PA-00019-2023

1/23 Expediente N.º: EXP202304290 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de febrero de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INSTITUTO PARA LA DIVERSIFICACIÓN Y AHORRO DE LA ENERGÍA con NIF Q2820009E (en adelante, la parte reclamada o IDAE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante ha instalado un sistema de placas fotovoltaicas y baterías en su vivienda. Para efectuar la citada inversión ha solicitado una subvención al Instituto para la Diversificación y Ahorro de la Energía, es decir, a la parte reclamada. Según afirma, la Fundación de la Energía de la Comunidad de Madrid le ha comunicado que para optar al cobro de la subvención se encuentra obligado a colocar un cartel informativo en la puerta de su casa durante un período de 5 años. En el citado cartel se deben incluir los datos del beneficiario, el presupuesto del proyecto y la cantidad de la subvención recibida por parte del organismo público. La parte reclamante considera que la citada obligación vulnera la normativa de protección de datos, ya que a través de la misma se le impone la revelación de sus datos identificativos y los de la obra que ha llevado a cabo a todos los viandantes, los cuales no tienen por qué tener acceso a los mismos. Finalmente, advierte que no tiene inconveniente en poner el cartel siempre y cuando no aparezca su nombre ni las cantidades económicas, que ningún vecino o viandante pueda tener acceso a esa información privada. Junto a la presente reclamación se aporta por la parte reclamante como documentación relevante: . Correo electrónico sobre cartel informativo en el sector residencial, de fecha 09/02/2023, que la parte reclamante dirigió a la Fundación de la Energía de la Comunidad de Madrid, a la dirección “***EMAIL.1”, y repuesta de esta entidad. El detalle de estos correos electrónicos consta reseñado en el Hecho Probado Primero de esta resolución. . “Manual de Imagen para el Real Decreto 477/2021”, editado por IDAE. Incluye un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 ejemplo de “Cartel publicitario o señalización de la actuación”, diseñado para recoger los datos relativos al beneficiario, inversión total, importe de la ayuda, entre otros. Asimismo, con este ejemplo incluye enlaces para descargar un cartel editable y la información siguiente: “El perceptor debe colocar en un lugar bien visible para el público, un cartel publicitario o señalización de la actuación en el que se mencionará la ayuda financiera recibida, con el emblema “Plan de Recuperación, Transformación y Resiliencia - Financiado por la Unión Europea - NextGenerationEU”, siguiendo las instrucciones establecidas en el manual de imagen del IDAE relativas a la cartelería”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En respuesta a tal requerimiento, IDAE expone que “(…) si bien debe considerarse que el reclamante se encuentra obligado por norma de Derecho de la Unión Europea a comunicar y dar publicidad y visibilidad de la financiación obtenida para la instalación objeto del programa de ayudas, regulado por el Real Decreto 477/2021, de 29 de junio, de acuerdo con lo previsto en su artículo 20.1 y apartado AII.B de su anexo II, así como el artículo 13.2 de la convocatoria aprobada mediante Resolución de la Fundación de la Energía de la Comunidad de Madrid de 28 de octubre de 2021, modificada por Resolución de 19 de julio de 2022, desde este Instituto se efectuará consulta a la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública. Esta consulta tendrá por objeto determinar si, en aplicación del principio de proporcionalidad, la eliminación de los carteles de los datos del beneficiario (cuando se trate de persona física) y de los datos económicos, presupuesto y ayuda concedida, podría, a juicio de dicha Secretaría General de Fondos Europeos, contravenir las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia. En el caso de que la Secretaría General de Fondos Europeos confirmara que la eliminación de dicha información no compromete la financiación europea, este Instituto modificará el Manual de Imagen relativo al Real Decreto 477/2021, de 29 de junio, en consonancia con dicho pronunciamiento. TERCERO: Con fecha 10 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 En el seno de dichas actuaciones de investigación, se recibe en fecha 28/06/2023, contestación de IDAE dando cuenta del resultado de la consulta enviada a la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública, en los siguientes términos: Primero.- Que, como parte de la decisión adoptada por el Instituto para la Diversificación y Ahorro de la Energía (IDAE) en virtud del requerimiento de información recibido de este organismo, en fecha 23 de mayo de 2023, se procedió a formular consulta a la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública sobre las obligaciones de publicidad del Plan de Recuperación, Transformación y Resiliencia (PRTR) para beneficiarios personas físicas. Dicha consulta se efectuó al objeto de determinar si, en aplicación del principio de proporcionalidad, la eliminación en los carteles de los datos del beneficiario, de la inversión y ayuda concedida (cuando se trate de beneficiario persona física), podría, a juicio de esa Secretaría General de Fondos Europeos, contravenir las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia, en aras de que, en caso necesario, se modifique el Manual de Imagen relativo al Real Decreto 477/2021, de 29 de junio, para garantizar el pleno cumplimiento de la normativa de protección de datos. Se adjunta como Anexo I copia de la consulta formulada a la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública. Segundo.