recogida, la conservación y la consulta hasta la utilización, la difusión o
cualquier otra forma de habilitación de acceso y destrucción. El concepto de
«tratamiento» también se describe previamente con más detalle en el punto
2.1.5.
80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un
responsable del tratamiento, pero no bajo su autoridad ni control directos.
Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al
concepto jurídico de «delegación». En el caso de la normativa de protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
44/78
datos, el cometido del encargado del tratamiento es aplicar las instrucciones
dadas por el responsable del tratamiento, cuando menos en lo relativo a los
fines del tratamiento y a los elementos esenciales de los medios. La legitimidad
del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del
Reglamento deriva de la actividad del responsable, y el encargado únicamente
debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal
como se ha indicado previamente, las instrucciones del responsable del
tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de
servir mejor a los intereses de este, de modo que permitan al encargado elegir
los medios técnicos y organizativos más adecuados.
…
84. Tal como se ha indicado previamente, nada impide que el encargado del
tratamiento ofrezca un servicio previamente definido, pero el responsable del
tratamiento debe adoptar la decisión final de aprobar el modo en que se
efectuará el tratamiento, al menos en lo relativo a los medios esenciales.”
(subrayado de la AEPD).
Como puede observarse, la esencia de la función de «encargado del tratamiento» es
que (i) sea independiente del responsable del tratamiento y (ii) que los datos
personales sean tratados en nombre y por cuenta de este.
1.5. SEUR determina los fines y medios del tratamiento:
1.5.1. SEUR decide sobre fines del tratamiento:
A la hora de examinar el caso particular resulta necesario centrar la atención en el
tratamiento de datos personales que se ha llevado a cabo al objeto de hacer posible
que el envío del paquete del que era responsable SEUR pudiera llevarse a cabo.
El tratamiento de datos personales, que permite que el envío tenga lugar, está dividido
a su vez en operaciones de tratamiento. El responsable del tratamiento puede realizar
todas las operaciones, que componen dicho tratamiento, o puede ocuparse de algunas
de dichas operaciones el encargado (en este caso, CITIBOX, con el que SEUR había
firmado un contrato de prestación de servicios de recepción de paquetería en taquillas
(...), hecho probado vigésimo primero).
El envío del paquete, que contenía una compra realizada por la reclamante en
***ENTIDAD.1 (hecho probado primero), juega un papel clave, es la razón de ser del
tratamiento de datos personales, al tiempo que, sin dicho tratamiento de datos, el
envío no habría podido llevarse a cabo. Ambos (envío y tratamiento de datos
personales) van desarrollándose de forma paralela (a medida que el envío progresa,
se van tratando datos de carácter personal, incluso, puede haber momentos en los
que el tratamiento de datos sea previo y permita que el envío del paquete pueda
llevarse a cabo).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
45/78
SEUR era el responsable del envío y debía entregar el paquete a la reclamante (la
finalidad del tratamiento es para SEUR). El lugar de la entrega, que figuraba en el
pedido, era el domicilio de la reclamante (hecho probado tercero). SEUR recoge el
paquete y es responsable de transportarlo hasta la entrega en su destino (hecho
probado segundo).
A medida que el envío progresa, SEUR va realizando distintas operaciones de
tratamiento.
Si en esta entrega se hubiera seguido el protocolo interno definido por SEUR, el
repartidor de SEUR habría entregado el paquete en el domicilio de la reclamante (que
se encontraba en su domicilio cuando el repartidor de SEUR llegó a su urbanización
con el paquete).
Sin embargo, el repartidor de SEUR no siguió el protocolo interno de SEUR. Utilizando
la (…), facilitó a dicha empresa una serie de datos personales relativos a la reclamante
(más de los que debería haber facilitado, (…).
A partir de ese momento, CITIBOX, encargado del tratamiento de SEUR, comenzó a
tratar los datos de la reclamante y a realizar determinadas operaciones de tratamiento.
Los datos personales de la misma quedaron registrados en el sistema de CITIBOX
(operación de tratamiento realizada por CITIBOX). CITIBOX le envió un SMS para
indicarle que podía recoger el paquete que estaba esperando de SEUR (hecho
probado sexto), que se encontraba en los buzones CITIBOX instalados en su
comunidad de vecinos (nueva operación de tratamiento llevada a cabo por CITIBOX).
Como puede observarse, las operaciones de tratamiento que realiza CITIBOX van
encaminadas a una finalidad concreta (entrega del paquete de SEUR), lo que refleja
que SEUR es responsable del tratamiento y decide sobre los fines del tratamiento.
De forma paralela, SEUR hacía seguimiento del envío, lo que implicaba el tratamiento
de datos de carácter personal. Había asignado un (…) determinado al envío (dato de
carácter personal), (…) y podía realizar consultas para el seguimiento del mismo en el
(…) de CITIBOX. Es decir, SEUR continúa realizando operaciones de tratamiento de
datos para el seguimiento del proceso de entrega del paquete, que no concluye hasta
que se produzca la entrega del paquete a su destinataria (en este caso, la
reclamante).
En el caso examinado, el paquete fue entregado a la reclamante. Supongamos ahora
que no hubiera sido así. Según se indica en el Anexo al contrato de fecha 12 de mayo
de 2017, CITIBOX realizaría un seguimiento del envío. (…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
46/78
En conclusión, el tratamiento de datos personales está vinculado a un envió de un
paquete de cuya entrega era responsable SEUR (hecho probado segundo). CITIBOX
generó unas operaciones de tratamiento concretas. Paralelamente SEUR efectuaba
un seguimiento de dicha entrega, con las operaciones de tratamiento de datos que ello
comportaba.
Como puede observarse el tratamiento, del que es responsable SEUR es un todo. No
siendo posible desgajar las operaciones de tratamiento concretas que realiza
CITIBOX, que no tienen entidad por sí mismas. Únicamente tienen sentido en el marco
del tratamiento considerado en su conjunto, todo ello vinculado a permitir que un
paquete del que era responsable SEUR fuera entregado.
1.5.2. SEUR decide sobre los medios del tratamiento
Tal y como se ha destacado en el apartado anterior, la finalidad (entrega de envíos de
paquetería de los que SEUR es responsable) es de y para SEUR. SEUR dispone de
varias opciones. A modo de ejemplo, SEUR:
Podía realizar la entrega del paquete por sus propios medios (utilizando sus
medios de transporte y un repartidor de SEUR, que efectuase la entrega en el
domicilio del destinatario (en este caso, en el domicilio de la reclamante).
Podía utilizar el servicio SEUR pickup, tal y como refleja la “Diligencia SEUR
pickup”.
Podía utilizar las taquillas (...) de CITIBOX (hecho probado vigésimo segundo),
empresa con la que había firmado el contrato de 12 de mayo de 2017 para la
prestación de servicios de recepción de paquetería en taquillas (...).
La cláusula quinta del contrato de fecha 12 de mayo de 2017, celebrado entre
ambas empresas, indica la remuneración que SEUR abona a CITIBOX por
cada bulto, de cuyo reparto es responsable, que introduzca en las taquillas de
CITIBOX (hecho probado decimocuarto).
En este caso, SEUR (responsable del tratamiento) decidió contratar con una empresa
externa (CITIBOX) el servicio de recepción de paquetería en taquillas (...), hecho
probado vigésimo primero (definición de los medios esenciales del tratamiento). De tal
manera que, en los envíos de paquetes de los que era responsable, tenía la
posibilidad de utilizar las taquillas (...) que CITIBOX tenía instaladas en comunidades
de propietarios (hecho probado vigésimo segundo).
Así se refleja en el contrato de prestación de servicios de recepción de paquetería en
taquillas (...) celebrado entre ambas empresas el 12 de mayo de 2017, en el que se
indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
47/78
I.- (…).
(…)
(…).
(…).
(…).
(…)
(…).”
“(…).
(…).
(…)”
“(…).”
“(…)”.
Asimismo, SEUR, en calidad de responsable del tratamiento, decidió que las entregas
de sus paquetes en las taquillas de CITIBOX las llevasen a cabo sus (…). Tal y como
refleja el procedimiento interno “DOCUMENTO.1” (aportado por SEUR, en su escrito
de 20 de junio de 2025, en fase de práctica de prueba) y el hecho probado
quincuagésimo.
