L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de YUNEXPRESS S.L., comprenant le prononcé d’une amende totale de 9 000 euros pour des manquements relatifs à la gestion des contrats d’encadrement du traitement et à la protection des données personnelles dans le cadre de la livraison de colis. Comme souvent, cette affaire débute par une réclamation déposée le 9 novembre 2023 auprès de l’Agence espagnole de protection des données, celui-ci niant avoir signé un bon de livraison du colis qu'il attendait à son domicile, et que le document qui lui a été fourni comporte un numéro d’identification et une signature qui ne lui appartiennent pas. La réclamation a été transmise à SERVICIOS URBANOS VAAM S.L. (URVAAM), qui a indiqué ne pas être responsable du traitement, agissant pour le compte de YUNEXPRESS et ayant sous-traité la livraison à LAN COURIER, elle-même sous-traitante d’un travailleur indépendant.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir l’exactitude des données personnelles (article 5, paragraphe 1, point d) : Le bon de livraison fourni au plaignant contenait son nom et son prénom, mais une signature et un numéro de document national d'identité appartenant à une tierce personne. La mauvaise gestion des bons de livraison a conduit à l’association erronée de données personnelles de différentes personnes, affectant la fiabilité et le contrôle des données, et aboutissant à la situation décrite.
* Obligation de formaliser un contrat d’encadrement du traitement conforme (article 28 du RGPD) : le contrat entre YUNEXPRESS et URVAAM ne respecte pas les exigences du RGPD, notamment en matière de mesures de sécurité, d’autorisation de sous-traitance ultérieure, compromettant le contrôle sur la chaîne de traitement. En outre, la représentation légale de YUNEXPRESS n'était pas dûment consignée, ce qui compromet la validité du contrat en lui-même.

En conséquence, la structure s’est vue sanctionner d’une amende de 5 000 euros pour le manquement au contrat d’encadrement du traitement et de 4 000 euros pour la violation du principe d’exactitude, soit un total de 9 000 euros. Cette sanction a été réduite à 5 400 euros dans le cadre des procédures de paiement volontaire avec reconnaissance de responsabilité. En outre, l’autorité a ordonné à YUNEXPRESS S.L. de notifier dans un délai de trois mois la mise en œuvre des mesures correctrices, notamment l’adaptation du contrat d’encadrement du traitement avec URVAAM aux exigences du RGPD.