- Que, en fecha 29 de mayo de 2023, se recibió respuesta de la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública indicando que la eliminación en los carteles de los datos del beneficiario, cuando son personas físicas, no contravendría las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia y, por lo tanto, no compromete la financiación europea, dado que los ejemplos de carteles informativos que se incluyen en el Manual de Obligaciones de Comunicación están destinados a obras a realizar por personas jurídicas, no físicas, no existiendo ninguna norma oficial que, de manera expresa, obligue a incluir en los carteles los datos de los beneficiarios si se trata de personas físicas. Tercero.- Que, teniendo en cuenta lo anterior, este Instituto ha procedido a modificar el manual de imagen para el programa de ayudas regulado por el Real Decreto 477/2021 objeto de la reclamación, que puede consultarse en el siguiente enlace: ***URL.1 y procederá a revisar los manuales de imagen de los diferentes programas de ayudas publicados en la web con el objeto de concretar que, en el caso de beneficiarios personas físicas, no resulta necesario incluir el nombre y apellidos del beneficiario y los datos económicos, presupuesto y ayuda concedida en los carteles de señalización de la actuación. El IDAE solicita, a la vista de lo expuesto, que se acuerde el archivo de la reclamación. QUINTO: Con fecha 15 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1

1. f)y 32 del RGPD, tipificadas en los artículos 83.5 y 83.4 del RGPD, calificadas como muy grave y grave, y a efectos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 prescripción en los artículos 72.1
2. a)y 73
3. f)de la LOPDGDD respectivamente. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 16 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 5 de febrero de 2024, la parte reclamada presenta escrito en el que solicita el archivo de la reclamación en base a las siguientes alegaciones: “Primera: En primer lugar, se manifiesta absoluta disconformidad con la apertura del procedimiento de apercibimiento de referencia toda vez que, tal y como consta en el expediente, consta acreditado que este Instituto ha actuado en todo momento con la debida diligencia frente a la reclamación que motiva el inicio de dicho procedimiento, implementando medidas y rectificando la conducta que hubiera podido ocasionar un daño al reclamante así como un incumplimiento de la normativa de protección de datos. En este contexto, en el Acuerdo notificado no se ha tenido en cuenta ni considerado la forma en que se gestionan las ayudas reguladas por el Real Decreto 477/2021, respondiendo las actuaciones de este Instituto, en todo momento, a un procedimiento totalmente reglado que establece múltiples controles para garantizar el cumplimiento de los fines y objetivos perseguidos con dichas ayudas. Así, el IDAE es el organismo competente para realizar la coordinación y el seguimiento de los programas de ayudas, si bien su tramitación y gestión corresponden directamente a cada comunidad autónoma beneficiaria. Todos los programas de ayudas regulados por el Real Decreto 477/2021 son financiados con los fondos procedentes del Mecanismo de Recuperación y Resiliencia, establecido por el Reglamento (UE) 2021/241 del Parlamento Europeo y del Consejo, de 12 de febrero de 2021, al estar contemplados en el Plan de Recuperación, Transformación y Resiliencia, y se corresponden con las tipologías de inversión contempladas en el mismo respecto a la inversión de su Componente 7 (C7.I1), para el desarrollo de energías renovables innovadoras, integradas en la edificación y en los procesos productivos, así como, en cuanto al almacenamiento con fuentes de energía renovable, a la inversión de su Componente 8 (C8.I1), despliegue del almacenamiento energético, impulso del almacenamiento detrás del contador e integrado sectorialmente, que se ejecuta conjuntamente con la anterior. El buen desarrollo del Plan de Recuperación, Transformación y Resiliencia se evalúa mediante los hitos y objetivos asignados a cada inversión y componente, aprobados en el marco del Plan, que son condición indispensable para el libramiento de los correspondientes fondos a España. Aunque IDAE sea quien publica en su web las instrucciones sobre formatos y modelos ajustados a los requerimientos que recibe para la ejecución y gestión tanto del Plan de Recuperación, Transformación y Resiliencia como del Mecanismo de Recuperación y Resiliencia, establecido por el Reglamento (UE) 2021/241 del Parlamento Europeo y del Consejo, de 12 de febrero de 2021, las mismas están basadas en el Manual de comunicación para gestores y beneficiarios de los fondos del Plan de Recuperación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Transformación y Resiliencia elaborado por la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública, por lo que las exigencias de publicidad de las ayudas recibidas se sitúan en el ámbito de un proceso perfectamente reglado por diversas normas europeas y nacionales, donde intervienen distintas administraciones de ámbito nacional y europeo, cada una dentro de su propia esfera de responsabilidad, siendo así que los variados procesos aplicables son revisados periódicamente por medio de auditorías internas y externas que tratan de asegurar su fiabilidad, comprometiendo la implementación de constantes acciones de mejora. De manera adicional y como ya se puso de manifiesto en la respuesta a la solicitud de información previa, debe tenerse en cuenta que los datos personales correspondientes a los beneficiarios de ayudas públicas son objeto de publicación en la Base de Datos Nacional de Subvenciones, todo ello de acuerdo con lo dispuesto por el artículo 20 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones, para garantizar el derecho de los ciudadanos a conocer todas las subvenciones y ayudas públicas convocadas en cada momento y para contribuir a los principios de publicidad y transparencia. Por ello, la solicitud de una concesión de este tipo por parte de una persona física implica necesariamente que los datos del beneficiario sean publicados en dicha base de datos, pasando a ser datos de carácter público. Segunda: Este Instituto, siguiendo un principio de responsabilidad proactiva, actuó de oficio, y con la máxima celeridad, formulando la necesaria consulta a la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública, que tiene atribuidas, entre otras competencias, la coordinación y seguimiento de las actuaciones relativas a los fondos europeos y a su financiación, así como las relaciones presupuestarias con la Unión Europea. Como resultado de dicha consulta, este Instituto pudo proceder a la actualización de los manuales de ayuda, suprimiendo la exigencia de incluir los datos personales del beneficiario, cuando se trata de una persona física, al confirmarse que con ello no se contravenían las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia. Ítem más, se procedió a comunicar a todos los organismos gestores de las comunidades autónomas, encargados de la tramitación y concesión de las subvenciones, la necesidad de rectificar el cartel correspondiente, al no resultar exigible que en el mismo figuren los datos personales de los beneficiarios personas físicas. Se adjunta como documento nº1 copia de la comunicación efectuada. Todas estas medidas han sido llevadas a cabo nada más conocer que podrían mejorarse los procesos establecidos por la normativa para preservar aún más los derechos y libertades de los ciudadanos. Incidir en el hecho de que este Instituto no tuvo ningún conocimiento previo de la reclamación que fundamenta el Acuerdo de referencia, ya que el reclamante no se dirigió a éste en ningún momento, sino a la Fundación de la Energía de la Comunidad de Madrid (FENERCOM), que es la entidad que convoca las ayudas solicitadas por el reclamante. No ha existido, por tanto, mala fe ni dolo a la hora de establecer una exigencia de publicidad de determinados datos personales de personas físicas. Más bien se ha tratado, quizá, de una inadecuada interpretación extensiva de la normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 aplicable, pronta y debidamente rectificada, sin que ello pueda implicar que se afirme, en abstracto, que no se disponen de “medidas adecuadas”. Tercera: Por otra parte, no puede obviarse que el reclamante, al señalar que no” tendría problema en colocar el cartel”, determina el elemento clave que permite inferir que dicho cartel nunca llegó a estar colocado, por lo que, en ningún caso, pudo haberse visto comprometida la confidencialidad de los datos personales ni llegado a producir daño alguno a dicho reclamante. Cuarta: En cuanto a la tipificación de una infracción ex artículo 5.1.
4. f)del RGPD y el artículo 32 del RGPD, este Instituto se muestra disconforme toda vez que, tal y como se ha manifestado en la alegación primera, se dispone de las debidas medidas de seguridad técnicas y organizativas, siendo así que, en ningún caso, como se ha dicho, se ha llegado a comprometer la confidencialidad de ningún dato personal, por lo que, no se han vulnerado los derechos del reclamante, y por ello no puede considerarse la infracción que se aduce. Establece el art. 77 de la LOPDGDD que: “(…) la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido”. No entiende esta parte que se haya iniciado este procedimiento de apercibimiento, toda vez que la naturaleza del apercibimiento es imponer medidas para que se cese la conducta o se corrijan los efectos de una infracción que se hubiese cometido. Desde el IDAE, de oficio, antes del inicio de este expediente de apercibimiento, se aportó documentación acreditativa de que se había modificado la interpretación de las directrices de la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública sobre las obligaciones de publicidad del Plan de Recuperación, Transformación y Resiliencia (PRTR) a la hora de elaborar el cartel informativo modelo, habiéndose realizado también comunicación de este hecho a todos los organismos de las comunidades autónomas encargados de otorgar las subvenciones, por lo que se tomaron todas las medidas pertinentes, no existiendo ninguna más que pudiera realizarse adicionalmente. Por otro lado, en el Acuerdo de inicio del procedimiento de apercibimiento, se propone un apercibimiento por el incumplimiento del artículo 5.1
5. f)del RGPD (principio de integridad y confidencialidad) y por incumplimiento del articulo 32 (seguridad del tratamiento). El artículo 5.1