Por otra parte, SEUR como responsable del tratamiento impartió instrucciones
relacionadas con el tratamiento de datos de carácter personal a su encargado, tal y
como refleja el correo electrónico enviado por un empleado de SEUR a CITIBOX
(aportado en fase de práctica de prueba por SEUR), en el que se indica:
El correo (hecho probado trigésimo sexto) indica:
“(…),
(…):
(…).
(…).
(...).
(…),” (el subrayado es nuestro)
Como puede observarse, SEUR, responsable del tratamiento, adopta decisiones sobre
el tratamiento de datos personales, que comunica a su encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
48/78
1.6. CITIBOX es encargado del tratamiento:
CITIBOX cumple las dos condiciones anteriormente reflejadas (es independiente del
responsable del tratamiento y trata los datos personales por cuenta de dicho
responsable)
Por una parte, CITIBOX es un ente independiente de SEUR (responsable del
tratamiento).
Por otra, CITIBOX trata los datos de clientes de SEUR con el fin de entregar los envíos
de SEUR destinados a los mismos, utilizando las taquillas (...) de CITIBOX.
Los tratamientos de datos personales de los clientes de SEUR a los que van
destinados dichos envíos, los realiza CITIBOX con la finalidad de hacer posible que
dichas entregas de paquetería encomendadas a SEUR se lleven a cabo.
A modo de ejemplo, el contrato celebrado entre ambas empresas el 12 de mayo de
2017 prevé:
“ (…).
También sirve como ejemplo el escrito de CITIBOX de fecha 29 de febrero de 2024,
elaborado en respuesta al primer requerimiento de información del Inspector. En el que
se indica:
“Como expusimos en su momento, (…)”.
“TERCERA. Información de protección de datos facilitada a los destinatarios no
registrados
(…):
“(…)”
Como puede observarse, los tratamientos de datos personales de personas a las que
van destinadas los envíos de SEUR, los realiza CITIBOX con la finalidad de hacer
posible que dichas entregas de paquetería se lleven a cabo. Esta circunstancia refleja,
que CITIBOX está sirviendo a los intereses de SEUR.
Lo expuesto hasta el momento, pone de manifiesto que SEUR ha considerado que el
servicio de prestación de servicios de recepción de paquetería en taquillas (...) o
buzones, prestado por CITIBOX, resulta el medio idóneo para llevar a cabo la entrega
de paquetes de SEUR, con las operaciones de tratamiento de datos personales, que
dicha entrega lleva aparejados.
1.7 Conclusión:
En conclusión, en el caso examinado en este procedimiento sancionador SEUR era
responsable del tratamiento y CITIBOX su encargado.
III Alegaciones al acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
49/78
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
1.Respuesta a las dos primeras alegaciones relativas a la nulidad de las actuaciones:
1.1. Primer motivo por el que SEUR alega nulidad de las actuaciones:
SEUR solicita que se declare la nulidad de pleno derecho del acuerdo de inicio por
inobservancia del procedimiento legalmente establecido, al considerar vulnerado el
artículo 118 de la LPACAP.
El 26 de febrero de 2023 se presentó ante la AEPD una reclamación que afectaba a
SEUR y CITIBOX. Tras su análisis, la Agencia acordó la no admisión a trámite de la
misma.
Posteriormente, la reclamante interpuso un recurso de reposición. Se remitió dicho
recurso a CITIBOX, que pudo manifestar lo que a su interés convino. Tras dictarse
resolución estimando el recurso, siguieron nuevas actuaciones por la AEPD contra
SEUR.
SEUR considera que no tuvo posibilidad de participar en el proceso en los mismos
términos que CITIBOX, afirma que era clara interesada en el expediente, si bien no se
le dio acceso ni audiencia y fue ignorada, en contra de lo dispuesto en el artículo 118
de la LPACAP.
La parte reclamada afirma que se concluyó el procedimiento a sus espaldas, lo que le
ha causado una situación de indefensión tan evidente como irreparable, por tratarse
de un expediente cerrado.
1.2. Segundo motivo por el que SEUR alega nulidad de las actuaciones:
SEUR considera que el acuerdo de inicio refleja que se habrían superado los plazos
previstos en nuestra legislación administrativa para sustentar la actividad seguida por
la AEPD, en lo relativo a la iniciación de las actuaciones previas de investigación, toda
vez que debe considerarse la doctrina del Tribunal Supremo relativa a negar la
condición de legitimado al mero denunciante de un procedimiento administrativo
sancionador (STS de 16 de diciembre de 2008).
En relación con la resolución del recurso de reposición, se habría superado el plazo
del mes para dictar y notificar la resolución, así como el plazo de seis meses al haber
dictado resolución el 7 de diciembre de 2023.
En opinión de SEUR es una actuación fuera de plazo de la AEPD, lo que determina la
nulidad de lo actuado.
En contestación a las dichas alegaciones (1.1 y 1.2), en las que SEUR señala dos
supuestos motivos de nulidad que afectarían al procedimiento sancionador, en primer
lugar, no cabría entender que se ha producido dicha nulidad del procedimiento, dado
que el acuerdo de inicio es el que determina el arranque del mismo y los supuestos
vicios formales se habrían producido con carácter previo a dicho acuerdo de inicio.
Asimismo, en cuanto al primer motivo de supuesta nulidad (supuesta inobservancia del
procedimiento establecido al haber dado audiencia a CITIBOX, en relación con el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
50/78
recurso de reposición interpuesto por la reclamante y no a SEUR), cabe señalar lo
siguiente:
La “Diligencia EXP(...)” muestra que la reclamación formulada por la Sra. A.A.A. (la
reclamante) fue traslada por la AEPD, tanto a SEUR como a CITIBOX.
Ambas empresas formularon las alegaciones que estimaron convenientes. En ambos
casos se acordó la inadmisión a trámite de la reclamación.
La reclamante interpuso recurso de reposición contra la inadmisión a trámite de la
reclamación del expediente de CITIBOX, dándose audiencia a dicha empresa, con
carácter previo a la resolución del mencionado recurso.
Alega SEUR una supuesta indefensión. En relación con dicha alegación, resulta
necesario traer a colación la Sentencia de la Audiencia Nacional de su Sala de lo
Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la
cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006,
Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional,
para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso
que no se trate de meras irregularidades procedimentales, sino de defectos que
causen una situación de indefensión de carácter material, no meramente formal, esto
es, que las mismas hayan originado al recurrente un menoscabo real de su derecho
de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio,
212/1994, de 13 de julio y 78/1999, de 26 de abril)”.
Es decir, es necesario que el interesado se vea, en efecto, en una situación de
indefensión, siendo preciso que la indefensión sea material y no meramente formal
(Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995,
126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya
causado un perjuicio real y efectivo para el demandado en sus posibilidades de
defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y
105/1995, entre otras). No siendo este el caso de SEUR, que en relación con el
acuerdo de inicio ha podido alegar lo que ha su derecho ha convenido.
Asimismo, en cuanto al segundo supuesto motivo de nulidad, SEUR mezcla varios
elementos (la falta de legitimación en la vía contencioso-administrativa de la
reclamante, plazo en el que se produce el silencio administrativo negativo una vez que
se ha planteado un recurso de reposición ante la Administración y el plazo máximo que
tiene la Administración para resolver y dictar una resolución).
El 7 de junio de 2023 tuvo entrada en la AEPD el recurso de reposición interpuesto por
la reclamante. Posteriormente, el 7 de diciembre de 2023 la Directora de la Agencia
dictó la resolución por la que se estimaba dicho recurso de reposición (habían
transcurrido seis meses y un día desde la presentación del recurso de reposición).
En relación con esta cuestión, la resolución estimatoria del recurso de reposición
indicaba:
“De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del
silencio administrativo en los procedimientos de impugnación de actos y
disposiciones es desestimatorio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
51/78
Con todo, y a pesar del tiempo transcurrido, la AEPD está obligada a dictar
resolución expresa y a notificarla en todos los procedimientos cualquiera que
sea su forma de iniciación, según dispone el artículo 21.1 de la citada Ley.
En los casos de desestimación por silencio administrativo, la resolución expresa
posterior al vencimiento del plazo se adoptará por la Administración sin
vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la
misma ley.” (subrayado de la AEPD).
La AEPD, en cumplimiento de la obligación legal prevista en el artículo 21.1 de la
LPACAP, dictó resolución expresa estimatoria y la notificó a la reclamante. Dicha
actuación, dictada en cumplimiento de lo previsto en la LPACAP, no es motivo de
nulidad del procedimiento sancionador.
