EMPRESAS DE TRANSPORTE Y MENSAJERÍA
1. Las empresas de transporte y/o mensajería son ¿responsables o encargadas del tratamiento?
Para determinar si una empresa de transporte o mensajería, cuando es contratada por otra entidad y no por un particular, asume la condición de responsable o de encargado del tratamiento, se deberá tener en cuenta las circunstancias del caso concreto, la relación jurídica que se haya establecido entre las entidades intervinientes y sus obligaciones específicas, así como las obligaciones que puedan venir impuestas por el ordenamiento jurídico para la correcta prestación del servicio.
Cuando una entidad contrata los servicios de una empresa de trasporte y/o mensajería para hacer llegar sus pedidos a cualquier persona destinataria, tiene que facilitar a estas empresas los datos personales de las mismas para que puedan gestionar y entregar el pedido. En este sentido, será:
- Responsable del tratamiento cuando determine los fines y medios del tratamiento; o
- Encargado del tratamiento cuando trate los datos personales por cuenta del responsable del tratamiento.
2. Responsable del tratamiento
La cesión de datos personales a una empresa de transporte o mensajería para que pueda prestar el servicio implica un tratamiento de datos y, aunque puede parecer que actúen como encargados del tratamiento, existen las siguientes razones que, en la mayoría de los casos, impiden encuadrarlas con esta responsabilidad:
- Tienen impuestas unas obligaciones legales específicas en materia de protección de datos (Ley 43/2010) que las someten a una normativa específica sujeta a secreto profesional, confidencialidad, protección de datos y deberes de fidelidad en la gestión del envío; de modo que su actividad debe atender y respetar dichos compromisos.
- Incorporan los datos recibidos en sus propios sistemas para sus propios fines, es decir determinando por su cuenta el modo en que se lleva a cabo el servicio contratado hasta la entrega de la mercancía a la persona destinataria.
2.1. Contrato que regularice el flujo de datos
En este caso, no existe la obligación de firmar un contrato conforme al art. 28.3 RGPD al no existir encargo. La firma de un contrato de cesión de datos, aunque no está establecida específicamente en ningún precepto del RGPD, puede ser una medida de seguridad contractual recomendable.
2.2. Información al interesado
En lo referente a la información sobre el tratamiento que deben facilitar ambas empresas, remitente y empresa de transporte, al interesado:
- La empresa que envía el pedido debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la venta del producto o prestación del servicio que exige el art. 13 RGPD, incluyendo:
- Si fuera posible, el nombre de la empresa de transporte y/o mensajería que gestionará el envío y por tanto a la que se cederán los datos para ello o, si no fuese posible, las empresas de transporte y/o mensajería como categoría de destinatarios (art. 13.1.e RGPD).
- La empresa de transporte y/o mensajería debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la gestión del envío que exige el art. 14 RGPD, incluyendo:
- Las categorías de datos personales que les han cedido: identificativos, de localización, etc. (art. 14.1.d RGPD).
- Si fuera posible, el nombre de la empresa que le ha facilitado sus datos o, si no fuese posible, las empresas clientes que contratan sus servicios como categoría de fuente de procedencia (art. 14.1.f RGPD).
3. Encargado del tratamiento
La transmisión de datos personales a una empresa de transporte o mensajería para que pueda prestar el servicio será considerada un encargo del tratamiento cuando la empresa contratista determine el modo en que se lleva a cabo el servicio contratado hasta la entrega de la mercancía a la persona destinataria, es decir, cuando la empresa contratista decide los fines y los medios del tratamiento y la empresa de transporte o mensajería (encargada del tratamiento) no actúa por su cuenta sino por cuenta de la empresa que la ha contratado (responsable del tratamiento).
En este sentido, los datos personales que trata la empresa de transporte o mensajería serán única y exclusivamente responsabilidad de la contratista, siendo la empresa contratada un encargado del tratamiento que solo podrá tratar los datos personales siguiendo instrucciones de la empresa contratista (responsable del tratamiento).
3.1. Contrato que regularice el flujo de datos
En este caso, se debería suscribir y firmar entre la entidad remitente del envío (responsable del tratamiento) y la empresa de transporte y/o mensajería un contrato de encargo del tratamiento, conforme a lo establecido por el art. 28.3 RGPD.
3.2. Información al interesado
La empresa que envía el pedido (responsable del tratamiento) debe facilitar a sus clientes la información sobre el tratamiento de sus datos personales que supone la venta del producto o prestación del servicio que exige el art. 13 RGPD y tal como indica el CEPD en su Dictamen 22/2024 sobre determinadas obligaciones derivadas de recurrir a encargados y subencargados del tratamiento los encargados del tratamiento a los que se transfieren datos se consideran “destinatarios”, por tanto se debe informar sobre los encargados o categorías de encargados conforme a lo establecido en el art. 13.1.e RGPD