PS-00329-2021

1/16  Expediente nº: PS/00329/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 20/05/2020, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, la reclamante), mediante el que formula reclamación contra la entidad MIFARMA TIENDA ON-LINE, S.L., con CIF B02518041 (en lo sucesivo, MIFARMA o la reclamada), por la posible vulneración de la confidencialidad de sus datos personales. Los motivos en que basa la reclamación son los siguientes: La reclamante expone que compró productos sanitarios en la web “***URL.1”, entre ellos, unos test de embarazo y test de ovulación. Al recibir el paquete se percata de que la factura va pegada al exterior del paquete, lo que posibilitó que todas las personas que han tenido contacto con dicho envío pudieran acceder a la relación de los productos comprados, así como a sus datos identificativos, DNI y dirección. Manifiesta que de esta información se desprende su estado de salud, esto es, embarazo. Entiende que se ha vulnerado su derecho a la intimidad y añade que contactó con la referida web, sin recibir respuesta satisfactoria. Aportó una fotografía del paquete recibido, en cuyo exterior puede verse la factura que se cita en la reclamación, de fecha 04/05/2020, cuyo importe total asciende a 42,71 euros. Según consta en este documento, el envío se realizó a través del Servicio de Correos. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó a la reclamada el día 05/06/2020, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). Dicho traslado, realizado mediante el Servicio de Notificaciones Electrónicas, resultó expirado. TERCERO: La reclamación fue admitida a trámite mediante acuerdo de 17/09/2020. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/16 LOPDGDD. Como resultado de las actuaciones de investigación practicadas, se pone de manifiesto lo siguiente: 1. Con fecha 29/10/2020, se recibió escrito de la entidad MIFARMA en el que informa que el proceso de envío de paquetes a ***LOCALIDAD.1 viene establecido por el propio Servicio de Correos, según lo establecido en la Orden de la Consejería de Hacienda de 29/07/2016 y la Resolución de la Directora de la Agencia Tributaria de ***LOCALIDAD.1 de 02/07/2017. Para los envíos dispensados de Documento Único Administrativo (DUA) de importación en ***LOCALIDAD.1, el Servicio de Correos, como transportista, se encuentra obligado a comunicar a la Agencia Tributaria de ***LOCALIDAD.1 (ATC) la entrada de cada envío y a facilitar algunos datos contenidos en la factura o la declaración de valor, como son los relativos al remitente y NIF, destinatario y NIF, valor y descripción de la mercancía, bultos y peso en Kg (párrafo Tercero, puntos 1 y 2, de la Resolución de la Directora de la Agencia Tributaria de ***LOCALIDAD.1). La Agencia Tributaria de ***LOCALIDAD.1 se reserva el derecho a retener el envío, requerir de Correos la presentación de documentación complementaria o no autorizar la dispensa de DUA. Añade MIFARMA que el Servicio de Correos le informa que la factura tiene que viajar por triplicado por fuera del envío en un packinglist de plástico que el propio Servicio de Correos facilita, en la cual deben figurar los datos del remitente y destinatario, sus CIF o NIF y contenido detallado, para que la aduana pueda comprobarlo. Finalizan señalando que han revisado el sistema de envíos de paquetes a ***LOCALIDAD.1, en conjunto con el Servicio de Correos y agencias de transporte, para evitar incidencias similares en el futuro, y que han procedido a implementar una serie de medidas internas para reforzar el cumplimiento de la normativa de protección de datos (nombramiento de la figura del Delegado de Protección de Datos, actualización del registro de actividades del tratamiento y elaboración de un procedimiento de gestión de brechas de seguridad y un formulario de registro de incidencias). Entre otra, con su escrito de respuesta acompañó copia de la documentación siguiente: . Resolución de la Directora de la ATC, de 02/07/2017, por la que se aclaran las condiciones para el despacho de los envíos de bajo valor exentos del Impuesto General Indirecto Canario. . Respuesta facilitada por la reclamada a un correo de queja que le fue remitido por la reclamante, en el que protesta por el gran número de personas que ha podido acceder a la información personal, incluida su pareja que recibió el paquete. En esta respuesta se indica los siguiente: “… todos los pedidos que son enviados para inspección aduanera se envían con la documentación dentro de un sobre. Si la aduana lo revisa, tiene que extraer la documentación C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/16 del sobre, y me temo que en este proceso hayan dejado información visible en el paquete. Hablaremos con nuestros gestores de Correos para que contacten con Aduana de destino y comenten el caso para que no vuelva ocurrir” . 2. Solicitada información a la entidad Sociedad Estatal de Correos y Telégrafos, S.A., S.M.E. (en lo sucesivo Correos o Servicio de Correos) sobre los datos que deben ir visibles en el exterior del paquete, con fecha 18/05/2021 se recibe la respuesta emitida por la citada entidad, en la que manifiesta que es necesario que pueda accederse a la información relativa a los datos del destinatario y contenido del paquete y, por tanto, que la misma esté expuesta, incluso cuando el envío estuviese exceptuado de la necesidad de DUA. Según Correos, esta necesidad se acredita en base a las circunstancias o normas siguientes:

1. a)Concurrencia de un régimen fiscal especial para la importación en las Islas ***LOCALIDAD.1 a efectos del Impuesto General Indirecto Canario (IGIC) y del Arbitrio sobre Importaciones y Entregas de Mercancías en las Islas ***LOCALIDAD.1 (AIEM), que obliga a declarar en Aduana como una importación los envíos dirigidos a este destino, según se regula en la Ley 20/1991, de 7 de junio, de modificación de los aspectos fiscales del Régimen Económico Fiscal de ***LOCALIDAD.1. Y cita los artículos 8.1 y 67.2 de esta norma, que definen las importaciones a efectos del IGIC y el AIEM, respectivamente. Esta importación determina el hecho imponible en ambos impuestos y, en consecuencia, la necesidad de realizar el trámite aduanero correspondiente y el devengo de una cuota.
2. b)Sobre la necesidad de realizar trámites aduaneros, con independencia de la exigencia o no de DUA, Correos expone lo siguiente: El especial régimen fiscal de las Islas ***LOCALIDAD.1 implica que la Aduana estatal (Agencia Estatal de Administración Tributaria - AEAT) y la Administración Autonómica Canaria tengan que controlar los intercambios comerciales entre la Península y Baleares y ese territorio, tanto a la expedición como en la introducción de mercancía. Así lo establece la exposición de motivos de la Resolución de 11 de julio de 2014, del Departamento de Aduanas e Impuestos Especiales de la AEAT, en la que se recogen las instrucciones para la formalización del Documento Único Administrativo (DUA), utilizado para la realización de los trámites aduaneros. Esta Resolución (Apéndice XVI) recoge una serie de simplificaciones para la tramitación aduanera en los intercambios entre la Península y las Islas ***LOCALIDAD.1, excluyendo la formalización del DUA en ciertos casos. Sin embargo, esto no supone que no haya que efectuar un trámite aduanero a la importación, dado que la operación en todo caso tiene que ser declarada a la Aduana (por ejemplo, mediante una declaración de bajo valor: documento CN23). Por el contrario, según Correos, la factura es necesaria siempre, conforme a lo indicado en el Apéndice XVI de la citada Resolución, cuando señala que, en los casos en los que no se exige DUA, “la empresa expedidora deberá incluir en su factura u otro documento comercial o de transporte, su intención de acogerse al procedimiento incluyendo en el mismo la expresión T2LF-Mercancías sin declaración de expedición”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/16 Sin esta información no podría conocerse si el envío está o no exento de DUA, por cuanto la información que se recoge es la que determina su procedencia; importe y consiguiente liquidación tributaria; y la naturaleza del envío (que determinará controles sanitarios, fitosanitarios, veterinarios, farmacéuticos, etc.); datos del destinario (el importador y sujeto pasivo en el IGIC y AIEM, y responsable tributario de la declaración aduanera y de la liquidación, en su caso, del impuesto devengado a la importación, según los artículos 21 y 76.1.
3. b)de la citada Ley 20/1991). En los casos en los que los trámites aduaneros son realizados por terceras personas en representación del destinatario del envío (por ejemplo, por un agente de aduanas o por el transportista) es igualmente imprescindible la existencia de la factura y la posibilidad de poder conocer su contenido para realizar dichos trámites aduaneros, con total independencia de la necesidad de formalizar el DUA. La Resolución de la Directora de la Agencia Tributaria Canaria de 2 de julio de 2017, por la que se aclaran las condiciones para el despacho aduanero de los envíos de bajo valor exentos del IGIC, se refiere también a los supuestos que no requieren la formalización del DUA de importación a la entrada de mercancía en ***LOCALIDAD.1, que normalmente coincide con los casos exentos de IGID y AIEM, por tener un valor por debajo de ciertos umbrales. Esta Resolución, en su Apartado Tercero regula la “obligación de los operadores de transporte de presentar una declaración simplificada o acogerse a las simplificaciones para el despacho de Bajo Valor”, y contempla la obligación de presentar ante la ATC una declaración por escrito, no sujeta a modelo formal, en la que se detallarán la procedencia, el destinatario (incluido número de identificación fiscal), bultos y kilos, una descripción de los bienes, el valor de los mismos y un número de la partida de la declaración sumaria, junto con la documentación comercial del envío. Se contempla también que el operador pueda optar por acogerse al procedimiento simplificado para el despacho de bajo valor al que se refiere el Apéndice IX, apartado 2.1. letra b), de la Resolución de 11 de julio de 2014 del Departamento de Aduanas e Impuestos Especiales de la Agencia Estatal de Administración Tributaria.
4. c)El procedimiento a seguir para el despacho aduanero de los envíos postales que tengan la consideración de bajo valor exentos del IGIC, según se indica en el Apéndice IX de la Resolución de 11/07/2014 citada, establece que las mercancías se entenderán declarados en aduanas a consumo (régimen 40 0 49) en el momento de su presentación, en los términos previstos en el artículo 141.3 RDCAU. El operador postal deberá adicionar a la declaración sumaria los datos de la declaración CN23, como declaración aduanera específica para este tipo de envío establecida por la normativa de la Unión Postal Universal (UPU) a la que pertenece Correos. El artículo 20-001.2.6 del Reglamento del Convenio UPU dispone que “las declaraciones de aduana CN 23 se sujetarán fuertemente en el exterior del envío, preferentemente colocadas dentro de un sobre transparente adhesivo. A título excepcional, y si el expedidor lo prefiriere, estas declaraciones podrán incluirse en un sobre cerrado dentro de los envíos certificados si contienen los objetos preciosos indicados en el artículo 19.6.1 del Convenio o bien dentro de los envíos con valor declarado”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/16 Adicionalmente, la UPU en su Guía conjunta OMA-UPU para el despacho aduanero postal, respecto al artículo 20-0012.6 del Reglamento del Convenio UPU indica lo que sigue: “Este artículo alienta el uso de sobres transparentes para que la fórmula CN 23 sea visible, pero también pueda retirarse para inspección por la aduana y luego colocarse nuevamente en el sobre”. Entiende Correos que con ello se acredita la necesidad de que los datos del envío, así como los de su destinatario, estén expuestos en el exterior del paquete, con independencia de que se trate de un envío excepcionado de la formalización de la DUA. QUINTO: Con fecha 05/07/2021, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad reclamada en “Axesor”. (…). SEXTO: Con fecha 22/07/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MIFARMA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
5. f)del RGPD, tipificada en el artículo 83.5.
6. a)del citado Reglamento; y calificada como muy grave a efectos de prescripción en el artículo 72.1.
7. a)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 60.000 euros (sesenta mil euros). Asimismo, se advertía que, de confirmarse las infracciones, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el artículo 58.2.
8. d)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio, la entidad reclamada presentó escrito en el que solicita el archivo del procedimiento sancionador o, subsidiariamente, la imposición de una multa en menor cuantía, conforme a las consideraciones siguientes: 1. Entiende que su actuación cumple la normativa aplicable al envío de paquetes a ***LOCALIDAD.1 y las establecidas por el Servicio de Correos, según las cuales es necesario que la información relativa a los datos del destinatario figure expuesta en el exterior del paquete. A este respecto, señala que “la factura que se incluye en el sobre adherido al paquete se incluye del revés de modo que no pueda ser visto por terceros”, sin que MIFARMA pueda controlar la manipulación que hacen los agentes de la facturación a lo largo del proceso. Tiene por reproducidos los argumentos fijados por Correos y el procedimiento a seguir, que constan detallados en el acuerdo de inicio, y añade que resultan de interés las exigencias de la información que debe presentarse en aduanas y la regulación de la Unión Postal Universal (UPU), conformada por el Convenio UPU, cuyo artículo 20 regula el control aduanero, y el artículo 156 del Reglamento del Convenio UPU, que establece la posibilidad de sujetar en el exterior del envío dentro de un sobre C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/16 transparente en un sobre cerrado las declaraciones de aduanas, la obligación de detallar el contenido del envío en esas declaraciones y la obligación de los operadores designados de informar a sus clientes sobre la manera de llevar a cabo las formalidades aduaneras. Según MIFARMA, la utilización del sobre cerrado está prevista para el envió de objetos valiosos, que no es su caso. Advierte que, de acuerdo con aquellas disposiciones, se ha limitado a seguir las instrucciones recibidas del operador designado, en este caso, el Servicio de Correos. De acuerdo con lo expuesto, concluye MIFARMA que faltan los requisitos de culpabilidad y antijuricidad necesarios para la imposición de una sanción y que no le corresponde asumir la responsabilidad por un procedimiento que le viene dado por Correos, en cumplimiento de su propia normativa y la de aduanas, y que ha actuado en el convencimiento de que el procedimiento seguido era el adecuado y, en última instancia, en defensa del cliente para evitar el cobro de tasas. Según MIFARMA, “el hecho de que la factura apareciera de forma visible adherida al paquete es la forma de proceder que Correos prevé para el envío de paquetes a ***LOCALIDAD.1”. 2. La entidad reclamada ha atendido la petición de la reclamante, informándole sobre el procedimiento seguido y el motivo por el que la factura era visible. Manifiesta que se encuentra en una posición intermedia entre la garantía de los intereses de la reclamante y el cumplimiento de las normas sobre el envío de paquetes a ***LOCALIDAD.1. 3. No obstante lo anterior, dice haber puesto en marcha la adopción de medidas para reforzarla protección de los datos y evitar hechos similares: . Frente al cliente, se compromete a modificar la Política de Privacidad para informar de forma precisa de la forma de envío de paquetes a ***LOCALIDAD.1, haciendo referencia a los requisitos formales previstos en la normativa aduanera y de la posible intervención de esta autoridad en la manipulación del paquete; a enviar u correo el cliente para recordar esas formalidades; realizar u seguimiento directo de los envíos; y proponer a Correos y, en su caso, a Aduanas, el uso de códigos QR para acceder al contenido de la factura que se incluye en el sobre adherido al paquete. . Ante Correos, para informarle de la necesidad de reforzar la seguridad y confidencialidad; acordar el uso de sobre opaco o menos transparente; solicitar que le notifique cualquier incidencia; y analizar con el operador posibles medidas adicionales. . Ante la entidad aduanera, aunque no tiene relación con esa autoridad, propone informar sobre la necesidad de reforzar la confidencialidad en el sobre anejo al paquete y analizar medidas adicionales. 4. En relación con los criterios de graduación, MIFARMA invoca el principio de proporcionalidad y señala lo siguiente: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/16 . Queda probada la falta de intencionalidad, al haber actuado en el convencimiento de que los medios eran los adecuados y haber desplegado diligentemente acciones para adecuar su conducta a las exigencias de protección de datos. . No consta que la denunciante haya sufrido perjuicio alguno ni que MIFARMA haya obtenido beneficio económico ni reputacional, más bien lo contrario, por la inversión que conlleva al plan de medidas dispuesto. . La entidad ha actuado de buena fe, según la normativa que regula su actividad, sin intención de vulnerar la normativa de protección de datos personales, y en la confianza de estar cumpliendo la normativa aplicable. . El hecho denunciado es único y aislado, sin que MIFARMA sea reincidente. OCTAVO: Con fecha 14/03/2022, se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare la inexistencia de infracción, con archivo de las actuaciones, en relación con la imputación a la entidad MIFARMA de una posible vulneración de lo establecido en el artículo 5.1.
9. f)del RGPD. La citada propuesta de resolución fue notificada a la entidad reclamada. El plazo concedido a la misma para formular alegaciones transcurrió sin que en esta Agencia se haya recibido escrito alguno. No obstante, una ver rebasado el plazo se recibió escrito en el que MIFARMA manifiesta su conformidad a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1. A través de la web “mifarma.es”, la reclamante adquirió de la entidad MIFARMA una serie de productos sanitarios, entre ellos, unos test de embarazo y test de ovulación. 2. Por la compra reseñada en el Hecho Probado 1, la entidad MIFARMA emitió la correspondiente factura, de fecha 04/05/2020, en la que constan los datos identificativos de la reclamante, DNI y dirección, así como la relación de los productos adquiridos y su importe. 3. El pedido realizado por la reclamante a MIFARMA fue remitido por esta entidad a través del Servicio de Correos mediante paquete postal. La entidad MIFARMA adhirió la factura del pedido al exterior del paquete, en un sobre transparente, con la información contenida en la misma visible. FUNDAMENTOS DE DERECHO C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/16 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona, entre ellos, el de “integridad y confidencialidad”: “1. Los datos personales serán: (…)
10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”). (…)”. La confidencialidad se encuentra estrechamente vinculada a la “seguridad del tratamiento” regulada en el artículo 32 del RGPD, que conlleva la adopción de medidas técnicas y organizativas apropiadas para garantizar dicha seguridad. Este artículo establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
11. a)la seudonimización y el cifrado de datos personales;
12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/16 certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros” . El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido, el Considerando 83 del RGPD señala lo siguiente: “