Por otra parte, la Sentencia del Tribunal Supremo mencionada por SEUR hace
referencia a la falta de legitimación del denunciante, cuando el mismo plantea un
recurso en vía contencioso-administrativa. Dicha sentencia no resulta de aplicación en
este caso, no nos encontramos en la vía contencioso-administrativa y la reclamante no
ha interpuesto un recurso contencioso-administrativo en dicha vía, que deba ser
resuelto.
En conclusión, no procede aceptar ninguno de los dos supuestos motivos de nulidad
del procedimiento sancionador alegados.
2. Contestación a la alegación relativa a una posible vulneración del principio de
seguridad jurídica (SEUR considera que el acuerdo de inicio contradice la previa
actuación de la AEPD):
SEUR destaca que la reclamación presentada fue analizada por la AEPD, inadmitida y
archivada el 23 de mayo de 2023. Más de un año más tarde, la AEPD cambió de
opinión, rectificó y entendió infringida la normativa en materia de protección de datos
personales.
La parte reclamada señala que la AEPD analizó el hecho reclamado, transmitiendo a
SEUR una declaración de corrección, sin más advertencias que las usuales.
A continuación, SEUR hace referencia al principio de confianza legítima e indica que
para que la AEPD encontrara justificado su cambio de criterio necesitaba haber
recibido noticias o hechos nuevos, cosa que no se ha producido. Asimismo, debería
comunicar a SEUR las razones que condujeron al cambio de criterio a fin de posibilitar
el control de legalidad, cosa que tampoco ha hecho.
Según la parte reclamada, si la AEPD altera su criterio sin hechos ni noticias nuevas,
está implícitamente haciendo una declaración de voluntad de error propio, por lo que
debería explicar las causas de la falta de diligencia. Atender a las consecuencias que
su propia conducta generó, puesto que creó unas condiciones de “todo en orden” a las
que SEUR se atuvo, provocando, cuando menos una situación de concurrencia de
culpas. En opinión de SEUR la Agencia está manifestando que comprometió, por su
propia conducta, la salvaguarda de los derechos fundamentales de los afectados al no
haber adoptado la diligencia que le correspondía.
La parte reclamada concluye que todo ello lleva a que el procedimiento sancionador
deba ser resuelto sin sanción alguna para dicha empresa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
52/78
Al objeto de dar respuesta a dicha alegación (alegación 2), cabe destacar que cuando
la AEDP comunicó a SEUR por escrito de fecha 22 de mayo de 2023 la inadmisión de
la reclamación presentada por la Sra. A.A.A., ya se advertía claramente:
“Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y
correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al
tratamiento de datos referido en la reclamación.” (el subrayado es nuestro)
La resolución de Directora de la AEPD de fecha 7 de diciembre de 2023 por la que se
estimó el recurso de reposición interpuesto por la reclamante, indica:
“De este modo, en el presente caso, procede la estimación del recurso
interpuesto con el fin de realizar actuaciones previas de investigación conforme
a lo dispuesto en el artículo 67 de la LOPDGDD y valorar el posible
incumplimiento de la normativa en materia de protección de datos.”
La interposición del recurso de reposición por parte de la reclamante hizo que la AEPD
volviera a examinar lo sucedido, llegando a la conclusión de que eran necesarias unas
actuaciones previas de investigación, que examinaran el caso particular y
proporcionaran más información sobre lo sucedido.
Dichas actuaciones previas de investigación se llevaron a cabo. En el marco de las
mismas, se formularon requerimientos de información tanto a CITIBOX como a SEUR.
La información obtenida, permitió apreciar a la AEPD que existían evidencias de varios
presuntos incumplimientos de la normativa de protección de datos de carácter
personal, lo que dio lugar a la incoación de este procedimiento sancionador.
La razón de ser de las actuaciones previas de investigación es proporcionar a la
AEPD, en su papel de garante del respeto de la normativa vigente en materia de
protección de datos, una información más detallada sobre qué ha sucedido en el caso
particular, con el fin de que la Agencia pueda decidir, contando con más con más
elementos de juicio, si, en su caso, procede incoar un procedimiento sancionador. En
el caso particular examinado, tras realizar las actuaciones previas de investigación, la
AEPD decidió incoar el presente procedimiento sancionador.
La AEPD adopta decisiones en base a la información de la que dispone.
Evidentemente no disponía del mismo el grado de conocimiento de lo ocurrido en el
caso particular al recibir la reclamación, que tras haber realizado las actuaciones
previas de investigación.
3. Respuesta a la alegación relativa a la condición legal de la actuación de SEUR
SEUR, en su alegación 3, señala que el acuerdo de inicio afirma que SEUR era
responsable del tratamiento. SEUR considera que en el mismo se requería una
apreciación mucho más contrastada, analizando todas las circunstancias del caso, no
una mera selección de las mismas.
A continuación, SEUR expone circunstancias relevantes que, en su opinión, concurren
y deberían ser tenidas en cuenta por la AEPD:
1.Tanto SEUR como CITIBOX cuentan con profesionales especializados en protección
de datos y con experiencia acreditada en el sector.
2. La legislación vigente establece únicamente dos esquemas: (R-E: Responsable-
Encargado) y (R-R: Responsable-Responsable). Dicha legislación no atribuye de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
53/78
manera individualizada un inventario definido los roles de responsable y encargado.
Tampoco impone un procedimiento administrativo previo a la actividad en el que la
Administración valore el caso e indique qué esquema concurre (R-E o R-R).
SEUR considera que el marco normativo no impone reglas, sino parámetros de
actuación por parte de los obligados a ello que deben efectuar una serie de
ponderaciones de diversos aspectos someramente señalados en la ley.
En opinión de la parte reclamada, para que quepa sancionar a SEUR, la actividad
valorativa desplegada por la misma ha de subsumirse en uno de los siguientes casos:
Ser inexistente (no se ha realizado lo que se debía).
Ser irracional (se pretende justificar la verificación realizada mediante
razonamientos incorrectos o irracionales).
Ser fraudulenta (se aparenta haber realizado lo que se debía).
En opinión de SEUR no concurren ninguno de estos tres supuestos.
SEUR señala que CITIBOX y ella llevaron a cabo una ponderación real de los
parámetros legales en la que tuvieron en cuenta el RGPD, la LOPGDD, las Directrices
7/2020 del CEPD y la legislación particular que les era aplicable (Ley 43/2010, de 30
de diciembre, del servicio postal universal y el Real Decreto 437/2024, de 30 de abril,
por el que se aprueba el Reglamento de los servicios postales).
3. El informe del Gabinete Jurídico de la AEPD nº0331/2017 señala:
«En definitiva, la ley parece establecer unas obligaciones específicas en materia
de protección de datos al operador postal derivadas de los derechos
fundamentales en liza, que no casan bien con la figura del encargado del
tratamiento.
CITIBOX se encuentra registrada como operador postal en el registro del Ministerio de
Transportes y Movilidad Sostenible (SEUR aporta un enlace en el apartado relativo en
el apartado de proposición de prueba).
La parte reclamada señala que la AEPD no puede cuestionar la ponderación realizada
cuando sigue una valoración jurídica previa del Gabinete Jurídico de propia la Agencia.
En contestación a dicha alegación (alegación 3), SEUR en sus alegaciones señala que
únicamente existen dos posibles esquemas: responsable-responsable (R-R) y
responsable-encargado (R-E). También cabe la posibilidad de que haya dos
corresponsables del tratamiento.
El RGPD define los conceptos de responsable del tratamiento y encargado y contiene
numerosas previsiones normativas que afectan a los mismos. El Comité Europeo de
Protección de Datos ha aprobado las Directrices 07/2020 sobre los conceptos de
«responsable del tratamiento» y «encargado del tratamiento» en el RGPD con el fin
ofrecer orientaciones sobre los conceptos de responsable del tratamiento, encargado y
corresponsable.
Corresponde a las empresas de acuerdo con lo dispuesto en el RGPD y las Directrices
07/2020 determinar, en relación con un tratamiento de datos de carácter personal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
54/78
concreto que pretenden llevar a cabo, si actúan como responsables del tratamiento,
como encargadas o, en su caso, como corresponsables.
Son ellas las que conocen su propia organización, el tratamiento de datos personales
que pretenden llevar a cabo, la finalidad del mismo y las operaciones de tratamiento
que lo integran.
