Responsabilidad del tratamiento en las empresas de transporte y mensajería
EMPRESAS DE TRANSPORTE Y MENSAJERÍA
1. Las empresas de transporte y/o mensajería son ¿responsables o encargadas del tratamiento?
Para determinar si una empresa de transporte o mensajería, cuando es contratada por otra entidad y no por un particular, asume la condición de responsable o de encargado del tratamiento, se deberá tener en cuenta las circunstancias del caso concreto, la relación jurídica que se haya establecido entre las entidades intervinientes y sus obligaciones específicas, así como las obligaciones que puedan venir impuestas por el ordenamiento jurídico para la correcta prestación del servicio.
Cuando una entidad contrata los servicios de una empresa de trasporte y/o mensajería para hacer llegar sus pedidos a cualquier persona destinataria, tiene que facilitar a estas empresas los datos personales de las mismas para que puedan gestionar y entregar el pedido. En este sentido, será:
- Responsable del tratamiento cuando determine los fines y medios del tratamiento; o
- Encargado del tratamiento cuando trate los datos personales por cuenta del responsable del tratamiento.
2. Responsable del tratamiento
La cesión de datos personales a una empresa de transporte o mensajería para que pueda prestar el servicio implica un tratamiento de datos y, aunque puede parecer que actúen como encargados del tratamiento, existen las siguientes razones que, en la mayoría de los casos, impiden encuadrarlas con esta responsabilidad:
- Tienen impuestas unas obligaciones legales específicas en materia de protección de datos (Ley 43/2010) que las someten a una normativa específica sujeta a secreto profesional, confidencialidad, protección de datos y deberes de fidelidad en la gestión del envío; de modo que su actividad debe atender y respetar dichos compromisos.
- Incorporan los datos recibidos en sus propios sistemas para sus propios fines, es decir determinando por su cuenta el modo en que se lleva a cabo el servicio contratado hasta la entrega de la mercancía a la persona destinataria.
2.1. Contrato que regularice el flujo de datos
En este caso, no existe la obligación de firmar un contrato conforme al art. 28.3 RGPD al no existir encargo. La firma de un contrato de cesión de datos, aunque no está establecida específicamente en ningún precepto del RGPD, puede ser una medida de seguridad contractual recomendable.
2.2. Información al interesado
En lo referente a la información sobre el tratamiento que deben facilitar ambas empresas, remitente y empresa de transporte, al interesado:
- La empresa que envía el pedido debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la venta del producto o prestación del servicio que exige el art. 13 RGPD, incluyendo:
- Si fuera posible, el nombre de la empresa de transporte y/o mensajería que gestionará el envío y por tanto a la que se cederán los datos para ello o, si no fuese posible, las empresas de transporte y/o mensajería como categoría de destinatarios (art. 13.1.e RGPD).
- La empresa de transporte y/o mensajería debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la gestión del envío que exige el art. 14 RGPD, incluyendo:
- Las categorías de datos personales que les han cedido: identificativos, de localización, etc. (art. 14.1.d RGPD).
- Si fuera posible, el nombre de la empresa que le ha facilitado sus datos o, si no fuese posible, las empresas clientes que contratan sus servicios como categoría de fuente de procedencia (art. 14.1.f RGPD).
3. Encargado del tratamiento
La transmisión de datos personales a una empresa de transporte o mensajería para que pueda prestar el servicio será considerada un encargo del tratamiento cuando la empresa contratista determine el modo en que se lleva a cabo el servicio contratado hasta la entrega de la mercancía a la persona destinataria, es decir, cuando la empresa contratista decide los fines y los medios del tratamiento y la empresa de transporte o mensajería (encargada del tratamiento) no actúa por su cuenta sino por cuenta de la empresa que la ha contratado (responsable del tratamiento).
En este sentido, los datos personales que trata la empresa de transporte o mensajería serán única y exclusivamente responsabilidad de la contratista, siendo la empresa contratada un encargado del tratamiento que solo podrá tratar los datos personales siguiendo instrucciones de la empresa contratista (responsable del tratamiento).
Por ejemplo, una persona contrata la entrega de un paquete a través de una empresa de transporte (Entidad 1) pero, para gestionar dicha entrega la Entidad 1 contrata a un operador postal independiente (Entidad 2) para que deposite el paquete en una taquilla electrónica gestionada por la Entidad 2. Una vez depositado el paquete en la taquilla, si el destinatario está registrado en la APP de la Entidad 2, la entrega se gestionará a través de la APP. En cambio, si no está registrado, la Entidad 2 contacta directamente con el destinatario mediante SMS al número proporcionado por la Entidad 1 para informarle de las posibilidades de recogida del paquete.
En este caso, la Entidad 2 actúa como encargado del tratamiento ya que sigue las instrucciones de la Entidad 1, que era la que tenía la obligación de entregar el paquete al destinatario, ejecutando algunas de sus operaciones de tratamiento.
Si la Entidad 2 realizara tratamientos posteriores utilizando datos inicialmente obtenidos en el marco de la operativa de entrega, ya no podrían considerarse comprendidas dentro de la finalidad inicial definida por la Entidad 1 y se consideraría la aparición de una finalidad autónoma propia de la Entidad 2, asumiendo en ese caso la condición de responsable del tratamiento.
Es decir, una misma entidad puede actuar inicialmente como encargada del tratamiento respecto de una operación concreta y convertirse posteriormente en responsable del tratamiento cuando reutiliza los datos para fines propios no amparados por las instrucciones recibidas, por supuesto cumpliendo con todo lo exigido por el RGPD para dichos fines, entre otras cuestiones, contando con una base jurídica que ampare el tratamiento. ( Criterio jurídico AEPD, PS-00247-2024 PS-00248-2024).
3.1. Contrato que regularice el flujo de datos
En este caso, se debería suscribir y firmar entre la empresa de transporte (responsable del tratamiento) y la entidad contratada para gestionar la entrega (encargado del tratamiento) un contrato de encargo del tratamiento, conforme a lo establecido por el art. 28.3 RGPD.
3.2. Información al interesado
La empresa que envía el pedido (responsable del tratamiento) debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la venta del producto o prestación del servicio que exige el art. 13 RGPD y tal como indica el CEPD en su Dictamen 22/2024 sobre determinadas obligaciones derivadas de recurrir a encargados y subencargados del tratamiento los encargados del tratamiento a los que se transfieren datos se consideran “destinatarios”, por tanto se debe informar sobre los encargados o categorías de encargados conforme a lo establecido en el art. 13.1.e RGPD