Španělsko: pokuta 72 000 eur za porušení GDPR při doručování zásilek
V srpnu zveřejnil španělský úřad pro ochranu osobních údajů (AEPD) své rozhodnutí, v němž na základě stížnosti fyzické osoby uložil společnosti Fourth Party Logistics S.L. pokutu v celkové výši 120 000 eur, následně snížené na 72 000 eur, za porušení čl. 28 odst. 2 a 3 GDPR.
Úřad uvedl, že stěžovatel si u společnosti Centros Comerciales Carrefour, S.A. objednal zásilku, kterou subdodavatel společnosti Fourth Party Logistics doručil jiné osobě.
AEPD zjistil, že společnost Centros Comerciales Carrefour pověřila společnost Envialia World, S.L., aby provedla doručení zásilky stěžovateli. Fourth Party Logistics byla dílčím zpracovatelem společnosti Envialia World. Společnost Fourth Party Logistics následně zadala doručovací služby subdodavatelské společnosti Fourth Party Services (působící v rámci společnosti Fourth Party Logistics), která pro konečné doručení stěžovateli opět využila služeb společnosti Bee Logistics Corporation.
Jako správce údajů má společnost Carrefour uzavřenou smlouvu se zpracovatelem odpovědným za doručování, společností Fourth Party Logistics SL. V této smlouvě je stanoveno, že zpracovatel údajů by měl v případě uzavření smlouvy s dílčím zpracovatelem údajů informovat správce údajů. Přestože dodávku provedl dílčí zpracovatel, společnost Carrefour nebyla o existenci žádného dalšího dílčího zpracovatele údajů dále informována.
Stanovisko
Po analýze vztahů jednotlivých zúčastněných stran AEPD zjistil, že je zřejmé, že mezi společnostmi Envialia World, Fourth Party Logistics a Fourth Party Services existoval smluvní vztah. AEPD však konstatoval, že neexistují žádné důkazy o smluvním vztahu mezi společnostmi Fourth Party Logistics a Bee Logistics Corporation. Proto AEPD shledal, že subdodavatelské smlouvy nebyly v souladu s čl. 28 odst. 2 a 3 GDPR, neboť chyběly smlouvy a dohody o právních úkonech o nakládání s osobními údaji.
S ohledem na výše uvedené skutečnosti uložila AEPD společnosti Fourth Party Logistics pokuty v celkové výši 120 000 eur. AEPD dále uvedla, že společnost Fourth Party Logistics uznala svou odpovědnost a pokutu dobrovolně zaplatila, a proto byla pokuta následně snížena na 72 000 eur.