6. f)determina que los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”, limitándose a decir en el mencionado Acuerdo que: “De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1
7. f)del RGPD.” Esto es, la AEPD propone imponer un apercibimiento por infracción del artículo 5.1.f del RGPD por “unos indicios evidentes de que el reclamado vulneró el artículo 5.1.f del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 RGPD”, siendo éstos la única justificación y/o motivación para la imposición del apercibimiento. Si ese organismo considera sancionar a este Instituto por unos indicios, estos deben encontrarse plenamente probados, pues no cabe evidentemente construir certezas sobre la base de simples probabilidades. Como ha quedado acreditado, no se llegó a vulnerar el art. 5 ya que no se tiene constancia de que el cartel fuera colocado. El supuesto incumplimiento del artículo 5.1 f se encuentra tipificado como una infracción muy grave en el caso de que exista “vulneración sustancial de los artículos mencionados”. De igual manera está catalogada como grave la “vulneración sustancial” del artículo 32.1. Este Instituto entiende, por tanto, que existe un proceso reglado por diversas normas europeas y nacionales, existiendo medidas de seguridad técnicas y organizativas tal y como se ha expuesto anteriormente. En todo caso, este Instituto se muestra disconforme con que la conducta objeto del Acuerdo de inicio del procedimiento de apercibimiento dé lugar, a criterio de la AEPD, a dos infracciones independientes (art. 5.1
8. f)y art. 32 del RGPD). En virtud de lo anterior, consideramos que ambas disposiciones protegen un interés jurídico común, por lo que, en este caso, no debería apercibirse dos veces a IDAE por la misma infracción. En virtud de lo anterior, traemos a colación las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD publicadas por el Comité Europeo de Protección de Datos, el cual prevé la posibilidad de que, en el supuesto de que una conducta dé lugar a múltiples infracciones, la imputación de una infracción excluya la atribución de otra. Esto podría deberse al principio de especialidad o consumo, que a menudo se aplican cuando las disposiciones protegen el mismo interés jurídico. En tales casos, sería contrario a la norma sancionar dos veces al infractor por la misma ofensa. Dicho lo anterior, hacemos mención al principio de especialidad, el cual determina que una disposición más específica sustituye a una disposición más general. Por este motivo, consideramos que la presunta infracción del principio recogido en el art. 5.1
9. f)y del 32 del RGPD se solapan de manera congruente y una infracción podría sustituir a la otra, siendo contrario a la normativa la pretensión de apercibir a IDAE por estas dos infracciones de manera independiente. Lo mismo puede interpretarse del Principio de Consumo, el cual aplica en los casos en que la infracción de una disposición conduce regularmente a la infracción de la otra, como es el caso. Adicionalmente, incidir en que los hechos ocurridos no cuentan con intencionalidad o negligencia, se han tomado medidas de forma proactiva para paliar los daños o perjuicios que podrían haberse producido a los interesados, se han aplicado medidas técnicas y organizativas adicionales, y se ha cooperado con la autoridad de control con la mayor transparencia y diligencia. Queda acreditado, por tanto, que no se ha producido una vulneración de los preceptos citados, y mucho menos sustancial”. Con su escrito de alegaciones aporta copia de la comunicación que, según ha manifestado, IDAE dirigió a los órganos gestores de las Comunidades Autónomas. Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 trata de un correo electrónico, de fecha 05/07/2023, dirigido a “***EMAIL.2”, con el asunto “RD 477/2021: Manual de Imagen – Versión 2”. En este correo incluye un enlace a dicho “Manual” y advierte que el mismo sustituye al anterior e incluye modificaciones en los carteles publicitarios para personas físicas, dejando solo datos técnicos de la instalación subvencionada. OCTAVO: Con fecha 21/03/2024, a través de la web “***URL.2”, la Agencia Española de Protección de Datos accede al “Manual de imagen para el Real Decreto 477/2021”. El detalle de esta comprobación consta reseñado en el Hecho Probado Sexto de la presente resolución. En la misma fecha se accede, asimismo, al “Manual de Imagen del IDAE relativas a la cartelería”. El detalle de esta comprobación consta reseñado en el Hecho Probado Séptimo. En su apartado 4.6 incluye un enlace que conduce al “Manual de comunicación para gestores y beneficiarios de los fondos del Plan de Recuperación, Transformación y Resiliencia elaborado por la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública”. La información contenida en el apartado 3.1 de este último Manual, dedicado a “Carteles y placas”, consta reproducida en el Hecho Probado Tercero de la presente resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante ha sido beneficiaria de subvención para la instalación de un sistema de placas fotovoltaicas y baterías en su vivienda, en el marco del programa de ayudas regulado por el Real Decreto 477/2021, de 29 de junio, por el que se aprueba la concesión directa a las comunidades autónomas y a las ciudades de Ceuta y Melilla de ayudas para la ejecución de diversos programas de incentivos ligados al autoconsumo y al almacenamiento, con fuentes de energía renovable, así como a la implantación de sistemas térmicos renovables en el sector residencial, en el marco del Plan de Recuperación, Transformación y Resiliencia. Con ese motivo, la Administración actuante exigió a la parte reclamante, para poder optar al cobro de la subvención, la colocación de un cartel informativo durante un período de 5 años, en el que debía incluir sus datos personales relativos a nombre y apellido, el presupuesto del proyecto y la cantidad de la subvención recibida. Con fecha 09/02/2023, la parte reclamante dirigió un correo electrónico a la entidad Fundación de la Energía de la Comunidad de Madrid, a la dirección “***EMAIL.1”, en el que consulta lo siguiente: “Veo en el documento adjunto que la obligación de tener el cartel informativo recae sobre los solicitantes de las ayudas del sector industrial: (adjunta captura de pantalla correspondiente a un fragmento del manual de imagen). Pero no dice nada de los casos como el mío, que es residencial. ¿Estamos obligados, en el caso de solicitantes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 de las ayudas del sector residencial a poner ese cartel en la puerta de nuestra casa? ¿Me pueden enviar referencia al respecto en el RD correspondiente?”. La citada entidad respondió dicho correo en fecha 10/02/2023 informando lo siguiente: “En el mismo manual hace referencia a destinatarios últimos de las ayudas”. Posteriormente, en la misma fecha del 10/02/2023, la parte reclamante presentó reclamación ante la AEPD al considerar que la instalación del referido cartel vivible para cualquier viandante vulnera la normativa de protección de protección de datos personales. En su reclamación advierte que no tendría inconveniente en poner el cartel siempre no incluya información personal. SEGUNDO: La entidad IDAE tiene atribuida la competencia para realizar la coordinación y seguimiento de los programas de ayuda, correspondiendo su tramitación a cada Comunidad o Ciudad Autónoma. Para dar cumplimiento a las obligaciones de publicidad que conlleva el programa de ayudas, y en cumplimiento de lo establecido en el citado Real Decreto 477/2021 (artículo 20 “Publicidad”), IDAE editó el “Manual de Imagen para el Real Decreto 477/2021”, en el que se establecen los modelos de “Cartel publicitario o señalización de la actuación” que los interesados deben instalar en un lugar visible para el público, como requisito obligatorio para acceder al beneficio de la ayuda. Dicho cartel fue diseñado por IDAE para recoger los datos relativos al beneficiario, inversión total e importe de la ayuda, entre otros. En el mismo Manual se incluyen enlaces para descargar un cartel editable y la información siguiente: “El perceptor debe colocar en un lugar bien visible para el público, un cartel publicitario o señalización de la actuación en el que se mencionará la ayuda financiera recibida, con el emblema “Plan de Recuperación, Transformación y Resiliencia - Financiado por la Unión Europea - NextGenerationEU”, siguiendo las instrucciones establecidas en el manual de imagen del IDAE relativas a la cartelería”. TERCERO: La entidad IDAE, en su escrito de alegaciones a la apertura del presente procedimiento de apercibimiento, ha manifestado que las instrucciones sobre cartelería que publica, sus formatos y modelos, “están basadas en el “Manual de comunicación para gestores y beneficiarios de los fondos del Plan de Recuperación, Transformación y Resiliencia elaborado por la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública”. El apartado 3.1 de este último “Manual” está dedicado a “Carteles y placas”: “3.1.- CARTELES Y PLACAS Tanto en el Reglamento del MRR como en el Acuerdo de Financiación, se permite un amplio margen para utilizar los distintos elementos que den visibilidad a los proyectos del PRTR. La colocación de carteles es una buena opción para cumplir con las obligaciones de comunicación. En este sentido, en el PRTR no se hace distinción entre obras e intervenciones en función del importe de su coste, criterio que sí se venía utilizando en las obligaciones de comunicación de los Fondos Estructurales. LOCALIZACIÓN: Se recomienda siempre colocar el cartel o la placa en un lugar lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 más visible posible dentro del proyecto financiado para llegar al mayor número de ciudadanos. TAMAÑO: Se deben colocar carteles o placas de un tamaño razonable y proporcionado, no existiendo un tamaño mínimo obligatorio, quedando en manos del gestor el tamaño que más convenga para procurar la mayor visibilidad posible del mismo. Como siempre y en la medida de lo posible, se anima a utilizar las sinergias entre otras financiaciones de la UE y el MRR, ya que los requisitos de comunicación y visibilidad son similares. Se recomienda utilizar las siguientes características técnicas en referencia a los logos: . Que ocupen al menos un 25% de la superficie del cartel o la placa. . Que se ubiquen en la franja superior o inferior del cartel o la placa. Cuando los beneficiarios sean personas físicas y la ejecución se realice en espacios de carácter particular, se sugiere utilizar carteles más pequeños, al menos de tamaño A3, que muestren siempre los logos obligatorios. CONTENIDO RECOMENDADO: . Nombre del beneficiario (persona jurídica). . Nombre del proyecto/operación. . Plazo (optativo). • Presupuesto (optativo). . LOGOS: . Emblema de la Unión Europea + Financiado por la Unión Europea/Next Generation EU. . Plan de Recuperación, Transformación y Resiliencia. . Emblema del Ministerio gestor correspondiente”. CUARTO: La entidad IDAE, en su respuesta al requerimiento de información que le fue remitido por los Servicios de Inspección de la AEPD, ha manifestado “Que, en fecha 29 de mayo de 2023, se recibió respuesta de la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública indicando que la eliminación en los carteles de los datos del beneficiario, cuando son personas físicas, no contravendría las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia y, por lo tanto, no compromete la financiación europea, dado que los ejemplos de carteles informativos que se incluyen en el Manual de Obligaciones de Comunicación están destinados a obras a realizar por personas jurídicas, no físicas, no existiendo ninguna norma oficial que, de manera expresa, obligue a incluir en los carteles los datos de los beneficiarios si se trata de personas físicas”. QUINTO: La entidad IDAE, en su respuesta al requerimiento de información que le fue remitido por los Servicios de Inspección de la AEPD, informó haber procedido a “modificar el manual de imagen para el programa de ayudas regulado por el Real Decreto 477/2021 objeto de la reclamación” y que “procederá a revisar los manuales de imagen de los diferentes programas de ayudas publicados en la web con el objeto de concretar que, en el caso de beneficiarios personas físicas, no resulta necesario incluir el nombre y apellidos del beneficiario y los datos económicos, presupuesto y ayuda concedida en los carteles de señalización de la actuación”. SEXTO: Con fecha 21/03/2024, a través de la web “***URL.2”, la Agencia Española de Protección de Datos accede al “Manual de imagen para el Real Decreto 477/2021” para comprobar el modelo de cartel publicitario o de señalización de la actuación dispuesto para el caso de personas físicas sin actividad económica perceptores de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 fondos, cuando la ejecución se realice en edificios y fincas privadas. Según este “Manual”, el detalle de la información que debe recogerse en este cartel es el siguiente: “Proyecto acogido al programa de incentivos ligados al autoconsumo y almacenamiento, con fuentes de energía renovable, así como a la implantación de sistemas térmicos renovables en el sector residencia en el marco del Plan de Recuperación, Transformación y Resiliencia, financiado por la UniónEuropeaNexGenerationEU. Potencia (kW): Capacidad de almacenamiento (KWh): Real Decreto 477/2021”. SÉPTIMO: Con fecha 21/03/2024, a través de la web “***URL.2”, la Agencia Española de Protección de Datos accede al “Manual de Imagen del IDAE relativas a la cartelería”, comprobando que contiene la siguiente información: “CARTEL PUBLICITARIO O SEÑALIZACIÓN DE LA ACTUACIÓN El perceptor debe colocar en un lugar bien visible para el público, un cartel temporal de tamaño proporcional a la cuantía de la financiación (tamaño mínimo A3), con información sobre el proyecto, en el que se mencionará la ayuda financiera recibida, con el emblema “Plan de Recuperación, Transformación y Resiliencia - Financiado por la Unión Europea – NextGenerationEU”, el logo del PRTR y el logotipo de la línea de ayuda”, siguiendo las instrucciones establecidas en el manual de imagen del IDAE relativas a la cartelería”. Acompaña un ejemplo de cartel publicitario o de señalización de la actuación: “Proyecto acogido al Plan de transición energética en la Administración General del Estado, en el marco del Plan de Recuperación, Transformación y Resiliencia financiado por la Unión europea – NextGenerationEU Beneficiario Inversión total Importe total de la ayuda”. En este Manual no existe un ejemplo de cartel publicitario diferenciado para personas físicas perceptoras de financiación. En su apartado 4.6 incluye un enlace que conduce al “Manual de comunicación para gestores y beneficiarios de los fondos del Plan de Recuperación, Transformación y Resiliencia elaborado por la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Procedimiento El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. III Cuestiones previas. Responsabilidad de IDAE En el presente caso ha quedado acreditado que, como consecuencia de la obtención de una subvención para la instalación de un sistema de placas fotovoltaicas y baterías en su vivienda, se exigió a la parte reclamante la colocación de un cartel informativo en un lugar visible de su vivienda durante un período de 5 años. En el citado cartel se debían incluir, entre otros, los datos del beneficiario, el presupuesto del proyecto y la cantidad de la subvención recibida por parte del organismo público. La disposición del cartel con esta información por parte del beneficiario de la ayuda se establece en las normas que regulan la subvención, que contemplan la necesidad de dar publicidad y visibilidad de la financiación obtenida, configurada como un requisito obligatorio para acceder a la misma. La responsabilidad respecto del contenido del cartel corresponde a la entidad IDAE. Es cierto lo indicado por esta entidad es su escrito de alegaciones cuando señala que aquella exigencia de publicidad y visibilidad de las ayudas concedidas se contempla en diversas normas, tanto europeas