En el fundamento de derecho II se han expuesto los motivos por los que cabe
considerar a SEUR responsable del tratamiento y a CITIBOX su encargado. Es decir,
SEUR y CITIBOX no son responsables independientes, sino que SEUR es
responsable del tratamiento y CITIBOX su encargado.
En este caso particular, tres de las infracciones imputadas en el acuerdo de inicio
(posible vulneración de lo dispuesto en los artículos 28, 6.1 y 32 del RGPD) están
vinculadas al hecho de que ambas empresas, SEUR y CITIBOX, consideraron ser
responsables del tratamiento independientes y así lo plasmaron en el anexo del
contrato de prestación de servicios celebrado en mayo de 2017.
A la hora de definir el papel que desempeñaba cada una de dichas empresas, en
relación con el tratamiento de datos personales relativo a los envíos postales de los
que era responsable SEUR, esta última empresa otorgó una gran relevancia a la
condición de operador postal que tenía CITIBOX. En fase de prueba se ha constatado
que CITIBOX tiene dicha condición de operador postal y figura inscrita en el listado de
operadores postales inscritos en el Registro general de empresas prestadoras de
servicios postales como operador tipo A (hecho probado cuadragésimo cuarto).
Asimismo, SEUR ha otorgado un papel fundamental al contenido del informe del
Gabinete Jurídico de la AEPD nº 03331/2017 a la hora de considerar a CITIBOX
responsable del tratamiento independiente. En base un párrafo extraído de dicho
informe, reproducido en su escrito de alegaciones, SEUR había interpretado que cabía
considerar responsable del tratamiento a todas las empresas que fueran operadores
postales, como es el caso de CITIBOX. No se conoce una resolución previa en la que
la AEPD haya examinado la relación entre una empresa de transporte y una empresa
que presta el servicio de depósito de paquetes en buzones o taquillas (...), teniendo
esta segunda empresa la condición de operador postal, a fin de determinar si ambos
son responsables del tratamiento o responsable y encargado.
Las alegaciones formuladas al acuerdo de inicio de SEUR contienen continuas
referencias al ámbito postal, reflejando que SEUR, que opera en el sector postal, ha
analizado las figuras de responsable y encargado del tratamiento, relativas al
tratamiento de datos personales relacionado con los envíos postales de los que era
responsable, centrando su atención fundamentalmente en el contenido de la normativa
postal y características propias del sector postal.
CITIBOX es un operador postal, si bien, el hecho de que sea un operador postal no
implica que, de forma automática y en todos los casos, tenga la condición de
responsable del tratamiento.
El informe del Gabinete Jurídico de la AEPD nº 0331/2017 mencionado por SEUR es
previo a la aplicación del RGPD (25 de mayo de 2018). Posteriormente, el Informe del
Gabinete Jurídico de la AEPD 0064/2020 analiza el papel de Correos, que también es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
55/78
operador postal, indicando que en algunos supuestos tiene la condición de
responsable y en otros actúa como encargado del tratamiento.
Tal y como se ha destacado en el fundamento de derecho II, los conceptos de
encargado y responsables son conceptos funcionales, resultando imprescindible
atender a las circunstancias del caso concreto (análisis caso a caso) a fin de
determinar si se actúa como responsable del tratamiento o como encargado.
De hecho, el referido informe del Gabinete Jurídico de la Agencia (nº0064/2020)
señala:
“(…) la necesidad de una evaluación fáctica también significa que el papel de un
responsable del tratamiento no se deriva de la naturaleza de una entidad que
está procesando datos sino de sus actividades concretas en un contexto
específico, por lo que la misma entidad puede actuar al mismo tiempo como
responsable del tratamiento para determinadas operaciones de tratamiento y
como encargado para otras, y la calificación como responsable o encargado
debe evaluarse con respecto a cada actividad específica de procesamiento de
datos.” (el subrayado es nuestro).
Por tanto, el hecho de que una empresa sea operador postal no implica de forma
necesaria y automática que tenga la condición de responsable del tratamiento, será
necesario analizar el caso concreto al objeto de determinar si en el tratamiento
específico analizado y en las operaciones de tratamiento que lo integran, actúa como
responsable del tratamiento o como encargado.
A lo ya expuesto cabe añadir, que tal y como se ha indicado en el fundamento de
derecho II, según establecen las Directrices 07/2020 el concepto de responsable del
tratamiento “debe interpretarse fundamentalmente con arreglo al Derecho de la Unión
en materia de protección de datos”.
Es decir, si una empresa tiene dudas al determinar si es responsable o encargada del
tratamiento, habrá de analizar el tratamiento de datos personales concreto que
pretende llevar a cabo, la finalidad del mismo y valorar, a la vista fundamentalmente de
la normativa vigente en materia de protección de datos personales, si actúa como
responsable o como encargado del tratamiento.
Tal y como se ha destacado, las alegaciones presentadas por SEUR reflejan que, a la
hora de efectuar dicho análisis, SEUR ha prestado una gran atención a
particularidades propias de la normativa postal.
Como se ha indicado anteriormente, SEUR y CITIBOX son operadores postales y han
de respetar la normativa postal, pero si dichas empresas tratan datos de carácter
personales, en lo que a dichos tratamientos de datos personales se refiere, habrán de
respetar la normativa vigente en materia de datos de carácter personal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
56/78
Cabe recordar que la normativa en materia de protección de datos de carácter
personal es una normativa transversal, que han de respetar todos los responsables del
tratamiento con independencia de que sean entidades bancarias, compañías de
seguros, hospitales o empresas de paquetería, etc. Dichas empresas habrán de
cumplir las obligaciones derivadas de su normativa sectorial, sin olvidar que, si llevan a
cabo tratamientos de carácter personal y actúan como responsables del tratamiento,
han de garantizar, de forma paralela, el pleno respeto de lo previsto en el RGPD y en
la LOPGDD.
SEUR y CITIBOX conforme a la valoración que realizaron optaron por el modelo
responsable-responsable. Es decir, consideraron ser responsables independientes
sucesivos. Dicho modelo no era adecuado, tal y como refleja el fundamento de
derecho II, pero reconoce que ambas entidades habían realizado un esfuerzo por
definir el papel que desempeñaban.
Las circunstancias expuestas llevan a considerar que el caso analizado habría de ser
objeto de una nueva valoración.
Infracción del artículo 28 del RGPD
El grado de culpabilidad de SEUR se vería atenuado. SEUR trató de definir el papel
que desempeñaba, aunque no lo hizo de forma adecuada, creyó que el modelo
responsable-responsable era el aplicable en su caso.
A la vista de dichas circunstancias, se propone mantener la infracción del artículo 28
del RGPD reduciendo el importe de la multa relativa. Asimismo, se propone como
medida, que acredite la celebración de un contrato de encargo de tratamiento con
CITIBOX.
Infracción del artículo 6.1 del RGPD
SEUR, en su condición de responsable del tratamiento, comunicaba a CITIBOX, el
dato personal del número de teléfono del interesado (destinatario del paquete) con el
fin de permitir que el envío del paquete, del que era responsable SEUR, pudiera
llevarse a cabo. No se producía una comunicación de datos personales entre
responsables independientes, sino una comunicación de datos entre un responsable y
su encargado.
Se propone archivar la infracción correspondiente al artículo 6.1 del RGPD. La
celebración de un contrato de encargo de tratamiento entre SEUR y CITIBOX servirá
para definir marco adecuado y respetuoso con el RGPD para la comunicación de
datos personales entre dichas empresas.
Infracción del artículo 32 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
57/78
Esta infracción estaba relacionada con la pérdida de control de los datos personales
por parte de SEUR, al utilizar la aplicación de otro responsable.
Tal y como se ha indicado, SEUR es el responsable del tratamiento y CITIBOX su
encargado. SEUR decidió que sus repartidores utilizaran la aplicación de CITIBOX,
que, con independencia de lo que indique el contrato de prestación de servicios
celebrado entre ellos, es encargado del tratamiento. Es decir, en caso de necesidad,
su encargado podría facilitarle dichos datos personales.
Posteriormente, SEUR decidió que sus repartidores únicamente pudieran comunicar
datos personales a CITIBOX utilizando la aplicación de SEUR ((…))
También hay que considerar que, de esta forma, SEUR garantizaba un control más
directo sobre la forma en la que se trataban los datos de carácter personal de los que
es responsable, al tiempo que podía verificar en cualquier momento y por sus propios
medios que sus repartidores cumplían adecuadamente el procedimiento interno que
había establecido, reflejado en el documento dirigido a sus repartidores titulado
“DOCUMENTO.1”, que contiene las instrucciones para entregar paquetes en los
lockers de CITIBOX, aportado por SEUR en fase de práctica de prueba.
