PS-00006-2025

1/21  Expediente N.º: EXP202416822 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CERRADA, S.L. (en adelante, CERRADA). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 13 de marzo de 2026 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202416822 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 11 de octubre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CERRADA, S.L. con NIF B28038115 (en adelante, CERRADA). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante alega que la entidad reclamada no protege adecuadamente las claves de acceso de sus clientes, tras recibir un email que informa de su email y de la contraseña de acceso generada al crear una cuenta en su página web, sospechando que la contraseña "está siendo almacenada en texto plano en sus bases de datos, lo que constituye una seria vulnerabilidad de seguridad". Contactó con la entidad y logró la desactivación de su cuenta. Junto al escrito, se aporta copia del correo electrónico de bienvenida de alta de usuario, de 11 de octubre de 2024, remitido desde ***EMAIL.1, recibido tras darse de alta en dicha página web, en el que se puede leer el correo electrónico de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/21 reclamante con el que se ha dado de alta, y la contraseña de acceso generada al crear la cuenta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CERRADA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 11/12/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 11/12/2024 se recibe en esta Agencia escrito de respuesta indicando: "(...), deseamos manifestar que consideramos que nuestra organización cumple con las disposiciones establecidas en la normativa de protección de datos en relación con nuestros clientes. En nuestro sistema, las contraseñas almacenadas en la base de datos se encuentran debidamente encriptadas, garantizando así su seguridad. Cuando un cliente solicita recuperar su contraseña de acceso, el procedimiento establecido consiste en remitir la información necesaria al correo electrónico registrado en nuestra base de datos. Para acceder a dicha información, el cliente debe iniciar sesión en su cuenta de correo electrónico, lo cual entendemos que constituye un entorno seguro. En este contexto, la decisión de proporcionar la contraseña responde a criterios de usabilidad y simplicidad, asegurando al mismo tiempo que este proceso no comprometa la seguridad de los datos de nuestros usuarios". TERCERO: Con fecha 13 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CERRADA es una microempresa con una cifra de negocios de (…) euros en el año 2023. QUINTO: Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4.

1. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Primero: La entidad indica que ha cesado de manera inmediata en la práctica relacionada con el envío de credenciales de acceso por correo electrónico, y ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/21 implantado un nuevo sistema de recuperación de contraseñas que garantiza la seguridad y confidencialidad de los datos desde la primera notificación recibida del expediente de referencia. Añaden que el procedimiento actual consiste en: -el usuario recibe un correo electrónico que contiene un enlace único y temporal. -dicho enlace redirige a la página web de la entidad, protegida mediante protocolo HTTPS con certificado válido, donde el usuario debe establecer una nueva contraseña. -en ningún caso se envían contraseñas en texto plano por correo electrónico ni se almacenan en texto plano en las bases de datos. Segundo: CERRADA indica que es una microempresa con una facturación limitada, circunstancia que debería ser tenida en cuenta a efectos de la proporcionalidad de una eventual sanción. Además, añaden: -no existe intencionalidad en la infracción, sino un procedimiento heredado que ha sido subsanado de inmediato. -no constan daños efectivos a los usuarios. -la entidad ha colaborado activamente con la AEPD, adoptando las medidas correctoras de manera diligente. Por ello solicita el archivo del expediente al haberse subsanado el defecto y garantizado el cumplimiento íntegro del artículo 32 del RGPD, y, subsidiariamente, solicita la aplicación de la mínima cuantía posible, atendiendo a las circunstancias atenuantes mencionadas. Adjunta a su escrito un certificado interno de implementación de medidas de seguridad, del responsable de IT y Delegado de Protección de Datos de la entidad, mediante el que se certifica: 1. que la entidad ha sustituido el procedimiento anterior de recuperación de contraseñas por un sistema que garantiza la seguridad y confidencialidad de los datos de los usuarios. 2. indican que el nuevo procedimiento es el siguiente: -el usuario solicita la recuperación de la contraseña desde la web corporativa. -el sistema (…). -el usuario (…). -(…) -el usuario (…). 3. no se envían contraseñas en texto plano por correo electrónico. 