La AEPD sanciona a SEUR y Citibox por fallos de protección de datos en las entregas con taquillas

Qué se ha resuelto

La AEPD publicó el 8 de junio de 2026 un análisis de dos resoluciones cuyos expedientes terminaron en 2025. SEUR GEOPOST pagó 164.000 € tras la reducción voluntaria del 20%; la resolución recoge infracciones relacionadas con la falta de contrato de encargo del artículo 28 del RGPD y la confidencialidad de los datos. CITIBOX SMART SERVICES pagó 4.000 € —5.000 € antes de la reducción— por tratar números de teléfono de destinatarios para mantener una lista de exclusión de uso propio; la AEPD ordenó acreditar la supresión de esos datos. Citibox pagó el 10 de octubre de 2025 y su resolución lleva esa fecha; SEUR pagó el 30 de septiembre de 2025. La AEPD determinó que, para la operativa de entrega analizada, SEUR definía los fines y medios y Citibox actuaba como encargada; el rótulo contractual de las partes no prevalece sobre su función real.

Por qué importa a las empresas

El caso muestra que la calificación RGPD depende de quién decide los fines y medios en cada operación, no solo de la autonomía o del nombre que el contrato asigna a cada parte. También distingue la entrega del paquete de la reutilización posterior del teléfono por una finalidad propia. Una cadena de proveedores puede generar incumplimientos simultáneos de los artículos 28, 5 y 6 del RGPD y órdenes correctivas además de multas.

Qué revisar

1. Mapear qué entidad decide los fines y medios de cada operación y reflejar la relación real de responsable, encargado o corresponsable.
2. Formalizar contratos de encargo del artículo 28 con instrucciones, finalidades, categorías de datos, seguridad, subencargados, devolución y supresión.
3. Prohibir y auditar la reutilización de teléfonos y otros datos de entrega para listas, analítica o contacto propio sin base jurídica, transparencia y controles de retención.