como nacionales, incluido el Real Decreto 477/2021, de 29 de junio, que regula el programa de ayudas al que se acogió la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 reclamante. Según este Real Decreto, a la entidad IDAE corresponde la competencia para realizar la coordinación y el seguimiento de los programas de ayuda, si bien su tramitación y gestión corresponde directamente a cada Comunidad y Ciudad Autónoma. Esa función de coordinación incluye la elaboración de las instrucciones sobre publicidad de las ayudas. En cumplimiento de esta función, IDAE elabora los manuales correspondientes, que se encuentran disponibles en su web. Así se expresa el artículo 20 “Publicidad” del Real Decreto 477/2021: “1. Toda referencia a la actuación objeto de las ayudas reguladas por este real decreto en publicaciones, actividades de difusión, páginas web y en general en cualesquiera medios de difusión debe cumplir con los requisitos que figuren en el manual o manuales de Imagen de los programas de incentivos que estará disponible en la web del IDAE, en el que figurarán el Ministerio para la Transición Ecológica y el Reto Demográfico en el marco del Plan de Recuperación, Transformación y Resiliencia y el Mecanismo de Recuperación y Resiliencia, establecido por el Reglamento (UE) 2021/241 del Parlamento Europeo y del Consejo, de 12 de febrero de 2021, todo ello conforme a lo que se establezca al respecto, y en los términos previstos en el artículo 18.4 de la Ley 38/2003, de 17 de noviembre, y 31 de su Reglamento de desarrollo, aprobado por el Real Decreto 887/2006, de 21 de julio. Asimismo, las instalaciones deberán estar señalizadas de acuerdo con lo que se indique en el manual o manuales de imagen (…)”. Las actuaciones realizadas han permitido comprobar que, tratándose de subvenciones recibidas por personas físicas, ninguna norma establece la obligación impuesta por IDAE sobre la inclusión de los datos personales de los beneficiarios en los carteles que publicitan la financiación. Así lo ha expresado, además, la Secretaría General de Fondos Europeos del Ministerio de Hacienda y Función Pública en respuesta a la consulta que le fue planteada por la propia entidad IDAE con ocasión del trámite de traslado de la reclamación que ha dado lugar al presente procedimiento. Esta Secretaría General informó que la eliminación en los carteles de los datos del beneficiario, cuando sea persona física, no contraviene las obligaciones de comunicación del Plan de Recuperación, Transformación y Resiliencia. El propio Manual de comunicación para gestores y beneficiarios de los fondos del Plan de Recuperación, Transformación y Resiliencia elaborado por la Secretaría General de Fondos Europeos, en el que, según IDAE, se basan las instrucciones sobre publicidad de las ayudas que publica en su web, no contempla aquella exigencia para personas físicas. Este Manual, incluye instrucciones sobre el “Contenido recomendado” de los carteles y placas que den visibilidad a los proyectos con las indicaciones siguientes: “Nombre del beneficiario (persona jurídica). Nombre del proyecto/operación. Plazo (optativo). Presupuesto (optativo). LOGOS: . Emblema de la Unión Europea + Financiado por la Unión Europea/Next C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 Generation EU. . Plan de Recuperación, Transformación y Resiliencia. . Emblema del Ministerio gestor correspondiente”. Por todo ello, la AEPD considera que la parte reclamada es responsable de los hechos que nos ocupan, ya que realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. La propia entidad IDAE reconoce estas circunstancias al afirmar en su escrito de alegaciones lo siguiente: “no ha existido, por tanto, mala fe ni dolo a la hora de establecer una exigencia de publicidad de determinados datos personales de personas físicas. Más bien se ha tratado, quizá, de una inadecuada interpretación extensiva de la normativa aplicable, pronta y debidamente rectificada.” IV Respuesta a las alegaciones 1. En el presente caso, se atribuye a la entidad IDAE XXX una infracción del principio de confidencialidad establecido en el artículo 5.1.
10. f)del RGPD, en virtud del cual el responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice una seguridad adecuada, “incluida la protección contra el tratamiento no autorizado o ilícito” y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Sin embargo, alega IDAE que la parte reclamante no llegó a colocar el cartel, por lo que no pudo verse comprometida la confidencialidad de sus datos personales, no se han vulnerado sus derechos ni puede considerarse la infracción que se aduce. Efectivamente, la parte reclamante, antes de instalar el referido cartel con la información relativa a la subvención recibida, con indicación de su nombre y apellidos, dirigió consulta a la administración gestora de la subvención poniendo de manifiesto su disconformidad con la publicación de esos datos personales y, al no obtener respuesta satisfactoria, formuló ante esta Agencia la reclamación que ha dado lugar a las presentes actuaciones. Llegó a advertir que no tendría inconveniente en disponer el cartel informativo en un lugar visible de no ser obligatoria la incorporación de información personal. Por tanto, no consta en las actuaciones que la información hubiese sido expuesta, por lo que la imputación de la infracción de lo establecido en el artículo 5.1.