Por los motivos expuestos, no se puede considerar que exista una falta de control de
los datos personales y se propone el archivo de la infracción relativa al artículo 32 del
RGPD.
4. Respuesta a la alegación de SEUR en la que afirma que el acuerdo de inicio
confunde tres pares de conceptos:
En opinión de SEUR, el acuerdo de inicio confunde los siguientes conceptos
1.Interés de la colaboración e interés de la actividad.
SEUR destaca que en el esquema R-E existe una relación bilateral y jerarquizada,
mientras que el esquema R-R apunta a una colaboración definida, que no excluye
otros vínculos con terceros por cualquiera de las partes.
En su opinión, no cabe entender la relación entre SEUR y CITIBOX sin aclarar el papel
que corresponde a la comunidad de vecinos de la reclamante.
SEUR afirma que CITIBOX actuaba sirviendo a los intereses de dicha comunidad con
la firma de un acuerdo, que contiene una serie de obligaciones y responsabilidades
para CITIBOX, del que SEUR no es parte.
La parte reclamada destaca que todos los vecinos contaban con información sobrada
antes de prestarse al acuerdo en junta y que dicho acuerdo alcanzaba a todos los
vecinos, tanto los que habían votado a favor como no lo habían impugnado ante la
jurisdicción.
Asimismo, señala que CITIBOX realizó tratamientos de datos personales, con base al
referido acuerdo, que, en ningún caso, van a corresponder a SEUR, que no formaba
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
58/78
parte de dicha relación. Por el contrario, sí correspondían a CITIBOX, que era quien
determinaba los fines y los medios de esos tratamientos.
2. Tipo de servicio que ofrecen SEUR y CITIBOX en este caso concreto:
SEUR se ocupa de la entrega como operador postal y CITIBOX de la recepción inicial,
también como operador postal, actuando en condición de depositario en servicio de los
vecinos de la comunidad de propietarios.
SEUR destaca que “entrega” y “recepción” son dos conceptos jurídicos diferenciados
que atienden a ámbitos diversos de la realidad (distinta definición en el diccionario
panhispánico de la RAE). La entrega es un acto jurídico mientras que la recepción es
un proceso, que admite tanto una recepción inicial, como otra definitiva, marcada por
la aceptación (por ejemplo: derecho de desistimiento de los consumidores).
La parte reclamada defiende que entrega y recepción son dos momentos distinguibles,
cronológicamente consecutivos, no identificables ni susceptibles de subsunción
automática del segundo en el primero. De lo cual, en su opinión, se infiere que se trata
de tratamientos totalmente diferenciados.
Siguiendo este razonamiento, SEUR señala que dicha empresa cumple con la entrega
mediante depósito en el buzón, momento a partir del cual comenzaría el tratamiento
derivado de la recepción, bajo la entera responsabilidad de CITIBOX, que toma la
totalidad de decisiones sobre los fines y los medios del tratamiento.
El razonamiento concluye afirmando que CITIBOX es responsable del tratamiento y no
SEUR, dado que, en otro caso, estaría invadiendo un campo que se halla más allá de
sus obligaciones.
3. Diferenciación entre entrega “en el domicilio” y “notificación personal”.
El artículo 24 de la Ley 43/2010, de 30 de diciembre, señala que el operador postal
deberá realizar la entrega de los envíos en la dirección postal que figure en la cubierta.
Asimismo, señala que los envíos, según el tipo de que se trate, se entregarán al
destinatario o a la persona que este autorice o serán depositados en los casilleros
postales o en los buzones domiciliarios, individuales o colectivos.
SEUR indica que el operador postal cumple, tratándose de paquetería ordinaria,
depositando el paquete en los buzones.
Asimismo, indica que el motivo por el que los buzones de CITIBOX no figuran en el
listado de puntos de la red SEUR (tal y como refleja el informe de actuaciones previas
de investigación) es porque los puntos referenciados en dicho mapa son centros de
acceso público a los que cualquier usuario de SEUR puede acceder, mientras que los
buzones de CITIBOX son exclusivos de la comunidad de vecinos donde están
instalados (se encuentran dentro de una propiedad privada de acceso restringido).
La parte reclamada destaca que los miembros de la comunidad de vecinos ya conocen
la existencia de dichos buzones y su publicación podría generar confusión en el resto
de los usuarios.
Frente a ello se encontrarían las exigencias de entrega personal reservadas para
envíos especiales (por ejemplo, envíos certificados), señalando que este no era el
caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
59/78
En contestación a la alegación 4, la misma pone de manifiesto, una vez más, SEUR ha
otorgado una gran importancia a aspectos particulares y característicos del sector
postal a la hora de definir el modelo aplicable al tratamiento de datos personales de los
envíos postales de los que era responsable.
Resulta necesario aclarar que el contenido del expediente evidencia que la comunidad
de vecinos de la reclamante no trata los datos personales de los envíos postales de
los que es responsable SEUR.
En fase de prueba, dicha comunidad ha aclarado que el uso de tales buzones de
CITIBOX es una posibilidad a la que pueden optar el conjunto de vecinos de dicha
comunidad, no suponiendo, en ningún caso, una obligación exigida.
En sus alegaciones SEUR señala que cumple con la entrega mediante el depósito en
el buzón, momento en el cual comienza el tratamiento derivado de la recepción, bajo la
entera responsabilidad de CITIBOX.
El fundamento de derecho II refleja que cuando el repartidor de SEUR comunica a
CITIBOX el número de teléfono del destinatario del paquete depositado, CITIBOX
comienza a realizar operaciones de tratamiento. SEUR también realiza operaciones de
tratamiento. (…) y puede realizar operaciones de tratamiento relativas al seguimiento
del depósito y recogida del paquete.
En la diferenciación entre entrega “en el domicilio” y “notificación personal” SEUR
vuelve a hacer referencia a conceptos propios de la normativa postal, que no resultan
determinantes a la hora de definir si se actúa como responsable o encargado del
tratamiento, como el hecho de que sea una entrega ordinaria y no una notificación
personal.
Los buzones de CITIBOX no son buzones individuales, las taquillas (...) de CITIBOX
no están reservadas a un vecino en concreto, sino que se utilizan indistintamente por
las distintas empresas de transporte para la entrega de paquetes en función de su
disponibilidad (es decir, de si dichas taquillas están ocupadas o vacías) y del tamaño
del paquete.
Si los buzones de CITIBOX forman parte red de puntos de entrega de SEUR, los
destinatarios de los paquetes (interesados cuyos datos personales trata SEUR)
deberían conocer dicha circunstancia. La actuación de SEUR, en el modelo definido
por el mismo, resulta claramente mejorable desde el punto de vista de transparencia
de cara a los interesados, que han de ser conscientes de que la entrega del paquete
de la que es responsable SEUR puede implicar que, en su caso, CITIBOX llegue a
tratar sus datos de carácter personal.
5. Respuesta a las alegaciones relativas a la supuesta infracción del artículo 5.1 del
RPGD.
SEUR considera la argumentación del acuerdo de inicio inadecuada y totalmente
desproporcionada al basarse en extrapolaciones indebidas.
Ha quedado acreditado que el repartidor de SEUR, vulnerando el procedimiento
establecido por dicha empresa comunicó a CITIBOX los datos personales del nombre
y apellidos de la reclamante cuando no debería haberlo hecho.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
60/78
En contestación a dicha alegación (alegación 5), se ha infringido lo dispuesto en el
artículo 5.1 f) del RGPD, si bien, teniendo en cuenta que se trata de una sola afectada,
que se han revelado únicamente el nombre y apellidos de la misma y que dichos datos
personales actualmente se encuentran bloqueados, se ha realizado una nueva
valoración y se propone una rebaja en el importe de la sanción a aplicar en relación
con la infracción del artículo 5.1 f) del RGPD.
6. Respuesta a la alegación relativa a supuesta vulneración del principio de
culpabilidad:
SEUR señala que se trata de un caso difícil, que incluso la administración ha tratado
con ambivalencia. Considera que, dado que no ha habido valoración normativa
inexistente, irracional o fraudulenta, no ha lugar a apreciar una subjetividad
malintencionada. En su opinión, lo único que se achaca a SEUR es no coincidir con la
última postura adoptada por la AEPD, lo que conllevaría una responsabilidad objetiva.
La AEPD propone una sanción por no haber concluido un contrato de encargo de
tratamiento. En opinión de SEUR, se impone a dicha empresa acertar con la última
posición sostenida por la AEPD, lo que le exigiría anticipar el futuro (no se evalúan los
hechos pasados, que son los únicos susceptibles de ponderación en un procedimiento
sancionador), sino que, se está imponiendo un imposible ontológico. La parte
reclamada destaca que no existe un contrato de encargo de tratamiento porque existe
un contrato de distribución firmado, considerando que ambas partes eran responsable
del tratamiento. Lo contrario sería inducir a que los administrados concluyeran
simultáneamente dos contratos para una misma relación. De tal manera, si uno no
fuera admitido, se rescatase el otro.
SEUR considera que la AEPD podría sancionar en todo caso, lo que conllevaría a una
situación de inseguridad jurídica.
En respuesta a dicha alegación (alegación 6), tal y como se ha señalado
anteriormente, se ha producido una nueva valoración de la infracción del artículo 28
del RGPD, proponiendo una rebaja del importe de la sanción.
Cabe aclarar que no se está imponiendo un imposible ontológico. Se han constatado
que SEUR no ha firmado un contrato de encargo de tratamiento con su encargado.
Por este motivo, se sanciona a dicha empresa por infringir lo dispuesto en el artículo
28 del RGPD, al tiempo que se prevén medidas con el fin de que ajuste su
comportamiento a lo dispuesto en el RGPD.
En el caso de la infracción del artículo 5.1 f) del RGPD también se ha realizado una
nueva valoración, proponiendo una rebaja en el importe de la sanción.
7. Respuesta a la supuesta vulneración de los principios de legalidad y tipicidad, así
como el derecho de defensa del administrado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
61/78
SEUR destaca que los especialistas de ambas empresas entendieron que el esquema
era R-R, firmaron un contrato y ajustaron su comportamiento a dicho esquema, siendo
esta la única conducta acontecida en la realidad.
La parte reclamada indica que el acuerdo de inicio aprecia la sanción asentándola en
la conjetura de que SEUR debería haber actuado como si fuera responsable del
tratamiento y CITIBOX como si hubiera sido el encargado.
SEUR afirma que el procedimiento abierto no se atiene a los hechos realmente
delimitados, sino que se desplaza, en las valoraciones efectuadas, hacia hipótesis que
no se corresponden con la base fáctica constitutiva del expediente, conduciendo de
este modo a unas propuestas de sanción sostenidas por meras conjeturas que,
además de irreales, socavan la capacidad de defensa de la parte puesto que, esta
puede ejercitarse contra hechos constatados pero no contra puras suposiciones.
Asimismo, señala que el acuerdo de inicio hace una interpretación en contra del
administrado sujeto al procedimiento sancionador, lo que violentaría el principio “in
dubio pro reo”, al imputar infracciones con base en lo que considera meros juicios
hipotéticos y además retroactivos.
En contestación a dicha alegación (alegación 7), se ha efectuado una nueva
valoración de las infracciones de los artículos 28 y 5.1 f) del RGPD, proponiendo una
rebaja del importe de la sanción en ambos casos.
No se comparte la afirmación de una posible vulneración de los principios de legalidad,
tipicidad y del derecho de defensa, cuando se ha respetado la normativa y, a la vista
de las alegaciones formuladas, se ha revisado el importe de las sanciones
correspondientes a las infracciones de los artículos 28 y 5.1 f) del RGPD, proponiendo
el archivo de otras las presuntas infracciones de los artículos 6.1 y 32 del RGPD).
8. Contestación a la alegación relativa a una supuesta vulneración del principio de
proporcionalidad:
SEUR considera vulnerado dicho principio dado que:
Se trata de un único caso y una única afectada.
Se verían afectados datos comunes de identidad que la ley especial postal
obliga a contener en el exterior del paquete.
Considera que el interés o ventaja económica de la supuesta infracción es
nulo.
Sería no intencional, SEUR afirma que la infracción fue cometida por un
empleado incumpliendo las instrucciones recibidas, sin que obre en SEUR la
posibilidad de impedir dichas acciones por ningún medio proporcional exigible
al responsable del tratamiento.
La confidencialidad y seguridad de la entrega estuvo en todo momento
garantizada por el depósito en un buzón con mayores garantías que los
usuales.
La afectada pertenece a una comunidad de vecinos sin que conste existencia
de impugnación por su parte.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
62/78
El empleado llevó a cabo la acción utilizando medios bajo el dominio de
CITIBOX.
SEUR señala que la AEPD determina la responsabilidad de SEUR en el
incumplimiento del artículo 32 del RGPD por no imponer las medidas de seguridad
suficientes para que el empleado no pudiera llevar a cabo la conducta que generó la
reclamación.
La parte reclamada afirma que el uso fraudulente deliberado por parte del empleado
no es un riesgo mitigable por SEUR, (…).
SEUR señala que no cabe por parte de SEUR la interposición de medidas adicionales
a las ya puestas, cualquier medida adicional quedaría fuera del ámbito de
responsabilidad de SEUR y debería ser considerada un esfuerzo desproporcionado
del responsable del tratamiento.
La parte reclamada insiste en que se trata de un hecho aislado, que el acuerdo de
inicio extrapola, partiendo de meras hipótesis y prejuicios.
SEUR considera que se está equiparando a su empresa al nivel de grandes
tecnológicas y de la gran banca, circunstancia que, de mantenerse, supondría una
superación notable de la viabilidad económica de la parte reclamada, haciéndola
inviable.
Señala que cuando la legislación habla de sanciones disuasorias está haciendo
referencia a disuadir la conducta irregular, no la actividad económica. En otro caso, se
estaría obligando al cierre de empresas, afectando así al mercado y a la competencia.
Señala que el principio de proporcionalidad presenta actualmente una doble cara,
pues mira a la coherencia interna de la valoración dentro del sistema jurídico local y al
tiempo su homologación europea. Aporta una noticia reciente relativa a una multa por
importe de 5.000.000 euros impuesta por la autoridad de control italiana a Glovo por
violar la privacidad de más de 35.000 “riders”, como consecuencia del uso de datos
biométricos y geolocalización.
En respuesta a dicha alegación (alegación 8), tampoco se habría vulnerado el principio
de proporcionalidad. El fundamento de derecho IX refleja importes de multas por la
infracción del artículo 28 del RGPD y del artículo 5.1 f) del RGPD que no cabe
considerar desproporcionados.
Tal y como destaca el informe de actuaciones previas de investigación, SEUR
GEOPOST S.L.U (SEUR) es filial de un grupo con un volumen de ventas de
604.974.774 euros y (…) empleados.
Ambas multas se encuentran comprendidas dentro de los márgenes previstos en el
artículo 83 del RGPD.
Téngase en cuenta, que en el caso de la infracción del artículo 28 del RGPD, el 2% de
604.974.774, es 12.099.495,48, euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
63/78
Asimismo, respecto de la infracción del artículo 5.1 f) del RGPD, el 4% de 604.974.774
es 24.198.990, 96 euros.
En conclusión, a la vista de las alegaciones formuladas por SEUR, se ha realizado una
nueva valoración y tras la misma se propone un importe menor de las multas relativas
a las infracciones de los artículos 28 y 5.1 f) del RGPD. Asimismo, se propone el
archivo de las infracciones de los artículos 6.1 y 32 del RGPD.
III
IV Obligación incumplida del artículo 28 del RGPD
Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD; que estipula lo siguiente:
"1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías
suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera
que el tratamiento sea conforme con los requisitos del presente Reglamento y
garantice la protección de los derechos del interesado.
2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización
previa por escrito, específica o general, del responsable. En este último caso, el
encargado informará al responsable de cualquier cambio previsto en la
incorporación o sustitución de otros encargados, dando así al responsable la
oportunidad de oponerse a dichos cambios.
3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico
con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al
encargado respecto del responsable y establezca el objeto, la duración, la
naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías
de interesados, y las obligaciones y derechos del responsable. Dicho contrato o
acto jurídico estipulará, en particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones
documentadas del responsable, inclusive con respecto a las transferencias de
datos personales a un tercer país o una organización internacional, salvo que
esté obligado a ello en virtud del Derecho de la Unión o de los Estados
miembros que se aplique al encargado; en tal caso, el encargado informará al
responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho
lo prohíba por razones importantes de interés público;
b) garantizará que las personas autorizadas para tratar datos personales se
hayan comprometido a respetar la confidencialidad o estén sujetas a una
obligación de confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
64/78
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a
través de medidas técnicas y organizativas apropiadas, siempre que sea posible,
para que este pueda cumplir con su obligación de responder a las solicitudes
que tengan por objeto el ejercicio de los derechos de los interesados
establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del
tratamiento y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales
una vez finalice la prestación de los servicios de tratamiento, y suprimirá las
copias existentes a menos que se requiera la conservación de los datos
personales en virtud del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para
demostrar el cumplimiento de las obligaciones establecidas en el presente
artículo, así como para permitir y contribuir a la realización de auditorías,
incluidas inspecciones, por parte del responsable o de otro auditor autorizado
por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado
informará inmediatamente al responsable si, en su opinión, una instrucción
infringe el presente Reglamento u otras disposiciones en materia de protección
de datos de la Unión o de los Estados miembros.
4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a
cabo determinadas actividades de tratamiento por cuenta del responsable, se
impondrán a este otro encargado, mediante contrato u otro acto jurídico
establecido con arreglo al Derecho de la Unión o de los Estados miembros, las
mismas obligaciones de protección de datos que las estipuladas en el contrato u
otro acto jurídico entre el responsable y el encargado a que se refiere el
apartado 3, en particular la prestación de garantías suficientes de aplicación de
medidas técnicas y organizativas apropiadas de manera que el tratamiento sea
conforme con las disposiciones del presente Reglamento. Si ese otro encargado
incumple sus obligaciones de protección de datos, el encargado inicial seguirá
siendo plenamente responsable ante el responsable del tratamiento por lo que
respecta al cumplimiento de las obligaciones del otro encargado.
5. La adhesión del encargado del tratamiento a un código de conducta aprobado
a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del
artículo 42 podrá utilizarse como elemento para demostrar la existencia de las
garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo.
6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un
contrato individual, el contrato u otro acto jurídico a que se refieren los apartados
3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas
contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
65/78
inclusive cuando formen parte de una certificación concedida al responsable o
encargado de conformidad con los artículos 42 y 43.
7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se
refieren los apartados 3 y 4 del presente artículo, de acuerdo con el
procedimiento de examen a que se refiere el artículo 93, apartado 2.
8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los
asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo
con el mecanismo de coherencia a que se refiere el artículo 63.
9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará
por escrito, inclusive en formato electrónico.
10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del
tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento."
El cumplimiento de la obligación prevista en el artículo 28 del RGPD no es una
obligación meramente formal, sino que tiene un contenido material.
En este sentido, las Directrices 07/2020 del Comité Europeo de Protección de Datos
(CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD
Versión 2.0, adoptadas el 7 de julio de 2021 (en adelante, Directrices del CEPD
07/2020), determinan que:
“112. Aunque los elementos previstos en el artículo 28 del Reglamento
constituyen su contenido esencial, el contrato debe servir para que el
responsable y el encargado aclaren, mediante instrucciones detalladas, cómo
se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el
contrato de tratamiento no debe limitarse a reproducir las disposiciones del
RGPD, sino que debe incluir una información más específica y concreta sobre
el modo en que se satisfarán los requisitos y el grado de seguridad que se
precisará para el tratamiento de los datos personales objeto del contrato de
tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y
estipulación de las condiciones del contrato sirven para especificar los detalles
del tratamiento. De hecho, la «protección de los derechos y libertades de los
interesados, así como la responsabilidad de los responsables y encargados del
tratamiento [...] requieren una atribución clara de las responsabilidades» en
virtud del RGPD”. (el subrayado es nuestro).
Tal y como se ha indicado en el fundamento de derecho II, en el caso examinado en
este procedimiento sancionador, SEUR es responsable del tratamiento y CITIBOX su
encargado. Sin embargo, durante las actuaciones previas de investigación se ha
constatado que no existe un contrato de encargo de tratamiento entre dichas
empresas (hecho probado trigésimo).
SEUR, como responsable del tratamiento, debería haber firmado un contrato de
encargo con CITIBOX, que actuaba como su encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
66/78
En relación con esta cuestión el informe de actuaciones previas de investigación de 5
de abril de 2024 indica:
“SEUR tiene suscrito un contrato con CITIBOX para la prestación del servicio de
recepción de paquetería en taquillas (...) de CITIBOX y en la documentación
contractual se configuran ambas entidades como responsables del tratamiento,
no existiendo por tanto contrato de encargado de tratamiento entre ambas
entidades.” (subrayado de la AEPD).
Esta imputación no refleja la ausencia de un aspecto meramente formal (SEUR y
CITIBOX no habían celebrado un contrato de encargo de tratamiento cuando deberían
haberlo hecho) sino que dicha omisión, tiene importantes implicaciones.
Por una parte, la ausencia de contrato de encargo de tratamiento supone la falta de
una atribución clara de responsabilidades del responsable y del encargado de
tratamiento, impidiendo al responsable del tratamiento cumplir con las obligaciones
que le impone el RGPD para procurar la protección debida respecto de los datos
personales que se tratan por su cuenta en relación con el control de proceso de
entrega que lleva a cabo.
Por otra, desde el punto de vista de los interesados, cuyos datos están siendo
tratados, dicha omisión también tiene consecuencias:
El contrato entre el responsable del tratamiento y su encargado es un elemento que no
solo articula jurídicamente la relación entre dos partes (responsable y encargado del
tratamiento) sino que cumple una función de garantía de los derechos y libertades de
los interesados:
En este sentido, el contrato de tratamiento prevé, entre otros aspectos, que:
Los datos únicamente sean tratados siguiendo las instrucciones documentadas
del responsable del tratamiento. Lo que supone una doble garantía para los
interesados: existencia de unas instrucciones documentadas por parte del
responsable y obligación del encargado de tratar los datos personales
siguiendo dichas instrucciones.
Las previsiones relativas al ejercicio de derechos por parte de los interesados.
Los empleados del encargado que traten los datos personales de los
interesados han de respetar la confidencialidad.
El encargado ha de adoptar todas las medidas de seguridad necesarias de
conformidad con el artículo 32 del RGPD.
El encargado del tratamiento no puede recurrir a otro encargado sin la
autorización previa por escrito, específica o general del responsable.
El encargado tiene la obligación de suprimir o devolver los datos personales al
responsable una vez que finalice la prestación de los servicios del tratamiento,
y suprimir las copias existentes a menos que se requiera la conservación de los
datos personales en virtud del Derecho de la Unión o de los Estados miembros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
67/78
En conclusión, dicho contrato regula y ordena cómo se va a desarrollar la relación
entre el responsable y su encargado del tratamiento con el claro objetivo de brindar
una adecuada protección de los derechos y libertades de los interesados, cuyos datos
se están tratando, siendo necesario que SEUR celebre con CITIBOX un contrato de
encargo de tratamiento.
Por tanto, se considera que los hechos conocidos son constitutivos de una infracción
de procedimiento, imputable a SEUR, por vulneración del artículo 28 del RGPD.
V Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción
El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43;”
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:
"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679
se consideran graves y prescribirán a los dos años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y,
en particular, las siguientes:
k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3
del Reglamento (UE) 2016/679."
VI Obligación incumplida. Integridad y confidencialidad
La letra f) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
68/78
contra su pérdida, destrucción o daño accidental, mediante la aplicación de
medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)."
Tal y como se ha indicado anteriormente, en el presente caso, SEUR y CITIBOX se
consideraban cada una de ellas responsables del tratamiento.
El repartidor de SEUR, en el momento de realizar la entrega del paquete en la taquilla
(…) o buzón de CITIBOX, reveló a esta segunda empresa (CITIBOX) el nombre y los
apellidos de la reclamante (hecho probado trigésimo tercero), a pesar de que dichos
datos personales no figuran entre los datos que SEUR comunica a CITIBOX cuando
sus repartidores han depositado el paquete en una taquilla (…) de CITIBOX.
1 SEUR indica a la AEPD los datos personales que comunica a CITIBOX (hecho
probado trigésimo primero):
1.1. Contestación al primer requerimiento de información de la SGID:
En el escrito de SEUR de fecha 4 de enero de 2024, elaborado en contestación al
primer requerimiento de información de la SGID, se indica:
“PUNTO 5. Copia de todos los datos relativos a A.A.A. y de su envío (…),
facilitados a CITIBOX para proceder a la entrega o puesta a disposición del
paquete a la destinataria.
En aras de cumplir con el protocolo explicado en el punto anterior, ambas partes
se cederán los datos mínimos para efectuar la entrega del paquete al
destinatario, así como para poder acreditar la recogida del mismo.
En concreto, SEUR comunica a CITIBOX los siguientes datos relativos a la
reclamante:
- (…)
- (…)
Igualmente, SEUR comunica a CITIBOX los siguientes datos relativos al envío:
- (…)
- (…).
1.2. Contestación al segundo requerimiento de información de la SGID:
En relación con esta misma cuestión, en el escrito de SEUR, elaborado en
contestación al segundo requerimiento de información de la SGID se indica:
“PUNTO 1. Información exacta sobre todos los datos personales de los
destinatarios que SEUR comunica a CITIBOX en el marco del contrato
suscrito, aportando documentación acreditativa de la información que se
facilite. Se pide copia de todos los tipos de registros informáticos de datos
comunicados de SEUR a CITIBOX con explicación de cada uno de sus
campos. Copia de los registros informáticos de datos relativos a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
69/78
reclamante comunicados a CITIBOX con ocasión del envío objeto de
reclamación.
En primer lugar, sobre la petición de trasladar a esta Agencia, información
exacta sobre todos los datos personales de los destinatarios que SEUR
comunica a CITIBOX, es de interés de esta parte, reiterar que tal y como
se manifestó en la información remitida a la AEPD como respuesta al
citado requerimiento de fecha 19 de diciembre de 2023, el cual ya se
encuentra archivado por la AEPD, SEUR comunica a CITIBOX los datos
mínimamente necesarios para cumplir con el servicio de entrega de
paquete al destinatario. En concreto, SEUR a fecha de interposición del
requerimiento comunicaba a CITIBOX los siguientes datos personales de
los destinatarios:
- (…)
- (…)
Por otro lado, SEUR comunica los siguientes datos relativos al envío de la
mercancía:
- (…)
- (…)
-(…).
A fecha de contestación al presente requerimiento, (…). (subrayado de la
AEPD)
Como puede observarse, el nombre y apellidos del destinatario del paquete no figuran
entre los datos personales que SEUR comunica a CITIBOX.
2. CITIBOX indica a la AEPD los datos personales que le comunica SEUR (hecho
probado trigésimo segundo):
Por su parte, CITIBOX en su escrito de fecha 29 de febrero de 2024, elaborado en
contestación al primer requerimiento de la SGID, señala:
“Como expusimos en su momento, los únicos datos obligatorios que Citibox
precisa obtener de las empresas de mensajería para realizar una entrega son
(…).” (subrayado de la AEPD).
3.Datos comunicados por SEUR a CITIBOX con motivo del envío del paquete a la
reclamante:
Asimismo, CITIBOX en el documento 1, que acompaña a su escrito de fecha 16 de
junio de 2025, aportado en fase de práctica de prueba, que figura como anexo a la
propuesta de resolución, ha aportado (…) de la reclamante, en el que figuran el
nombre y los apellidos de la misma, facilitados por el repartidor de SEUR (hecho
probado trigésimo tercero).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
70/78
Dicho documento evidencia que el repartidor de SEUR comunicó a CITIBOX el
nombre y apellidos de la reclamante.
Finalmente, el informe de actuaciones previas de investigación señala:
“En el caso concreto de la reclamante, los representantes de CITIBOX han
manifestado que (…).”
Por tanto, se considera que los hechos conocidos, para el caso concreto de la
reclamante, son constitutivos de una infracción, imputable a SEUR GEOPOST, S.L.,
por vulneración del artículo 5.1 f) del RGPD.
VII Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y,
en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VIII Propuestas de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
71/78
2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una
multa administrativa y su cuantía en cada caso individual se tendrá debidamente
en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
72/78
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.
En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa, además de la adopción de medidas,
si procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SEUR
GEOPOST (604.974.774 euros en el año 2022).
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, (…),
se considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.
1.Obligación incumplida del artículo 28 del RGPD
Con carácter previo, se estima que concurren las circunstancias siguientes:
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD):
La infracción del artículo 28 del RGPD ha afectado a un conjunto de clientes de
SEUR (aquellos cuyos envíos se depositan en taquillas (...) o buzones de
CITIBOX) y se ha prolongado en el tiempo. Estos clientes no han tenido
conocimiento de que Citibox podía llegar a tratar sus datos personales.
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
73/78
SEUR conoce el contenido de la normativa en materia de protección de datos
personales, así como de las obligaciones relativas al encargo de tratamiento
previstas en la misma.
Por los motivos expuestos en el fundamento de derecho III se considera que
concurren circunstancias que atenuarían la culpabilidad por parte de dicha
empresa, procediendo reducir el importe de la multa por la comisión la infracción
del artículo 28 del RGPD.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (Artículo 83.2 k) del RGPD en conexión con el
Artículo 76.2, letra b), de la LOPDGDD):
SEUR GEOPOST, S.L. como consecuencia de su actividad empresarial, realiza
forma habitual y continua tratamientos de datos de carácter personal de un
elevado número de interesados.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción de procedimiento cometida al vulnerar lo
establecido en el artículo 28 del RGPD, permite fijar una sanción de 200.000,00 euros.
2.Obligación incumplida del artículo 5.1 f) del RGPD:
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD):
En este caso, hay que señalar que la infracción ha afectado sólo a una
persona, dado que se ha cedido de manera indebida su nombre y apellidos y
que dichos datos personales actualmente se encuentran bloqueados por
CITIBOX.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1 f) del RGPD para este caso concreto, permite fijar una sanción de 5000,00
euros.
IX Adopción de medidas
De confirmarse las infracciones cometidas, podría acordarse imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
74/78
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
En el texto de esta propuesta se establecen cuáles han sido los hechos que han dado
lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles son las medidas a adoptar, sin perjuicio de que los tipos de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es quien conoce plenamente su organización
y ha de decidir, en base a la responsabilidad proactiva y enfoque de riesgos, cómo
cumplir con el RGPD y la LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, en la resolución que se
adopte se podrá requerir a SEUR para que, en el plazo máximo de 3 meses, a contar
desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento,
acredite la realización del correspondiente contrato de encargado de tratamiento con
CITIBOX, al objeto dar cumplimiento a lo previsto en el artículo 28 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se
sancione a SEUR GEOPOST, S.L., con NIF B82516600, por:
- Una infracción de procedimiento del artículo 28 del RGPD, tipificada en el
artículo 83.4 del RGPD, con una multa administrativa de cuantía.200.000,00 €
(doscientos mil euros).
- Una infracción, relativa al caso concreto de la reclamante, del artículo 5.1 f)
del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa administrativa
de cuantía 5000 € (cinco mil).
SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se
ordene a SEUR GEOPOST, S.L., con NIF B82516600, que en virtud del artículo
58.2.d) del RGPD, acredite haber procedido al cumplimiento de la siguiente medida:
En el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, acredite la realización del
correspondiente contrato de encargado de tratamiento con CITIBOX, al objeto
dar cumplimiento a lo previsto en el artículo 28 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
75/78
TERCERO: Que por la Presidencia de la Agencia Española de Protección de Datos se
archiven las infracciones de los artículos 6.1 y 32 del RGPD, tipificadas
respectivamente en los artículos 83.5 y 83.4 del RGPD.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 164.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-250625
C.C.C.
INSTRUCTORA
(…)
>>
SEGUNDO: En fecha 30 de septiembre de 2025, SEUR ha procedido al pago de la
sanción en la cuantía de 164.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
76/78
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
77/78
III
Pago voluntario
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 164.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.
Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, SEUR, en fecha 30 de septiembre de 2025, procedió a realizar el
pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado
3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.
La suma de las citadas cuantías arroja una cantidad total de 205.000,00 euros.
Tras haber procedido SEUR GEOPOST, S.L. al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de
164.000,00 euros.
La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202407910, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: ORDENAR a SEUR GEOPOST, S.L. para que en el plazo de 3 meses
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
78/78
CUARTO: NOTIFICAR la presente resolución a SEUR GEOPOST, S.L.
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
938-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es