PS-00398-2023

1/17  Expediente N.º: EXP202309821 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FEDERACIÓN DE SERVICIOS A LA CIUDADANÍA DE COMISIONES OBRERAS (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202309821 Procedimiento Sancionador Nº: PS/000398/2023 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A., B.B.B., C.C.C. y D.D.D. (en adelante, las reclamantes) interpusieron con fecha 8 de junio de 2023 sendas reclamaciones ante la Agencia Española de Protección de Datos, en nombre propio y de otros reclamantes. Todas las reclamaciones se acumulan en el presente procedimiento, puesto que versan sobre el mismo objeto y se dirigen contra FEDERACIÓN DE SERVICIOS A LA CIUDADANÍA DE COMISIONES OBRERAS con NIF G85699460 (en adelante, FSCCCOO). Los motivos en que basan todas las reclamaciones citadas son los siguientes: - C/ Jorge Juan, 6 28001 – Madrid Exponen que, con fecha 7 de junio de 2023, la Federación de Servicios a la Ciudadanía de Comisiones Obreras, a través de la sección sindical CCOO de IBERIA EXPRESS, con la intención de desprestigiar al sindicato USO, que está negociando actualmente el II Convenio Colectivo de TCPS (tripulantes de cabina de pasajeros) ha publicado en Internet un comunicado en el que se adjuntan las actas de convocatoria y celebración de la votación celebradas en 2015 y 2019 para aprobar el I Convenio de TCPs, que contienen los datos personales de los trabajadores de la misma que constan en el censo electoral de votación. www.aepd.es sedeagpd.gob.es 2/17 - Que dichas actas junto con sus censos fueron expuestas por la parte reclamada en las redes sociales de Instagram, Telegram y Whatsapp, revelando así datos privados de 333 trabajadores de esta empresa, tales como nombre y dos apellidos, DNI, número de empleado y categoría laboral. - Que los reclamantes aparecen en el citado censo de votación, sin que ninguno de ellos haya prestado su consentimiento a esta divulgación. - El 8 de junio fue retirada dicha información tras serles notificada la gravedad de este hecho. Junto con las reclamaciones se aporta: - Copia del citado comunicado realizado por FSC-CCOO, en el que se adjuntan dos actas notariales de requerimiento realizadas a instancias del sindicato asociación de tripulantes de cabina por una aviación mejor (en adelante, ATPAM) de fechas 28/07/2015 (convocatoria reunión para votar el Convenio Colectivo I del TPCs), y 30/05/2019 (celebración de la votación del mismo Convenio). En estas, se incluye como anexo el censo electoral correspondiente a los 333 trabajadores que entonces conformaban la plantilla de la entidad IBERIA EXPRESS. - Diversas capturas de pantalla de la difusión del mismo a través de las redes sociales. En concreto, pantallazo y vídeo del muro e historias de la cuenta de Instagram perteneciente a “Ccooibs” así como pantallazo de un mensaje adjuntando el comunicado dentro del grupo de Telegram denominado “Comisiones Obreras Iberia Express”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha de 17 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha de 4 de agosto de 2023, se recibe en esta Agencia escrito de respuesta por parte de ***CARGO de FSC-CCOO, Dª. E.E.E., en el que se expone lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Que FSC-CCOO publicó el censo electoral con el listado de los trabajadores que la empresa IBERIA EXPRESS le había proporcionado. En la página 10 del acta notarial de 30/05/19 se indica que dicho anexo contiene el listado de los “trabajadores actuales del colectivo de tripulantes www.aepd.es sedeagpd.gob.es 3/17 de cabina y sobrecargos de Iberia Express incluidos en el censo facilitado por la empresa”. - Dicho censo electoral contenía el nombre y apellidos y DNI, categoría laboral, y número de empleado de estos 333 trabajadores. - Mantiene que FSC-CCOO no es la responsable del tratamiento de los datos personales divulgados, sino la empresa a la que pertenecen los trabajadores, IBERIA EXPRESS, en los términos siguientes: “Sobre esos datos personales que proporcionó la empresa y que el fedatario público adjunto al acta, así como de los distintos documentos o informaciones que se traten en los centros de trabajo, la Federación de Servicios a la Ciudadanía de CCOO, no es la responsable del tratamiento de esos datos. Tampoco puede ser responsable de las comunicaciones que la representación legal de las personas trabajadoras pueda realizar con recursos ajenos al sindicato, por ejemplo, en redes sociales. Estamos ante tratamientos y operaciones de tratamientos de datos laborales de las personas trabajadoras cuyo responsable es la empresa.” - Apela a lo previsto en el artículo 4.7 del Reglamento General de Protección de Datos, así como a la Ley Orgánica de Libertad Sindical 11/85, y la Ley Orgánica 3/2018 de protección de datos de carácter personal, como base jurídica de su falta de responsabilidad en el tratamiento en el supuesto de listados confeccionados con datos que sólo posee la empresa, que el sindicato desconoce, cayendo fuera de su capacidad de control. - Que ha contactado con los Delegados del Comité de Empresa de IBERIA EXPRESS, y éstos informaron de lo siguiente: 1. El comunicado se publica el día 7 de junio por los delegados del comité de empresa en WhatsApp, Telegram e Instagram. 2. El comunicado, en WhatsApp y Telegram, por error humano, lleva adjunto el Acta Notarial de votación del I Convenio Colectivo y que contenía los datos de las personas trabajadoras que proporcionó la empresa y que se adjuntaron con su DNI completos en origen. Pero en Instagram el comunicado nunca llevó el documento adjunto. 3. Cuando son conocedores del hecho, inmediatamente se elimina el documento de WhatsApp, y en Telegram se sustituye por el Acta sin los datos de los trabajadores. 4. El alcance de las publicaciones fue muy reducido, tanto por el número de personas que pudieron acceder como por el tiempo de exposición. El tiempo estimado que pudo estar disponible en Telegram pudo ser máximo de 4 horas. El número de suscriptores de Telegram es de un total de 24. El día 8 de junio era de 28, 3 de ellos lo hicieron el propio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 día 8 (estos ya vieron el documento sin datos) y una persona casualmente se suscribió el día 7 de junio. El número de integrantes del grupo de WhatsApp es de 56 usuarios, de los cuales todos son trabajadores de la empresa y cuando se eliminó, el número de personas que lo había visto era de 10 personas. 5. Que el día 8 de junio de 2023 el sindicato USO sacó un comunicado dirigido a la plantilla de trabajadores de IBERIA EXPRESS, informando de la denuncia presentada ante la Agencia por la publicación de este listado de trabajadores e invitando a denunciar y facilitando recursos para su ejecución. 6. El día 8 de junio, una persona afectada se puso en contacto con uno de los delegados de CCOO, para manifestar su queja y comunicar lo siguiente: “Que le han enviado un documento, en el que salen su nombre con su DNI, que prefiere que le demos explicaciones ya que no quiere tener que denunciarnos”. Dice que le consta que ese documento se encuentra circulando por varios chats en los que se pide la denuncia directa contra nuestra sección sindical. Ante lo cual, el sindicato le dio las explicaciones oportunas. 7. El día 9 de junio se publicó en el grupo de Telegram una disculpa por lo ocurrido. También la disculpa se envía de forma individual a las personas de las que se tiene contacto. Junto con las alegaciones, el sindicato reclamado FSC-CCOO acompaña: - El comunicado de FSC-CCOO de 9 de junio de 2023, pidiendo disculpas por la publicación y comunicando haber retirado las publicaciones. El comunicado del sindicato USO de 8 de junio informando a los trabajadores de la publicación del censo por FSC-CCOO, e invitando a denunciar los hechos. TERCERO: Con fecha de 7 de agosto de 2023, la Delegada de Protección de Datos de FSC-CCOO presenta escrito de subsanación a instancia propia, al objeto de modificar su escrito inicial de 4 de agosto de 2023, para borrar toda referencia realizada a la identidad de una persona afectada por la publicación del listado de trabajadores, que solicitó explicaciones al sindicato el 8 de junio, aportando una nueva redacción que se recoge en el antecedente de hecho segundo de este acuerdo (Punto 6). CUARTO: Con fecha 23 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 De acuerdo con y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El nombre y apellidos, y otros datos de empleados como la categoría laboral o el número de empleado, se consideran datos personales cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta que el reclamado ha realizado un tratamiento de datos personales toda vez que ha difundido el listado que había confeccionado la empresa IBERIA EXPRESS, en el que aparecía el nombre, apellidos, categoría laboral y nº de empleado de 333 trabajadores que constaban en el censo para la votación convocada. En consecuencia, éste es el presunto responsable al que debe dirigirse el presente procedimiento sancionador de acuerdo con lo previsto en el artículo 70. 1

1. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
2. a)Los responsables de los tratamientos.
3. b)Los encargados de los tratamientos.
4. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
5. d)Las entidades de certificación.
6. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad; como consecuencia de haber hecho públicos los datos personales de 333 trabajadores de la empresa, al publicar el censo electoral de ambas convocatorias en tres redes sociales: Instagram, WhatsApp y Telegram, tal y como la propia Delegada de Protección de Datos de FSC-CCOO reconoce en su escrito. III Artículo 5.1.
7. f)del RGPD El artículo 5.1.
8. f)“Principios relativos al tratamiento” del RGPD establece que: “1. Los datos personales serán: (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que el sindicato reclamado ha difundido en redes sociales los datos personales de 333 personas (nombre, apellidos, categoría laboral y nº de empleado) sin anonimizarlos, vulnerándose el principio de confidencialidad de los datos personales regulado en el artículo 5.1.
10. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 IV Tipificación y calificación de la infracción del artículo 5.1.
11. f)del RGPD De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del Principio de Confidencialidad previsto en el artículo 5.1.
12. f)del RGPD. En concreto, de confirmarse la realidad de los hechos denunciados, la citada infracción del artículo 5.1.
13. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone (el subrayado es nuestro): “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, cabe aplicar el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD, que indica (el subrayado es nuestro): “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
16. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
17. a)a
18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
20. b)la intencionalidad o negligencia en la infracción;
21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
25. g)las categorías de los datos de carácter personal afectados por la infracción;
26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42.
29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: “De acuerdo a lo previsto en el artículo 83.2.
30. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
31. a)El carácter continuado de la infracción.
32. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
33. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
34. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
35. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
36. f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17
37. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
38. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente supuesto, cabe aplicar a esta infracción las circunstancias de graduación agravantes siguientes: En primer lugar, cabe aplicar la prevista en el artículo 83.2.
39. a)del RGPD: “La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Toda vez que el comunicado publicó un listado con 4 tipos de datos personales de 333 trabajadores de IBERIA EXPRESS (nombre y apellidos, DNI, categoría laboral y número de empleado, que aparecieron visibles sin anonimizar) en tres redes sociales, teniendo en cuenta que éste estuvo publicado desde el 7 al 8 de junio, fecha en la que el listado fue retirado según lo indicado por la reclamada, y una de las reclamantes. Todo ello, sin perjuicio de lo que se derive de la instrucción de este procedimiento para determinar el alcance de la infracción, al objeto de comprobar la certeza de las manifestaciones realizadas por FSC-COOO respecto a las horas, contenido y usuarios que visualizaron las publicaciones. En segundo lugar, la expuesta en el artículo 83.2.
40. e)del RGPD: “toda infracción anterior cometida por el responsable o el encargado del tratamiento,” puesto que consta en los archivos de esta Agencia que el sindicato reclamado fue objeto de un procedimiento sancionador tramitado por la comisión de la infracción tipificada en el artículo 5.1.
41. f)del RGPD (con el número PS/00039/2022), siendo finalmente sancionado con multa de 3.000 euros mediante Resolución firme de 26-10-22. En tercer lugar, cabe considerar en la graduación de la multa, así mismo, la circunstancia del artículo 83.2.
42. b)del RGPD: “La intencionalidad o negligencia en la infracción”. En el cumplimiento de sus obligaciones legales -por lo que aquí interesa la obligación de guardar la confidencialidad- la reclamada debe de actuar con la diligencia que las circunstancias del caso exigen. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar puede traerse a colación la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007 (rec. 63/2006), que, aunque dictada bajo la vigencia de la normativa precedente resulta extrapolable al asunto que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 nos ocupa. La SAN, después de indicar que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisa que “...el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Aplicando esta doctrina al presente supuesto, la falta de diligencia reconocida por la reclamada debe calificarse de “grave”, puesto que debería haber sido particularmente escrupulosa antes de decidir publicar en redes sociales el anexo del acta que contenía el listado con varios datos personales de los 333 trabajadores (artículo 83.2.
43. b)RGPD). Y cabe aplicar, por último, la circunstancia prevista en el artículo 76.2.
44. b)de la LOPDGDD en relación con el artículo 83.2.k), dado que el sindicato reclamado por su actividad está vinculado con la realización de tratamientos de datos de carácter personal. El balance de las circunstancias contempladas en el artículo 83.2.a), b),
45. e)
46. k)del RGPD y en el artículo 76 de la LOGDPDD, permite fijar inicialmente la sanción de multa de 5.000 € (CINCO MIL EUROS) con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
47. f)del RGPD. VI Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
48. a)la seudonimización y el cifrado de datos personales;
49. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
50. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
51. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido, el considerando 83 del RGPD señala que “