11. f)del RGPD debe quedar sin efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 La obligación de confidencialidad que el artículo 5.1.
12. f)del RGPD impone al responsable del tratamiento es una obligación de resultado, de tal manera que para que el precepto se encuentre infringido es preciso que se quiebre la confidencialidad de los datos. De esta forma, si se infringe dicho precepto nos encontraríamos ante una infracción de resultado. Y ello a diferencia de la obligación de seguridad que impone al responsable del tratamiento el artículo 32 del RGPD, cuya infracción constituiría una infracción de medios. Como precisa la STS de 15/02/2022 (rec. de casación 7359/2020) “En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". (El subrayado es nuestro) Se transcriben seguidamente, para mayor claridad expositiva, algunos párrafos de la STS, Sala de lo Contencioso Administrativo, de 15/02/2022 (rec. casación 7359/2020) precitada. El Fundamento Jurídico segundo de la STS dice: “[…] la cuestión que reviste interés casacional consiste en determinar si las infracciones de la Ley de Protección de Datos por fallos de las medidas de seguridad […] deben examinarse en atención al resultado y, […] con independencia de los medios y medidas de prevención que hubiera podido adoptar. [….] Y añade en su Fundamento tercero: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento. En las obligaciones de resultado existe un compromiso consistente en el cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto, en este caso garantizar la seguridad de los datos personales y la inexistencia de filtraciones o quiebras de seguridad. En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado. […] Y en el mismo sentido se pronuncia en la actualidad el art. 31 [sic] del Reglamento de la Unión Europea 2016/679, […] al establecer respecto a la seguridad del tratamiento que las medidas técnicas y organizativas apropiadas lo son «Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas […]». No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. Esta distinción también tiene su reflejo tanto en el Reglamento de la Unión Europea 2016/679, […], como en la LOPD 3/2018 de 5 de diciembre, […] al diferenciar como obligaciones e infracciones autónomas entre la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (art. 73 apartados d, e y
13. f)y la falta de la debida diligencia en la utilización de las medidas técnicas y organizativas implantadas (art. 73. g).” (El subrayado es nuestro) Por lo demás, es un hecho que IDAE había dispuesto, a través de sus manuales de imagen, la colocación de un cartel informativo por parte de los beneficiarios de ayuda personas físicas, lo que le hace responsable de una falta de medidas de seguridad adecuadas para evitar el acceso a la información por parte de terceros, conforme a lo establecido en el artículo 32 del RGPD, la cual se examina en los fundamentos de derecho que siguen. 2. IDAE muestra su disconformidad con que la conducta objeto del procedimiento dé lugar a dos infracciones, por vulneración de los artículos 5.1.
14. f)y 32 del RGPD, que protegen un interés jurídico común, entendiendo que se apercibe dos veces por la misma infracción. No obstante, considerando la decisión adoptada en el punto anterior sobre la inexistencia de infracción de lo establecido en el artículo 5.1.
15. f)del RGPD, esta alegación queda sin efecto. 3. IDAE alega que tomó medidas de forma proactiva, actualizando los manuales de imagen para suprimir la exigencia de incluir en los carteles informativos los datos personales de los beneficiarios, cuando se trate de personas físicas, entendiendo por ello que no procedía el inicio del presente procedimiento de apercibimiento, cuya naturaleza es la imposición de medidas para que cese la conducta o se corrija los efectos de la infracción cometida. No comparte esta Agencia dicho planteamiento, por cuanto lo procedente es analizar y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 resolver lo oportuno conforme a la situación de hecho objeto de la reclamación. Otra cosa es considerar la reacción de la parte reclamada ante los hechos denunciados, en cuanto a la obligación de adoptar medidas para la adecuación de su actuación a la normativa. En todo caso, IDAE no ha acreditado la modificación de todos sus manuales referidos a programas de ayuda que puedan otorgar subvenciones a personas físicas. Al contrario, según consta en el Antecedente Octavo, esta Agencia ha verificado el contenido del “Manual de Imagen del IDAE relativas a la cartelería”, comprobando que el ejemplo de cartel que incluye contempla la indicación de los datos del beneficiario, no habiendo dispuesto ningún ejemplo de cartel publicitario diferenciado para personas físicas perceptoras de financiación. V Artículo 32 del RGPD Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
16. a)la seudonimización y el cifrado de datos personales;
17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 Los hechos puestos de manifiesto suponen la falta de medidas técnicas y organizativas al posibilitar la exhibición de datos de carácter personal de personas físicas beneficiarias de ayuda en los carteles informativos que obligan a instalar en un lugar visible durante un periodo de 5 años. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “