1/23
Expediente N.º: EXP202210818 (PS/00670/2022)
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. ª A.A.A. (en adelante, la parte reclamante), en fecha 12 de septiembre
de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra GEOPOST ESPAÑA, S.L. (sociedad absorbente de la
extinguida SEUR, S.A.), con NIF B85645349, (en adelante, GEOPOST). Los motivos
en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que GEOPOST tenía encargada la recogida de un
producto de Amazon, en la dirección ***DIRECCIÓN.1, en fecha 29/08/2022. No
obstante, Amazon indicó erróneamente la dirección toda vez que en ese momento la
parte reclamante se encontraba en ***LOCALIDAD.1.
En fecha 29 de agosto de 2022, la parte reclamante solicitó a Amazon que modificara
la dirección.
En fecha 6 de septiembre de 2022, tuvo conocimiento a través de unos familiares que
pasaron por la vivienda, de que un repartidor de la empresa reclamada había dejado
un aviso en el exterior del buzón de su vivienda en ***LOCALIDAD.2, a la vista de
cualquier vecino o visitante del inmueble, en el que aparecían datos personales suyos,
en concreto, su nombre y apellidos, dirección postal, así como su número de teléfono.
Esta etiqueta estuvo expuesta en un lugar de paso hasta el día 6 de septiembre de
2022, fecha en la que se retiró.
Junto a la reclamación aporta copia del mensaje recibido en su correo electrónico
sobre la fecha de recogida del paquete, remitido por la parte reclamada, correo
electrónico remitido por Amazon a la parte reclamante en la que se pone de manifiesto
la corrección de la dirección de recogida del paquete, así como diversas imágenes de
la etiqueta expuesta en el exterior del buzón de su dirección en ***LOCALIDAD.2.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/23
Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en
fecha 17 de octubre de 2022, como consta en el certificado que obra en el expediente.
En fecha 14 de noviembre de 2022, se recibe en esta Agencia escrito de respuesta de
la parte reclamada en el que pone de manifiesto lo siguiente:
- Que el pasado día 30 de agosto de 2022 un repartidor de GEOPOST acudió al
domicilio de la reclamante para efectuar una recogida.
- Que la reclamante se encontraba ausente en el momento de la recogida.
- Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior
del buzón de la reclamante
De esta forma, tras analizar los hechos, GEOPOST considera que la incidencia se ha
producido como consecuencia de un error humano del repartidor, debiendo haber
dejado la nota de aviso dentro del buzón o por debajo de la puerta como indica el
manual de GEOPOST y no pegada en el exterior del buzón.
En este sentido, GEOPOST pone en conocimiento de la AEPD que, en cumplimiento
de las obligaciones de la normativa aplicable de su actividad de transporte, tiene
implantados los correspondientes procedimientos y manuales corporativos, donde se
determinan las pautas a seguir para la correcta entrega o recogida de la mercancía.
En concreto, se indica que GEOPOST dispone de un manual con la operativa que
deben seguir los repartidores denominado “Manual Operativa Repartidor/a”,
documento que se hace entrega a los mismos en el momento de la contratación o
comienzo de la prestación del servicio con GEOPOST. En el apartado “Operativa en
Ruta” de dicho manual se especifica concretamente la obligación de que la entrega de
la mercancía debe hacerse siempre al destinatario y que, en caso de ausencia del
destinatario, se dejará una nota de aviso ausente en el domicilio debajo de la puerta,
en la cuña de la puerta o en el buzón. Se incluye como Anexo I capturas del manual
donde se especifican las obligaciones de los repartidores para la correcta entrega o
recogida de mercancía.
Además, expone que GEOPOST imparte a los repartidores formaciones periódicas
sobre las obligaciones dispuestas en los diferentes procedimientos y manuales
corporativos, incidiendo en la importancia de que hagan un buen uso y traten de forma
diligente los datos personales que gestionan diariamente de los remitentes,
destinatarios y/o autorizados. En concreto, una de las últimas acciones de formación
realizadas consistió en difundir un video denominado “Buenas prácticas en
Privacidad”.
Por todo ello, confirma que la incidencia se ha producido por una mala praxis puntual
del repartidor al no seguir los protocolos internos de la compañía.
No obstante, y a consecuencia de la incidencia producida, desde GEOPOST se ha
reiterado el compromiso de que todos los repartidores cumplan con lo establecido en
los diferentes procedimientos, políticas y manuales puestos a su disposición con el
objeto de realizar de forma correcta las entregas y devoluciones, así como, una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/23
actuación diligente sobre los datos personales que tratan en el cumplimiento de sus
funciones laborales o prestación de servicio.
Por último, indica que GEOPOST gestiona diariamente un amplio volumen de entregas
y recogidas, siguiendo adecuadamente por parte de los repartidores los protocolos
internos de la compañía sin que se manifiesten incidencias similares al objeto de esta
reclamación. Sólo en el año 2021, el volumen gestionado fue de más de 50 millones
de entregas y recogidas y considera que la mala praxis del repartidor es un dato que
no se asemeja a la operativa habitual.
TERCERO: En fecha 2 de diciembre de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la extinta
SEUR, S.A. (absorbida por GEOPOST ESPAÑA, S.L.) es una empresa mediana
constituida en el año 1984, y con un volumen de negocios de (…) €, en el año 2021.
QUINTO: Con fecha 22 de mayo de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD, tipificada
en el artículo 83.5 del RGPD, así como por la presunta infracción del artículo 32 del
RGPD, tipificada en el artículo 83.4 del RGPD.
SEXTO: Notificado el citado acuerdo de inicio el 23 de mayo de 2023 conforme a las
normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP),
GEOPOST presentó escrito de alegaciones en el que, en síntesis, manifestaba que la
incidencia se ha producido por una mala praxis del repartidor al incumplir con las
instrucciones y los protocolos internos de la compañía; no existía la posibilidad de
cometer una vulneración del artículo 5.1 f) sin la comisión, a su vez, de una infracción
del artículo 32 del RGPD , debiendo imponerse únicamente la sanción correspondiente
a la infracción más grave cometida (art. 29.4 de la LRJSP); entiende acreditado que se
han adoptado medidas adecuadas (protocolos, plan de formación periódica…) en
función del riesgo y, por último, respecto a los agravantes, no se ha tenido en cuenta el
volumen de pedidos que gestiona GEOPOST y la excepcionalidad de este tipo de
casos, no habiéndose tenido en cuenta otras circunstancias en calidad de atenuantes
para reducir las sanciones.
SÉPTIMO: Con fecha 31 de enero de 2024, el órgano instructor del procedimiento
formuló propuesta de resolución, en la que propone que por la Directora de la AEPD
se sancione a GEOPOST, con NIF B85645349, por una infracción del Artículo 5.1.f) del
RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 40.000 € (cuarenta
mil euros), y por la presunta infracción del artículo 32 del RGPD, tipificada en el
artículo 83.4 del RGPD, con una multa de 15.000 € (quince mil euros).
Esta propuesta de resolución, que se notificó a GEOPOST conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 1 de
febrero de 2024, como consta en el acuse de recibo que obra en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/23
OCTAVO: Con fecha 14 de febrero de 2024, se recibe en esta Agencia, en tiempo y
forma, escrito de GEOPOST en el que aduce alegaciones a la propuesta de resolución
en el que, en síntesis, manifestaba la infracción del derecho a la defensa por ausencia
de acreditación de los hechos que se le imputan.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: Con fecha 29 de agosto de 2022, a las 10:38 horas, AMAZON envió a la
parte reclamante un correo electrónico desde la dirección (...)@amazon.es con el
siguiente contenido:
“Hola, A.A.A.
¡Espero estés pasando un excelente día y tengas una gran semana!
Hablas con B.B.B., agente de servicio de atención al cliente de Amazon.es, quien tuvo
el placer de ayudarte el día de hoy.
Agradezco el tiempo que tan amablemente te has tomado para poder contactarnos y
así poder hacer todo lo necesario para mejorar el servicio que te proporcionamos.
Inicialmente te ofrezco una disculpa por las dificultades presentadas con tu pedido, se
que mereces un servicio de calidad y quiero que sepas que no tienes nada de que
preocuparte ya que tienes nuestro respaldo en todas tus compras y la solución que
buscaremos siempre será la que más te beneficie.
Como lo acordamos hoy SEUR recogerá el paquete en un plazo de 72 horas hábiles.
No es necesario que imprimas ninguna etiqueta de devolución. SEUR se encargará de
aportas la etiqueta y la pegará en el paquete cuando llegue a recoger el producto.
Dirección:
A.A.A.
***DIRECCIÓN.2
Teléfono principal ***TELÉFONO.1
Espero haber solucionado tu requerimiento, fue un gusto asistirte el día de hoy, he
hecho todo lo que estuvo a mi alcance para proporcionarte la mejor respuesta, de
modo que puedas tener la mejor experiencia de servicio al Cliente en Amazon.es.
[…]”
SEGUNDO: Con fecha de 29 de agosto de 2022, a las 13:14 horas, GEOPOST envió
a la parte reclamante un correo electrónico desde la dirección
[email protected] con el siguiente contenido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/23
“Hola A.A.A.
La recogida de tu envío está estimada hoy entre las 13:45 y las 14:45 horas.
Datos de la recogida
Nº de envío: (...)
Dirección: ***DIRECCIÓN.1
TERCERO: En las fotografías obrantes en el expediente (páginas 7 a 8), aportadas
por la parte reclamante junto a la reclamación, puede observarse el exterior de un
buzón dentro de un portal de un edificio. En el buzón consta adherida una nota de
“SEUR”, en el que aparecen datos personales de la parte reclamante, en concreto, su
nombre y apellidos, dirección postal, así como su número de teléfono, y como
destinatario “AMAZON – devoluciones”.
Ante el traslado de la reclamación de 17 de octubre de 2022 formulado por esta
Agencia, GEOPOST remitió respuesta el 14 de noviembre de 2022, en la cual se dice
que: “…tras la recepción del presente requerimiento de información, SEUR, S.A. ha
procedido a investigar los hechos ocurridos y ha comprobado lo siguiente:
- Que el pasado día 30 de agosto de 2022 un repartidor de SEUR, S.A. acudió al
domicilio de la reclamante para efectuar una recogida.
- Que la reclamante se encontraba ausente en el momento de la recogida.
- Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior
del buzón de la reclamante.” (el subrayado es nuestro)
Por lo tanto, por parte de GEOPOST se reconoce la veracidad del contenido de la
fotografía aportada por la parte reclamante.
En consecuencia, se considera acreditado que la etiqueta fue adherida al buzón por el
repartidor de GEOPOST.
CUARTO: Con fecha 3 de agosto de 2023 se publicó en el BORME se publicó anuncio
de fusión por absorción de GEOPOST ESPAÑA, S.L. (sociedad absorbente) y SEUR,
S.A. (sociedad absorbida).
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/23
iniciar y resolver este procedimiento, la Directora de la Agencia Española de
Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones Previas
GEOPOST ESPAÑA, S.L. ha realizado una operación societaria de fusión por
absorción de SEUR, S.A., según el acuerdo a que se refiere el Hecho Probado Cuarto,
adquiriendo por sucesión universal todos los derechos y obligaciones de SEUR, S.A.,
la cual se declara extinguida. De este modo el presente procedimiento, iniciado contra
SEUR, S.A. continúa su tramitación teniendo como reclamado a GEOPOST ESPAÑA,
S.L.
GEOPOST es una compañía referente en transporte urgente y logística integral en
España que para el desarrollo de su actividad trata datos de carácter personal,
entendiendo por dato de carácter personal: “toda información sobre una persona física
identificada o identificable”.
Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD:
«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros
Se considera persona física identificable aquella cuya identidad pueda determinarse,
directa o indirectamente, en particular mediante un identificador, como por ejemplo un
nombre, un número de identificación, datos de localización, un identificador en línea o
uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.
Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de
operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/23
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos.”
Los hechos denunciados se materializan en el acceso por terceros no interesados a
datos personales de la parte reclamante por una mala praxis de un repartidor al no
seguir los protocolos internos de la compañía.
En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad,
toda vez que la parte reclamada ha expuesto información y datos de carácter personal
sin base jurídica legitimadora, al dejar un repartidor una nota de aviso ausente pegada
en el exterior del buzón de la reclamante (en cuyo rótulo solo se indicaba el número y
letra del piso), en la que aparecían sus datos personales: nombre, apellidos, dirección
postal, así como su número de teléfono.
Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce
una revelación no autorizada o accidental de los datos personales, o el acceso a los
mismos.
Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene
regulada en el artículo 32 del RGPD, que reglamentan la seguridad del tratamiento.
III
Contestación a las alegaciones formuladas por GEOPOST al acuerdo de inicio y a las
alegaciones aducidas a la propuesta de resolución
A) Con relación a las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por la GEOPOST en su escrito:
“PRIMERA.- Sobre la cuestión objeto del procedimiento sancionador, la recepción del
requerimiento de información de la AEPD por parte de GEOPOST y la respuesta
efectuada por GEOPOST.”
En primer lugar, alega la parte reclamada que la incidencia se produjo por una mala
praxis del repartidor al incumplir con las instrucciones y los protocolos internos de la
compañía, utilizando incluso un documento específico (etiqueta identificativa del envío)
para una finalidad incompatible para la que había sido diseñada por GEOPOST.
En contestación a esta alegación, procede señalar que las medidas de seguridad
deben adoptarse en atención a todos y cada uno de los riesgos presentes en un
tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor
humano. La actuación negligente del empleado no exime de responsabilidad a
GEOPOST, responsable de los tratamientos de datos ahora analizados, toda vez que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/23
conforme define el art 4.7 del RGPD, es la entidad que determina la finalidad y medios
de los tratamientos realizados.
La responsabilidad de la empresa en el ámbito sancionador por la actuación
negligente de un empleado que suponga el incumplimiento de la normativa de
protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo.
A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm.
188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec.
7359/2020), cuyo Fundamento de Derecho Cuarto dispone:
“El hecho de que fuese la actuación negligente de una empleada no le exime de su
responsabilidad en cuanto encargado de la correcta utilización de las medidas de
seguridad que deberían haber garantizado la adecuada utilización del sistema de
registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de
febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por
la actuación de sus empleados y no puede excusarse en su actuación diligente,
separadamente de la actuación de sus empleados, sino que es la actuación "culpable"
de éstos, consecuencia de la violación de las medidas de seguridad existentes la que
fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos
"propios" de sus empleados o cargos, no de terceros.”
Continua la sentencia argumentando acerca de la de la responsabilidad de las
personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando
admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas
jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo
de la infracción se plasma en estos casos de manera distinta a como sucede respecto
de las personas físicas, de manera que, como señala la doctrina constitucional que
antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003,
de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por
la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz
y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta
al cumplimiento de dicha norma". (el subrayado es nuestro)
Por todo lo expuesto, se desestima la presente alegación.
“SEGUNDA.- Sobre el Acuerdo de Inicio de Procedimiento Sancionador y las
infracciones propuestas por la AEPD”
Sobre el Acuerdo de Inicio de Procedimiento Sancionador y las infracciones fijadas por
esta Agencia, GEOPOST considera que en este caso, ante una única conducta (el
repartidor pegó erróneamente la etiqueta del bulto en la parte exterior del buzón), no
existiría posibilidad de cometer una vulneración del artículo 5.1 f) sin la comisión, a su
vez, de una infracción del artículo 32 del RGPD, ya que el artículo 32 del RGPD es
una especificación más concreta y detallada del principio general establecido en el
artículo 5.1 f) del RGPD, por lo que solicita que, en el caso de que se llegase a
apreciar una infracción por parte de GEOPOST, se aplique el artículo 29.5 de la
LRJSP que señala que: “Cuando de la comisión de una infracción derive
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/23
necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción
correspondiente a la infracción más grave cometida”.
Pues bien, la garantía de confidencialidad y la seguridad del tratamiento tienen su
reflejo fundamentalmente en dos preceptos independientes del RGDP: en el artículo
5.1.f) y en el artículo 32 del RGPD, respectivamente.
El artículo 5.1.f) del RGPD recoge el principio de integridad y confidencialidad y
determina que los datos personales serán tratados de tal manera que se garantice una
seguridad adecuada de los datos personales, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental,
mediante la aplicación de medidas técnicas u organizativas.
Por otra parte, el artículo 32 del RGPD establece cómo ha de articularse la seguridad
del tratamiento en relación con las medidas de seguridad concretas que hay que
implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, el responsable y el encargado del tratamiento aplicarán medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo que incluya entre otras cuestiones, la capacidad de garantizar la
confidencialidad de los datos.
Del examen de los hechos probados y de la documentación obrante en el expediente,
puede diferenciarse claramente dos infracciones basadas en hechos y fundamentos
distintos. A continuación, se especifica qué conducta constituye una infracción del
artículo 5.1.f) del RGPD y cual supone una infracción del artículo 32 del RGPD:
A) Infracción del artículo 5.1.f) del RGPD.
Como podemos ver, el artículo 5.1.f) del RGPD exige taxativamente que se garantice
la confidencialidad y la integridad, y requiere para su imputación una pérdida de
confidencialidad y/o de integridad. Podemos encontrarnos con supuestos en que
existan medidas inadecuadas sin que por ello haya una pérdida de integridad y
confidencialidad.
El legislador europeo ha impuesto una obligación de resultado en garantía del
cumplimiento de este principio.
Además, el artículo 5.1.f) del RGPD hace mención a la aplicación de medidas técnicas
u organizativas apropiadas sin restringirlo a las medidas técnicas u organizativas de
seguridad. Las medidas referenciadas en el art. 5.1.f) del RGPD pueden ser de todo
tipo, englobando todas las que sirva a garantizar la confidencialidad y la integridad.
En el presente caso, no se ha garantizado la confidencialidad de los datos personales
de la parte reclamante, lo que supone una infracción del artículo 5.1.f) del RGPD, toda
vez que el repartidor dejó a la vista de cualquier vecino o visitante del inmueble, datos
personales de la parte reclamante, en concreto, su nombre y apellidos, dirección
postal, así como su número de teléfono, los cuales fueron vistos, al menos, por las
personas que comunicaron a la parte reclamante que la etiqueta estaba pegada en su
buzón cuando ésta se encontraba ausente de su domicilio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/23
B) Infracción del artículo 32 del RPGD.
Los hechos probados en el procedimiento evidencian que la parte reclamada expuso
información y datos de carácter personal, al dejar un repartidor una nota de aviso
ausente pegada en el exterior del buzón de la reclamante (en cuyo rótulo solo se
indicaba el número y letra del piso), en la que aparecían sus datos personales:
nombre, apellidos, dirección postal, así como su número de teléfono.
Se pone de manifiesto el quebrantamiento de las medidas técnicas y organizativas, ya
que GEOPOST es responsable de tomar decisiones destinadas a implementar de
manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos,
restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente
físico o técnico, tal y como exige el artículo 32 del RGPD.
De todo ello se deduce una falta de la debida diligencia tanto en el cumplimiento de las
medidas de seguridad establecidas, así como en la supervisión o comprobación de su
observancia y/o de la idoneidad de estas. A este respecto, se señala que el artículo 32
del RGPD se infringe tanto si no se adoptan por el responsable las medidas de índole
técnica y organizativas apropiadas que garanticen la seguridad de los datos
personales, como si, establecidas éstas, las mismas no se observan.
Dicho lo anterior, el artículo 32.1 recoge una obligación de medios y no una obligación
de resultado. En efecto, indica que “el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo”, es decir, impone la obligación de establecer un nivel de
seguridad, y ese nivel debe estar en función del análisis de riesgos que todo
responsable debe efectuar conforme al apartado 2 de dicho artículo:
“2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.”
La evolución tecnológica y sofisticación de los sistemas de acceso no autorizado a
sistemas de datos hace que la normativa no pueda imponer de manera incondicionada
un aseguramiento total de la ausencia de brechas de integridad o confidencialidad.
Pero sí obliga a que los responsables de los tratamientos deban realizar un análisis de
riesgos y a la implantación de un “nivel de seguridad adecuado” a los mismos.
Se caracteriza por lo tanto este deber como una obligación de medios. Así lo ha
declarado el Tribunal Supremo en su reciente sentencia de 15 de febrero de 2022:
“La obligación de adoptar las medidas necesarias para garantizar la seguridad de los
datos personales no puede considerarse una obligación de resultado, que implique
que producida una filtración de datos personales a un tercero exista responsabilidad
con independencia de las medidas adoptadas y de la actividad desplegada por el
responsable del fichero o del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/23
En las obligaciones de medios el compromiso que se adquiere es el de adoptar los
medios técnicos y organizativos, así como desplegar una actividad diligente en su
implantación y utilización que tienda a conseguir el resultado esperado con medios
que razonablemente puedan calificarse de idóneos y suficientes para su consecución,
por ello se las denomina obligaciones "de diligencia" o "de comportamiento".
La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la
obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de
seguridad, cualquiera que sea su causa y la diligencia utilizada, en la obligación de
medios basta con realizar un análisis de riesgos, establecer medidas técnicamente
adecuadas, implantarlas de forma correcta y utilizarlas con una diligencia razonable.
En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de
establecer ha de ponerse en relación con el estado de la tecnología en cada momento
y el nivel de protección requerido en relación con los datos personales tratados, pero
no se garantiza un resultado. Como establece el art. 31 del Reglamento de la Unión
Europea 2016/679, del Parlamento y del Consejo relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE, al establecer
respecto a la seguridad del tratamiento que las medidas técnicas y organizativas
apropiadas lo son «Teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas […]».
Ya hemos razonado que la obligación que recae sobre el responsable del tratamiento
respecto a la adopción de medidas necesarias para garantizar la seguridad de los
datos de carácter personal no es una obligación de resultado sino de medios, sin que
sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la
adopción e implantación de medidas técnicas y organizativas, que conforme al estado
de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos
personales en cuestión, permitan razonablemente evitar su alteración, pérdida,
tratamiento o acceso no autorizado.
Fijado lo anterior, la obligación de medios impuesta por el artículo 32 del RGPD
consiste en adoptar las medidas de seguridad en el tratamiento, tendentes a evitar la
producción de una brecha de datos personal en el mismo. Estas obligaciones deben
ser establecidas en función de los riesgos que hayan sido analizados, y teniendo en
cuenta el estado de la tecnología en cada momento y el nivel de protección requerido
en relación con los datos personales tratados.
Por todo lo expuesto, se desestima la presente alegación.
“TERCERA.- Sobre la presunta infracción del artículo 5.1 f) del RGPD y/o del artículo
32 del RGPD indicada por la AEPD”
En esta alegación GEOPOST sostiene ha adoptado medidas adecuadas (protocolos,
plan de formación periódica…) en función del riesgo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/23
En respuesta a este argumento, el compromiso de GEOPOST con el cumplimiento de
la normativa vigente en materia de protección de datos garantizando la seguridad y
confidencialidad del tratamiento de los datos personales a través de la aplicación de
medidas de seguridad técnicas y organizativas, si bien refleja una conducta positiva,
no desvirtúa los hechos constatados.
Por todo lo expuesto, se desestima la presente alegación.
“CUARTA.- Sobre la tipificación de la infracción y la posible sanción a imponer por
parte de la AEPD.”
Considera GEOPOST que la cuantía de la sanción es excesiva, por un lado, respecto
a los agravantes, no se ha tenido en cuenta el volumen de pedidos que gestiona
GEOPOST y que se trata de suceso excepcional, y, por otro lado, no se han valorado
una serie de atenuantes, tales como ausencia de intencionalidad, diligencia debida o la
rápida actuación de GEOPOST.
En contraposición a lo expresado por GEOPOST, cabe resaltar acerca de la tipificación
de las infracciones y las sanciones fijadas en el acuerdo de inicio, que el artículo 83.5
del RGPD establece que la infracción del artículo 5 del RGPD puede ser sancionada
“con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”,
por lo que ya se aplica una importante minoración de esta.
La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el
principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se
otorga a la Administración para la aplicación de la sanción se desarrolle ponderando
en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida
proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de
proporcionalidad que no se entiende vulnerado, considerándose proporcionada la
sanción propuesta a la entidad, por los hechos probados y ponderadas las
circunstancias concurrentes, que se detallan más adelante, teniendo cuenta, además,
el límite máximo de la cuantía de las sanciones que establece el art 83.4 RGPD.
En cuanto a que no se ha considerado ninguna circunstancia atenuante toda vez que
existen una serie de comportamientos por parte de GEOPOST que, en virtud de los
criterios de interpretación de los artículos 83.2 RGPD y 76.2 LOPD, deberían haber
sido tenidos en cuenta en calidad de atenuantes para graduar, así, de manera
apropiada, la sanción propuesta por la AEPD, conviene reseñar que el RGPD prevé
expresamente la posibilidad de graduación, mediante la previsión de multas
susceptibles de modulación, en atención a una serie de circunstancias de cada caso
individual. Todas estas estas circunstancias han sido tenidas en cuenta a la hora de
fijar la sanción.
La parte reclamada es una entidad que gestiona un gran volumen de entregas y
recogidas de paquetes de clientes cuyos datos personales son tratados de forma
sistemática en el ejercicio de sus atribuciones. Esta circunstancia determina un mayor
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/23
grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la
entidad en relación con el tratamiento de los datos personales.
En consecuencia, las argumentaciones presentadas no desvirtúan el contenido
esencial de la infracción que se declara cometida ni suponen causa de justificación o
exculpación suficiente.
Por todo lo expuesto, se desestima la presente alegación.
B) Con relación a las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta:
“Primera y única.- Infracción del derecho a la defensa por ausencia de acreditación de
los hechos que se imputan.”
Según GEOPOST, no se puede asegurar, sin que exista duda razonable, que fuese el
repartidor de esta empresa quien dejara una nota adherida sobre el buzón de la parte
reclamante con los datos personales de ésta, que podría haber sido adherida al buzón
por un tercero. Añade, que la reclamación se inició por un testigo indirecto, sin que la
parte reclamante afirmase en su reclamación ante la AEPD que fuera el repartidor de
la Empresa quien adhirió el documento a su buzón. En definitiva, en la medida en que
no consta probada la autoría del hecho del que trae origen el presente procedimiento,
resulta evidente la vulneración del derecho de defensa, al no haberse realizado prueba
para acreditar estos hechos.
En respuesta al argumento sostenido por GEOPOST, en el que se cuestiona quién
dejó pegada la nota al buzón de la parte reclamante, consta en el Hecho Probado
Tercero de la presente resolución que, ante el traslado de la reclamación de 17 de
octubre de 2022 formulado por esta Agencia, GEOPOST remitió respuesta el 14 de
noviembre de 2022, en la cual se dice que: “…tras la recepción del presente
requerimiento de información, SEUR, S.A. ha procedido a investigar los hechos
ocurridos y ha comprobado lo siguiente:
- Que el pasado día 30 de agosto de 2022 un repartidor de SEUR, S.A. acudió al
domicilio de la reclamante para efectuar una recogida.
- Que la reclamante se encontraba ausente en el momento de la recogida.
- Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior
del buzón de la reclamante.” (el subrayado es nuestro)
Como puede verse, en la propia contestación remitida por GEOPOST ante el traslado
de la reclamación se atribuía, según sus propias averiguaciones, al repartidor de esta
empresa el haber dejado la nota de aviso (así se nombra literalmente en su escrito)
adherida en el exterior del buzón de la parte reclamante. Además, estos hechos fueron
ratificados en las alegaciones al acuerdo de inicio presentadas por GEOPOST:
“Tal y como se informó en el escrito de respuesta, el repartidor de SEUR
acudió al domicilio de la reclamante para efectuar una recogida, pero la
reclamante se encontraba ausente en el momento de la recogida por lo
que, en consecuencia, el repartidor pegó en el exterior del buzón de la
reclamante la etiqueta del bulto, tal y como se puede observar en las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/23
imágenes incluidas en la reclamación, saltándose las instrucciones y
protocolos internos de SEUR” (el subrayado es nuestro).
Por otra parte, GEOPOST debe preservar la confidencialidad de los datos de sus
clientes, por lo que, ante la circunstancia de que la nota, tal y como plantea
GEOPOST, pudiera haber sido adherida por un tercero en el buzón de la parte
reclamante, también supone la existencia de responsabilidad atribuible a GEOPOST,
ya que el hecho de que un tercero no autorizado accediese a los datos personales de
la parte reclamante al hallarse en posesión de la nota adhesiva o pegatina, supone en
sí mismo una violación de la confidencialidad de los datos de la parte reclamante,
debido a la falta de diligencia en la custodia de la nota adhesiva. No existe motivo que
justifique que la nota adhesiva con los datos personales de la parte reclamante que
llevaba el repartidor de GEOPOST, pudiera estar en manos de un tercero, pegatina
que no iba a ser usada, debido a la imposibilidad de recoger el paquete que iba a ser
devuelto, por la ausencia de la parte reclamante en su domicilio; ausencia que
comunicó debidamente según consta en el Hecho Probado Primero.
Con relación a las medidas de seguridad, GEOPOST señala que la nota adhesiva con
los datos de la parte reclamante no era un “aviso de ausente en domicilio”, ya que ese
tipo de avisos son habitualmente enviados al correo electrónico del cliente, sino que se
trata de la pegatina que se adhiere al paquete en caso de recogida de una devolución.
GEOPOST no justifica que las medidas técnicas y organizativas sean apropiadas para
garantizar un nivel de seguridad adecuado al riesgo, para proteger los datos
personales de sus clientes existentes en las etiquetas de recogida de la devolución de
un paquete, lo cual supone un riesgo para los derechos y libertades de las personas
físicas, como se ha puesto de manifiesto en este caso.
El artículo 32 del RGPD establece cómo ha de articularse la seguridad del tratamiento
en relación con las medidas de seguridad concretas que hay que implementar, de tal
forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que
incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los
datos.
El Tribunal de Justicia de la Unión Europea se ha pronunciado sobre la aplicación del
artículo 32 del RGPD en el ejercicio de su competencia para pronunciarse, con
carácter prejudicial sobre la validez e interpretación de los actos adoptados por las
instituciones, órganos u organismos de la Unión, conforme a lo dispuesto en el artículo
267 del Tratado de Funcionamiento de la Unión Europea. En sentencia de 14 de
diciembre de 2023, en el asunto C-340/21, resuelve una cuestión prejudicial planteada
por un órgano jurisdiccional relativa a “si el principio de responsabilidad del
responsable del tratamiento, enunciado en el artículo 5, apartado 2, del RGPD y
desarrollado en el artículo 24 de este, debe interpretarse en el sentido de que, … el
responsable del tratamiento soporta la carga de la prueba del carácter apropiado de
las medidas de seguridad que ha adoptado con arreglo al artículo 32 del mencionado
Reglamento”, estableciendo lo siguiente :
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/23
“Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD
se desprende inequívocamente que la carga de la prueba de que los datos personales
se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los
artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del
tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023,
Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373,
apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].”
(apartado 52 de la sentencia)
En consecuencia, en la respuesta al traslado de la reclamación, GEOPOST afirmó que
la nota fue pegada por el repartidor y, en cualquier caso, GEOPOST es responsable de
que los datos de sus clientes no se pongan a disposición a terceros no autorizados a
acceder a aquellos. En cuanto a la aplicación de medidas técnicas y organizativas
adoptadas por GEOPOST en la recogida de paquetes objeto de devolución, en el
presente caso se ha puesto de manifiesto que no garantizan un nivel de seguridad
adecuado al riesgo para proteger los datos personales de sus clientes (nombre,
apellidos, dirección y teléfono) existentes en las etiquetas de recogida de la devolución
de un paquete. Por ello, la primera de las medidas a considerar por parte de
GEOPOST es, teniendo en cuenta el estado de la técnica y los costes de aplicación, si
es necesario que todos estos datos personales de sus clientes consten en las
pegatinas de recogida de paquetes devueltos.
Por todo lo expuesto, se desestima la presente alegación.
IV
Principio de confidencialidad
El artículo 5.1.f), “Principios relativos al tratamiento”, del RGPD establece:
“1. Los datos personales serán:
a) (…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
En relación con este principio, el Considerando 39 del referido RGPD señala que:
“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.
La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado vulneró el artículo 5.1 f) del RGPD, principios relativos al tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/23
En el presente caso, consta que los datos personales de la parte reclamante, tales
como su nombre, apellidos, dirección postal y número de teléfono obrantes en la nota
de aviso pegada en el exterior del buzón fueron indebidamente expuestos a terceros,
vulnerándose el principio de confidencialidad, cuando además en el rótulo del buzón
solo se indicaba el número y la letra del piso.
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que los hechos conocidos son
constitutivos de una infracción, imputable a GEOPOST, por vulneración del artículo
5.1.f) del RGPD.
V
Tipificación de la infracción del artículo 5.1.f) del RGPD
La citada infracción del artículo 5.1.f) del RGPD supone la comisión de una de las
infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
VI
Obligación incumplida. Seguridad de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/23
Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
De la documentación obrante en el expediente se ofrecen indicios evidentes de que el
reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de
seguridad al revelar información y datos de carácter personal a terceros, al dejar un
repartidor una nota de aviso ausente pegada en el exterior del buzón de la reclamante,
en la que aparecían sus datos personales: nombre, apellidos, dirección postal, así
como su número de teléfono, a la vista de cualquier vecino o visitante del inmueble,
cuando además en el rótulo del buzón solo se indicaba el número y la letra del piso.
Tal y como consta en el escrito de respuesta de fecha 14 de noviembre de 2022, la
parte reclamada considera que la incidencia se ha producido como consecuencia de
un error del repartidor, debiendo haber dejado la nota de aviso dentro del buzón o por
debajo de la puerta como indica el manual de GEOPOST y no pegada en el exterior
del buzón. En este sentido, procede señalar que las medidas de seguridad deben
adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento
de datos de carácter personal, incluyendo entre los mismos, el factor humano.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/23
Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.
Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.
En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.
En este mismo sentido el considerando 83 del RGPD señala que:
“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en
el presente Reglamento, el responsable o el encargado deben evaluar los riesgos
inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas
medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.
La responsabilidad del reclamado viene determinada por el quebrantamiento de las
medidas técnicas y organizativas, ya que es responsable de tomar decisiones
destinadas a implementar de manera efectiva las medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo para asegurar la
confidencialidad de los datos, restaurando su disponibilidad e impedir el acceso a los
mismos en caso de incidente físico o técnico.
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que los hechos conocidos son
constitutivos de una infracción, imputable a GEOPOST, por vulneración del artículo 32
del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/23
VII
Tipificación de la infracción del artículo 32 del RGPD
La citada infracción del artículo 32 del RGPD supone la comisión de una de las
infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
g) El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las
medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido
por el artículo 32.1 del Reglamento (UE) 2016/679.”
VIII
Sanciones a imponer
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/23
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/23
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
Sanción por la infracción del artículo 5.1.f) del RGPD
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 5.1 f) del RGPD, a la parte reclamada como responsable de la
citada infracción tipificada en el artículo 83.5 del RGPD, procede graduar la multa
teniendo en cuenta:
Como circunstancia tenida en cuenta como agravante:
Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”
Es un hecho conocido que la parte reclamada es una entidad que gestiona un gran
volumen de entregas y recogidas de paquetes de clientes cuyos datos personales son
tratados de forma sistemática en el ejercicio de sus atribuciones.
Esta circunstancia determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de
los datos personales.
Como circunstancia tenida en cuenta como atenuante:
Artículo 76.2.e) de la LOPDGDD: “La existencia de un proceso de fusión por absorción
posterior a la comisión de la infracción, que no puede imputarse a la entidad
absorbente.”
El proceso de fusión por absorción, en el que GEOPOST ESPAÑA, S.L. (sociedad
absorbente) se ha fusionado con SEUR, S.A. (sociedad absorbida), produciendo la
extinción de esta última, permite la aplicación de esta circunstancia como atenuante de
la responsabilidad de la entidad absorbente.
Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 40.000,00 € (cuarenta mil euros) por la infracción del artículo 5.1 f) del RGPD,
respecto a la vulneración del principio de confidencialidad.
Sanción por la infracción del artículo 32 del RGPD
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 32 del RGPD, a la parte reclamada como responsable de la
citada infracción tipificada en el artículo 83.4 del RGPD, procede graduar la multa
teniendo en cuenta:
Como circunstancia tenida en cuenta como agravante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/23
Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”
Es un hecho conocido que la parte reclamada es una entidad que gestiona un gran
volumen de entregas y recogidas de paquetes de clientes cuyos datos personales son
tratados de forma sistemática en el ejercicio de sus atribuciones.
Esta circunstancia determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de
los datos personales.
Como circunstancia tenida en cuenta como atenuante:
Artículo 76.2.e) de la LOPDGDD: “La existencia de un proceso de fusión por absorción
posterior a la comisión de la infracción, que no puede imputarse a la entidad
absorbente.”
El proceso de fusión por absorción, en el que GEOPOST ESPAÑA, S.L. (sociedad
absorbente) se ha fusionado con SEUR, S.A. (sociedad absorbida), produciendo la
extinción de esta última, permite la aplicación de esta circunstancia como atenuante de
la responsabilidad de la entidad absorbente.
Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 15.000,00 € (quince mil euros) por infracción del artículo 32 del RGPD, respecto
a la falta de diligencia a la hora de implementar las medidas apropiadas de seguridad.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a GEOPOST ESPAÑA, S.L., con NIF B85645349:
- Por una infracción del artículo 5.1.f) del RGPD, tipificada conforme a lo dispuesto en
el artículo 83.5 del RGPD, una multa administrativa de 40.000,00 euros.
- Por una infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.4 del RGPD, una multa administrativa de 15.000,00 euros.
SEGUNDO: NOTIFICAR la presente resolución a GEOPOST ESPAÑA, S.L.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/23
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000, abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es