Agencia Espanola Proteccion Datos (AEPD) har utfärdat en sanktionsavgift 5 400 euro mot Yunexpress Spain S.L. för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att ärendet initierades efter ett klagomål från en privatperson. Vid leverans av en beställning som gjorts via Yunexpress kontrollerades mottagarens identitet bristfälligt av den leveranstjänst som agerade som personuppgiftsbiträde. Paketet överlämnades till fel person, och beställaren mottog aldrig sin vara. AEPD konstaterade att personuppgiftsbiträdet, i egenskap av att behandla personuppgifter för Yunexpress räkning, borde ha verifierat mottagarens identitet eller vidtagit en likvärdig kontrollåtgärd. Denna brist bedömdes strida mot principen om korrekthet enligt 5.1 (d) GDPR som kräver att personuppgifter ska vara korrekta och vid behov uppdaterade, samt att rimliga åtgärder ska vidtas för att säkerställa detta.
AEPD fann även att Yunexpress hade anlitat ett personuppgiftsbiträde utan att säkerställa att ett tillräckligt personuppgiftsbiträdesavtal fanns på plats, vilket innebar en överträdelse av artikel 28.3 GDPR, som kräver att relationen mellan personuppgiftsansvarig och personuppgiftsbiträde ska regleras genom ett skriftligt avtal.
Den ursprungliga sanktionsavgiften uppgick till 9 000 euro, men reducerades till 5 400 euro efter att Yunexpress omedelbart betalat avgiften och erkänt ansvar för överträdelserna.