4. aportan como documentación anexa una captura de pantalla (…) que recibe el usuario que quiere cambiar la contraseña. Indican que (…), y en el que se puede leer: “recordatorio de contraseña C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/21 Bienvenido de nuevo Pulsa en el botón a continuación para recuperar contraseña.” A continuación, aporta una segunda captura de pantalla, indicando que se trata de la página a la que redirige el sistema cuando se pulsa el botón de recuperar contraseña, y que recoge: “Cambiar contraseña: Contraseña, y un espacio para escribirla Escriba de nuevo la contraseña, con un espacio para escribirla. Guardar” SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta que, en octubre de 2024, al darse de alta en la página web de CERRADA, se envía un correo electrónico de bienvenida con el usuario (dirección de correo del usuario) y la contraseña generada en el registro en la página web, con el siguiente contenido: “***ESTABLECIMIENTO.1: gracias por registrarse From ***EMAIL.1 To (…) Date Friday, 11 october 2024 at 12:35 ***ESTABLECIMIENTO.1 Bienvenido a ***ESTABLECIMIENTO.1 Estimado cliente: Gracias por ser cliente de la ***ESTABLECIMIENTO.1 Su correo electrónico es: (***) Su contraseña de acceso es: (***) Podrá ver sus pedidos, modificar o eliminar sus datos en cualquier momento en la zona de clientes.” SEGUNDO: Con fecha 11 de diciembre de 2024 se recibe en esta Agencia escrito de CERRADA, en respuesta al traslado de la reclamación, en el que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/21 "(...), deseamos manifestar que consideramos que nuestra organización cumple con las disposiciones establecidas en la normativa de protección de datos en relación con nuestros clientes. En nuestro sistema, las contraseñas almacenadas en la base de datos se encuentran debidamente encriptadas, garantizando así su seguridad. Cuando un cliente solicita recuperar su contraseña de acceso, el procedimiento establecido consiste en remitir la información necesaria al correo electrónico registrado en nuestra base de datos. Para acceder a dicha información, el cliente debe iniciar sesión en su cuenta de correo electrónico, lo cual entendemos que constituye un entorno seguro. En este contexto, la decisión de proporcionar la contraseña responde a criterios de usabilidad y simplicidad, asegurando al mismo tiempo que este proceso no comprometa la seguridad de los datos de nuestros usuarios". TERCERO: En fecha 29 de agosto de 2025 CERRADA envía junto con su escrito de alegaciones, un certificado del DPD en el que se indica que la entidad ha implementado un nuevo sistema de recuperación de contraseñas, con el siguiente procedimiento: “-el usuario solicita la recuperación de la contraseña desde la web corporativa. -el sistema (…). -el usuario (…). -(…) -el usuario (…)”. Se añade en el certificado:”3. no se envían contraseñas en texto plano por correo electrónico.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primero: CERRADA indica en su escrito de alegaciones que ha dado cumplimiento a la medida provisional acordada por esta Agencia, cesando la práctica que ha motivado la apertura de este procedimiento sancionador, implantando un nuevo sistema de recuperación de contraseñas que garantiza la seguridad y confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/21 Asimismo, aporta un certificado de implementación de medidas de seguridad, mediante el que se certifica que la entidad ha sustituido el procedimiento anterior de recuperación de contraseñas por un sistema que garantiza la seguridad y confidencialidad de los datos de los usuarios, en el que se incluyen capturas de pantalla para acreditar que ya no se envían correos electrónicos con el usuario y la contraseña a las personas que se registran en su página web. No obstante, el hecho que motivó la apertura de este procedimiento sancionador estaba referido al hecho de que, cuando un usuario crea una cuenta nueva en la página web de la entidad, recibe un email de bienvenida, confirmando el alta de usuario, en el que se informa de su email y contraseña de acceso en texto plano, y sobre esta circunstancia, CERRADA no realiza ninguna manifestación específica, ya que sus alegaciones vienen referidas a que se ha implantado un nuevo sistema de recuperación de credenciales, pero no hace ninguna mención a si en los correos electrónicos que se envían a las personas que se registran por primera vez en su página web, tal y como se recoge en los hechos probados de este procedimiento sancionador, incluyen un mensaje de bienvenida de alta de usuario, con el usuario y la contraseña con la que se efectúa el registro en la página web. Por otra parte, CERRADA indica que estas medidas se habrían implantado tras la primera notificación recibida por esta Agencia. A este respecto, hay que señalar que CERRADA, en su escrito de fecha 11 de diciembre de 2024, contestó a esta Agencia en el siguiente sentido: "(...), deseamos manifestar que consideramos que nuestra organización cumple con las disposiciones establecidas en la normativa de protección de datos en relación con nuestros clientes. En nuestro sistema, las contraseñas almacenadas en la base de datos se encuentran debidamente encriptadas, garantizando así su seguridad. Cuando un cliente solicita recuperar su contraseña de acceso, el procedimiento establecido consiste en remitir la información necesaria al correo electrónico registrado en nuestra base de datos. Para acceder a dicha información, el cliente debe iniciar sesión en su cuenta de correo electrónico, lo cual entendemos que constituye un entorno seguro. En este contexto, la decisión de proporcionar la contraseña responde a criterios de usabilidad y simplicidad, asegurando al mismo tiempo que este proceso no comprometa la seguridad de los datos de nuestros usuarios". Esta contestación evidencia que las medidas implementadas se hicieron con posterioridad, teniendo en cuenta, además, que CERRADA, en sus alegaciones, solo se refiere a las medidas implementadas con respecto al procedimiento establecido para la recuperación de contraseñas, pero no se pronuncia acerca si se ha modificado el procedimiento de envío del correo electrónico de bienvenida ,que se remite a las personas que se dan de alta en su página web, en el que, al menos en octubre de 2024, se enviaba la contraseña con la que se registran, que es lo que ha motivado la apertura de este procedimiento sancionador. Por tanto, procede desestimar la presente alegación. Segundo: CERRADA solicita el archivo del expediente, fundamentándolo en que ya se ha subsanado el defecto y garantizado el cumplimiento íntegro del artículo 32 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/21 RGPD, y, en su defecto que se minore la cuantía de la sanción atendiendo a su condición de microempresa, con una facturación limitada, y a las siguientes circunstancias atenuantes: -no existe intencionalidad en la infracción, sino un procedimiento heredado que ha sido subsanado de inmediato. -no constan daños efectivos a los usuarios. -la entidad ha colaborado activamente con la AEPD, adoptando las medidas correctoras de manera diligente. En relación con esta cuestión, hay que tener en cuenta que la infracción del artículo 32 del RGPD que se imputa a CERRADA, ha sido debidamente constatada, en la medida en que, cuando un usuario se registraba en su página web, se le enviaba un correo electrónico con su usuario y contraseña. CERRADA no se pronuncia de modo específico acerca del contenido del correo electrónico de bienvenida que se envía en la actualidad a los usuarios que se dan de alta en su web, y no indica si la afirmación relativa a que “no se envían contraseñas en texto plano por correo electrónico” se refiere también al correo de bienvenida. De estos hechos, nada se dice en su escrito de alegaciones, puesto que solo se refiere al procedimiento establecido para la recuperación de contraseñas, por lo tanto, procede desestimar la presente alegación. En relación con la manifestación referida a que no constan daños efectivos a los usuarios, es necesario señalar que las contraseñas para identificarse en una página web son datos que deben estar especialmente protegidos, en la medida en que el acceso a estos datos puede dar lugar a una suplantación de identidad. El hecho de que no conste la materialización de daños a los usuarios no es razón para proceder al archivo del procedimiento sancionador al haber sido constatada la infracción, que además es una circunstancia que puede dar lugar a un riesgo para los derechos y libertades de las personas. Por último, en relación con la manifestación referida a que la entidad habría colaborado activamente con la AEPD, adoptando las medidas correctoras de manera diligente, hay que tener en cuenta que la entidad, en su escrito de alegaciones, no hace ninguna referencia al correo electrónico de bienvenida que envía al usuario una vez que se da de alta en su página web, y en el que se le enviaría su contraseña en plano, sino que únicamente hace referencia al procedimiento de recuperación de contraseñas, por lo que esta alegación no puede ser tenida en cuenta. Por último, en relación con la determinación de la cuantía, hay que tener en cuenta que, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. Para garantizar estos principios se ha tenido en cuenta, con carácter previo, el volumen de negocio de CERRADA, que es de (…) euros. En primer término, se atiende a la categorización de la infracción cometida en este caso, comprendida en el artículo 83 del RGPD, que la norma sanciona en su apartado 4, castigando la conducta con una multa de 10.000.000 de euros como máximo o, tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose para establecer el importe máximo aplicable por el límite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/21 de mayor cuantía de los dos fijados en ese artículo. El 2% del volumen de negocio de CERRADA es de 72.869 euros, por tanto, el importe máximo a tener en cuenta en este caso es 10.000.000 de euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y los 10.000.000 de euros, de modo que la que se impone en este acto se sitúa en un rango muy inferior de este intervalo de multa. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CERRADA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, entre ellos, la dirección de correo electrónico. CERRADA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Infracción del artículo 32 del RGPD. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/21 "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
2. a)la seudonimización y el cifrado de datos personales;
3. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
4. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
5. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." En el presente caso, el correo electrónico de alta de usuario que CERRADA remitió a la parte reclamante, en el que se le comunica el alta como cliente, recoge, además del correo electrónico de alta, la contraseña de usuario en plano. Con relación a la seguridad del correo electrónico, el “Informe de buenas prácticas” de mayo de 2021, CNN-CERT BP02, del Centro Criptológico Nacional, servicio adscrito al Centro Nacional de Inteligencia, cuya misión es contribuir a la mejora de la ciberseguridad española, recoge una serie de vulnerabilidades del correo electrónico y de las diversas formas en que éstos pueden ser atacados, así como recomendaciones de seguridad. En el apartado 4.2 de dicho Informe se describe la “Seguridad de las comunicaciones vía email”, con las siguientes aseveraciones, en sus páginas 37 a 39: “El protocolo involucrado en este proceso de envío es SMTP. Este protocolo ha sido utilizado desde 1982 y cuando fue implementando no se tuvieron en cuenta medidas de seguridad tales como el cifrado o la autenticación de las comunicaciones. Esto quiere decir que todo el proceso de envío descrito anteriormente se realizaría en texto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/21 plano, es decir, que en cualquier punto de la trasmisión un atacante podría ver y manipular el contenido de los correos. Debido a estas carencias en SMTP se han ido desarrollando diversas tecnologías y extensiones que permiten incorporar medidas de seguridad para garantizar la autenticación, integridad y cifrado a las comunicaciones vía correo electrónico. Algunas de las tecnologías más conocidas son STARTTLS, SPF, DKIM y DMARC…Aunque los proveedores de correo más conocidos como Google, Yahoo y Outlook cifran y autentican los emails utilizando este tipo de tecnologías, muchas organizaciones siguen haciendo un uso descuidado del correo electrónico. Téngase en cuenta, además, que estas tecnologías deben ser implementadas tanto en el origen como en el destino para que puedan utilizarse. Asimismo, algunas de estas medidas son susceptibles de ser atacadas. Por ejemplo, STARTTLS es susceptible a ataques downgrade, en donde un atacante en una situación man-in-the-middle puede forzar a que no que lleve a cabo la negociación TLS (bastaría con reemplazar la cadena STARTTLS). Incluso en el caso de que se establezca la comunicación TLS de forma satisfactoria, los servidores de correo por los que pasa el email hasta alcanzar el destino tendrían acceso a su contenido. Debido a estos hechos, se deduce que no es suficiente con delegar la seguridad del correo electrónico a las tecnologías subyacentes encargadas de hacer llegar el mismo a su destinatario.” Por tanto, aunque CERRADA utilizara tecnologías de cifrado en el correo electrónico para garantizar la autenticación, integridad y cifrado de las comunicaciones vía correo electrónico las prácticas ilegales descritas ponen de manifiesto la existencia de un riesgo real de pérdida de confidencialidad y de integridad, respecto del contenido de las comunicaciones que se remiten vía correo electrónico, y, por tanto, la ausencia o deficiencia de las medidas de técnicas y organizativas de seguridad que habría implantado CERRADA para informar a los nuevos usuarios de su contraseña, que no resultan adecuadas al riesgo, en la medida en que la contraseña se incorpora al correo en texto plano cuando, como se ha expuesto, el correo electrónico no es un medio adecuado para garantizar la confidencialidad en el envío de datos personales, suponiendo un riesgo para los clientes de CERRADA, a quienes se les envía en el correo electrónico de alta en la web de la citada entidad su contraseña junto con el usuario. El hecho de que el mail solo se envíe al cliente que ha introducido los datos no es garantía de que los datos no puedan ser interceptados. Por otra parte, el envío de contraseñas al correo electrónico de los clientes supone que puedan ser almacenadas en dicho medio, lo cual constituye una práctica que puede suponer un riesgo para los clientes, ya que dichas contraseñas, junto con sus respectivos usuarios, pueden ser vulnerables a cualquier tipo de ataque informático que se realice sobre su correo electrónico. De nada serviría que se conserven encriptadas, tal y como indica CERRADA en su respuesta al traslado de la reclamación, cuando los correos electrónicos de sus clientes no tendrían ningún tipo de protección adicional. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que, en virtud del principio de responsabilidad proactiva del artículo 5.2 del propio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/21 RGPD, el cual comporta la exigencia de que el responsable del tratamiento asegure la efectiva privacidad e integridad de los datos, tanto el responsable como el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Además, el responsable tiene que estar en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “