¿Alguna vez un repartidor que trabaja en una empresa de mensajería te ha dejado el paquete que pediste por internet a un vecino sin tu consentimiento? Seguro que, o te ha pasado, o conoces a alguien que haya vivido esta situación.
Con este asunto, la Agencia Española de Protección de Datos (AEPD) es muy estricta y ya hay varias sanciones por ello. Acaba de emitir una reciente resolución de fecha de 7 de noviembre en la que sanciona con 70.000 euros a The Bee Logistics.
Le ha impuesto una sanción de 50.000 euros por infringir el artículo 5.1f) del Reglamento General de Protección de Datos (RGPD), que se refiere a la confidencialidad e integridad de los datos y otra de 20.000 euros por vulnerar el artículo 32, que hace referencia a la seguridad del tratamiento.
Sin embargo, esto no es un caso aislado. En noviembre de 2022 sancionó a United Parcel Service España (UPS) con 70.000 euros. En junio, esta misma empresa volvió a tropezar dos veces con la misma piedra y fue multada, esta vez, con 140.000 euros por dejar un paquete en una heladería en vez de en el domicilio del cliente.
Y en septiembre de 2023, GLS fue multada con 140.000 euros por modificar sin consentimiento de los compradores el lugar de entrega de dos dispositivos móviles, lo que provocó que lo recogiesen otras dos personas usurpándoles la identidad.
El caso, al detalle
Según describe la reclamación, los hechos surgieron cuando una mujer manifestó que el 28 de junio de 2022 recibió una llamada por parte de un mensajero para comunicarle que iba a entregarle un paquete de Carrefour. La consumidora, como no estaba en casa, le comentó que se lo dejase al vecino del primero izquierda.
Sin embargo, explicó que cuando fue a pedirle a su vecino el paquete, éste le dijo que no tenía nada. Por lo que decidió llamar al transportista para ver qué había ocurrido, el cual le comentó que se lo había dado a un joven con gorra en el portal.
La consumidora explicó que además de la falta de solución por el robo de su paquete, su DNI, teléfono, dirección, nombre, apellidos y la factura de lo comprado con sus datos bancarios quedaron expuestos al no haberles autorizado a entregar a un desconocido la mercancía.
En un principio, la reclamación fue dirigida contra Envialia, pero esta empresa detalló a la AEPD que ellos tenían un contrato con Fourth Party Logistic que, al mismo tiempo, cargaba responsabilidades en The Bee Logistic.
Es decir, el cliente compra en Carrefour a través de su plataforma online y este, una vez completado el proceso de compra, da la orden a su proveedor de transporte y mensajería, que era Fourth Party Logistics S.L para que lleve a cabo la entrega.
La AEPD vio claro que el responsable era The Bee Logistics
Fourth Party Logistics, a través de Fourth Party Services, llevó a cabo la entrega de ese paquete con la colaboración de The Bee Logistics, contratada para ese servicio.
Por tanto, para la AEPD, el responsable de entregar el paquete fue The Bee Logistics.
“En el presente caso, consta una brecha de seguridad de datos personales categorizada como una brecha de confidencialidad por cuanto los datos personales de la reclamante, tales como su nombre y apellidos o domicilio postal, fueron expuestos a un tercero”.
Asimismo, la AEPD desgranó en la resolución que las empresas de transporte y actividades postales deben tener detalladas las medidas técnicas y administrativas que tienen activadas para cumplir la normativa de protección de datos.
Pues hay muchos empleados que están en contacto con la información que maneja la empresa, por lo que tienen que informarles de sus funciones y responsabilidades con respecto al uso de esta información.
La sanción no es firme y puede ser recurrida ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.
