Citibox patina con la privacidad y no explica por qué recabó sin permiso datos de clientes

Citibox es una empresa tecnológica que instala buzones inteligentes residenciales en los portales de las comunidades de vecinos para facilitar la recepción de paquetes provenientes de compras por internet. Es una compañía fundada hace una década por el emprendedor valenciano David Bernabeu de la que hoy forman parte más de 100 personas.

“Somos la empresa que está resolviendo el problema de la última milla, que vio un problema en el hecho de no saber cuándo y cómo vamos a recibir una compra online”, explican en su página web.

Cómo funciona Citibox

El sistema funciona, a priori, de manera sencilla: Citibox instala módulos de buzones en el portal del edificio y, cuando un repartidor de la empresa de mensajería de turno llega con un paquete, selecciona un compartimento libre y deposita el producto.  

@pecasy Storytime de la mejor manera de recoger paquetes si no te pillan en casa 🥰 que os parece? Conocías #CitiBox? #ugc #parati #contentcreator #paqueteria #paquetes #creadoradecontenido ♬ Positive background music such as play and games(1251730) - earbrojp

En ese mismo instante, el destinatario recibe una notificación con un código en la aplicación móvil de Citibox en la que se le informa de que su paquete ya está disponible. Al llegar a su portal, el usuario abre el buzón y retira el pedido en el momento que le resulte más cómodo. Es gratuito para los usuarios: el negocio está en la comisión que Citibox carga a los transportistas.

Opiniones de los usuarios

Citibox tiene más de 36.000 reseñas en Google Play, donde es una app realmente bien valorada: tiene 4,7 estrellas sobre 5. 

En cambio, en Trustpilot hay apenas 40 comentarios, algunos de ellos muy negativos. “Una estafa, nunca he dado mi autorización para que me dejaran porque en estos buzones, y además el paquete nunca, el buzón estaba vacío. No se hacen cargo de nada. Tengo una denuncia puesta en la oficina del consumidor para recuperar mi dinero”, expresó una clienta recientemente. 

El auge del comercio electrónico juega a su favor

En abril, la empresa logró cerrar una ronda de financiación de 100 millones de euros liderada por Ithaka, fondo especializado en el desarrollo de infraestructuras en Europa. El crecimiento del comercio electrónico juega a su favor: cada año se envían en España cientos de millones de paquetes, y si Citibox hace las cosas bien, puede ahorrar muchos dolores de cabeza a repartidores y consumidores.

Sin embargo, hace un par de años, la compañía derrapó. La Agencia Española de Protección de Datos (AEPD) abrió procedimiento sancionador contra Seur y Citibox tras la denuncia de un usuario al que le dejaron un paquete en un buzón sin su autorización.

El repartidor deposita el paquete en el buzón sin consentimiento explícito

El usuario realizó su compra solicitando la entrega en su propio domicilio. Sin embargo, el repartidor de Seur depositó el paquete en uno de los buzones inteligentes de Citibox ubicados en las zonas comunes del edificio, sin contar con el consentimiento del destinatario.

Tras la reclamación, la AEPD constató que Seur, responsable del tratamiento de los datos de sus clientes, los había cedido parcialmente a Citibox sin formalizar la garantía legal obligatoria. Al no existir dicho acuerdo, Citibox no tenía legitimación para gestionar ni procesar los datos de los usuarios procedentes de los envíos de Seur. 

Registro de usuarios bloqueados

Para más inri, con el objetivo de no repetir entregas no autorizadas, Citibox creó un registro propio de usuarios bloqueados. Paradójicamente, así empeoró la situación. “El caso me parece especialmente interesante porque demuestra que el problema no está tanto en este tipo de servicios tecnológicos, que pueden resultar muy útiles, sino en cómo se diseñan desde el punto de vista de la protección de datos”, explica a este medio Samuel Parra, abogado especializado en tecnología y experto en ciberseguridad. 

En este caso, arguye, Citibox podía tratar determinados datos del destinatario para hacer posible la entrega del paquete, pero debía hacerlo dentro de la finalidad para la que Seur se los había facilitado. Debía existir, precisa el experto, “una correcta delimitación de las responsabilidades entre ambas compañías”. Por eso, utilizar los números de teléfono para crear una lista de exclusión propia y a priori permantente fue un patinazo. 

Un nuevo tratamiento de los mismos datos

“Para atender la voluntad de una persona que no quería que Citibox tratase sus datos en futuras entregas se creó un nuevo tratamiento de esos mismos datos, además con una vocación de permanencia en el tiempo”, indica Parra.

Lo correcto, por tanto, habría sido “configurar desde el principio la relación entre Seur y Citibox conforme a la realidad del tratamiento: Seur como responsable y Citibox como encargado para aquellas operaciones realizadas por cuenta de Seur, estableciendo expresamente qué datos podía utilizar Citibox, para qué finalidad y durante cuánto tiempo”. 

La compañía no responde

Este medio ha contactado con Citibox para preguntar qué lectura hace del incidente, durante cuánto tiempo permanecían los números de los usuarios en la lista de exclusión y con qué criterios se depuraban. Sin embargo, a pesar de la predisposición inicial, la compañía no ha contestado. 

“El crecimiento del comercio electrónico hace que cada vez intervengan más actores tecnológicos en algo aparentemente tan sencillo como entregar un paquete: comercio, operador logístico, plataformas de seguimiento, puntos de recogida, taquillas inteligentes, aplicaciones, etc. Cada integración supone nuevos flujos de información y aumenta el riesgo de que datos obtenidos para una finalidad concreta terminen reutilizándose para otra”, advierte Samuel Para.

Quién decide sobre cada tratamiento

La solución, razona, no pasa por renunciar a estos servicios, sino por aplicar realmente la privacidad desde el diseño: “utilizar únicamente los datos imprescindibles, definir correctamente quién decide sobre cada tratamiento, limitar las finalidades y establecer plazos de conservación claros”. 

A juicio del letrado, “la comodidad y la privacidad no deberían ser incompatibles si el servicio se ha diseñado correctamente desde su origen”.