PS-00398-2024

1/25  Expediente N.º: EXP202409872 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 5 de junio de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D.G. DE LA GUARDIA CIVIL con NIF S2816003D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Con motivo de la incoación de un expediente disciplinario a quien reclama, por parte del reclamado, se produjo la cesión sin consentimiento y la difusión de información personal del afectado, mediante la remisión de diversas correos electrónicos oficiales, relativos al citado procedimiento, a cuentas genéricas de la aplicación Group Wise (M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA, M.CIS.UPROSEMINISTERIOS.REGISTRO, DG.GESTECONOMICA-REGISTRO y DG.AINTERNOSREGISTRO) a las que puede acceder todos los integrantes de las unidades destinatarias y de la remitente. A este respecto, destaca que el texto reflejado en los mensajes remitidos revela que se le ha incoado un expediente disciplinario. Asimismo, señala que las comunicaciones han sido remitidas sin observar las Circulares del Delegado de Protección de Datos de la Jefatura de los Servicios Técnicos del Mando de Apoyo de la Dirección General de la Guardia Civil, Circular DPD Nº 1 AÑO 2020 y Circular DPD Nº 3 AÑO 2022. Junto a la reclamación aporta las comunicaciones controvertidas, siendo todas citaciones para comparecencia, en el marco del expediente disciplinario incoado, no sólo de la parte reclamante, sino también de la promotora del parte y otros testigos. Se relacionan, a continuación, tales comunicaciones: ─ ─ Copia de correo electrónico, de 26/10/2023, remitido por M.CMD.UPROSEPLM.EXPEDIENTES a M.CIS.UPROSE-MINISTERIOS.REGISTRO con CC a M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA relativo a la citación del reclamante para que comparezca en las dependencias oficiales correspondientes con objeto de notificarle el inicio de procedimiento sancionador. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. Copia de correo electrónico, de 30/10/2023, remitido por M.CMD.UPROSEPLM.EXPEDIENTES a M.CIS.UPROSE-MINISTERIOS.REGISTRO con CC a M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA relativo a la citación de la parte reclamante para que comparezca en las dependencias oficiales correspondientes con objeto de recibirle declaración. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/25 ─ ─ ─ ─ ─ ─ ─ Copia de correo electrónico, de 02/11/2023 a las 9:01h, remitido por M.CMD.UPROSE-PLM.EXPEDIENTES a M.CIS.UPROSEMINISTERIOS.REGISTRO y M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA relativo a la citación de la parte reclamante para que comparezca en las dependencias oficiales correspondientes con objeto de recibirle declaración. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. Copia de correo electrónico, de 02/11/2023 a las 9:36h, remitido por M.CMD.UPROSE-PLM.EXPEDIENTES a M.CIS.UPROSEMINISTERIOS.REGISTRO y M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA relativo al cambio de la fecha de comparecencia a petición del interesado. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. Copia de correo electrónico, de 12/12/2023, remitido por M.CMD.UPROSEPLM.EXPEDIENTES a DG. GESTECONOMICA-REGISTRO; M.CIS.UPROSEMINISTERIOS.REGISTRO y M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA relativo a la citación de testigos para que comparezcan en las dependencias oficiales correspondientes con objeto de recibirles declaración. El correo recoge nombre, apellidos y número de DNI de los testigos así como el rango de uno de ellos. Además, indica el número de tarjeta de identidad profesional (TIP) del Componente del Cuerpo que debe dar las instrucciones oportunas al efecto. Copia de correo electrónico, de 24/01/2024, remitido por M.CMD.UPROSEPLM.EXPEDIENTES a M.CIS.UPROSE-MINISTERIOS.REGISTRO con CC a M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA para que se notifique a la parte reclamante la fecha, lugar y hora en que prestará declaración uno de los testigos. El correo recoge nombre y apellidos, rango y unidad de destino de quien reclama junto con el nombre y apellidos de uno de los testigos. En este correo se ocultan algunos caracteres de los números de identificación del testigo que se menciona y de quien reclama con un asterisco en cada posición. Copia de correo electrónico, de 26/01/2024 a las 10.34h, de M.CMD.UPROSEPLM.EXPEDIENTES a M.CIS.UPROSE-MINISTERIOS.REGISTRO con CC a M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA por el que se remite el Acuerdo dictado por quien instruye el procedimiento para que sea devuelto por quien reclama debidamente cumplimentado. Se indica que el archivo se encuentra protegido por contraseña y los números de teléfono de las dependencias autorizadas para acceder al mismo. El correo recoge nombre y apellidos, rango y unidad de destino de la parte reclamante si bien se ocultan algunos caracteres de su número de identificación con un asterisco en cada posición. Copia de correo electrónico, de 26/01/2024 a las 14.12h, remitido por M.CMD.UPROSE-PLM.EXPEDIENTES a M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA con CC a M.CIS.UPROSEMINISTERIOS.REGISTRO en el que se acusa recibo de la notificación del Acuerdo anterior a la parte reclamante. El correo recoge nombre, apellidos, y rango de quien reclama. Copia de correo electrónico, de 12/02/2024 a las 10.16h, remitido por M.CMD.UPROSE-PLM.EXPEDIENTES a M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA con CC a M.CIS.UPROSEMINISTERIOS.REGISTRO relativo a la citación de la parte reclamante para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/25 ─ ─ que comparezca en las dependencias oficiales correspondientes con objeto de notificarle el Pliego de Cargos adoptado y recibirle declaración. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. Copia de correo electrónico, de 12/02/2024 a las 11.09h, remitido por M.CMD.UPROSE-PLM.EXPEDIENTES a M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA y M.CIS.UPROSEMINISTERIOS.REGISTRO relativo a la citación de la parte reclamante para que comparezca en las dependencias oficiales correspondientes con el único objeto de notificarle el Pliego de Cargos adoptado. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama. Copia de correo electrónico, de 13/03/2024, remitido por M.CMD.UPROSEPLM.EXPEDIENTES a DG.AINTERNOS-REGISTRO relativo a la citación de la parte reclamante para que comparezca en las dependencias oficiales correspondientes con objeto de notificarle la Propuesta de Resolución adoptada en el procedimiento. El correo recoge nombre y apellidos, número de DNI, rango y unidad de destino de quien reclama así como la presunta falta que se le imputa y su tipificación. No aporta copia del correo electrónico de 18 de abril de 2024, que se menciona en el escrito de reclamación, por el que supuestamente se comunica la Resolución del expediente disciplinario y la contraseña para acceder a la misma a la cuenta genérica de la aplicación Group Wise DG.AINTERNOS-REGISTRO, lo que podría entrar en contradicción con lo previsto en la Circular DPD Nº 3 AÑO 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 08/07/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 24/07/2024 se recibe en esta Agencia escrito de respuesta indicando, entre otras cosas, lo siguiente: “Al objeto de que se pueda responder a la Autoridad de Control de la Agencia Española de Protección de Datos, seguidamente se cumplimentan de manera individualizada las cuestiones que se indican y que tienen que ver con el Expediente: (…) – (…). 1. Descripción detallada y cronológica de los hechos El (…), se encontraba destinado en la (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/25 Mediante Orden de Proceder del (…) (Madrid), de fecha 24/10/23, se ordenó a la (…), la instrucción del Expediente Disciplinario por (…), en el que como presunto autor figuraba (…). A tal efecto, conforme al Artículo 56.1, de la Ley Orgánica 12/2007, del Régimen Disciplinario de la Guardia Civil, se procedió a solicitar del (…), a través del correo para asuntos oficiales, bajo control del personal que desarrolla las funciones de gestión administrativa como auxiliares del mando, para su notificación al citado (…) de diversos trámites relacionados con dicho expediente, dándose conocimiento asimismo, en el mismo correo, a su (…), a través del correo oficial, similar al anterior, asignado a su Unidad. 2. Especificación detallada de las causas que han hecho posible el incidente El incidente al parecer estaría motivado por haber identificado al (…), con el empleo, nombre, apellidos y DNI, en los correos oficiales (Group Wise) dirigidos a los mandos anteriormente mencionados, para la realización de diversos trámites del referido expediente disciplinario. Dichas comunicaciones se realizaron en el entendimiento, por parte de la Instructora, de que se cumplimentaba el artículo 56.1 de la Ley Orgánica 12/2007, del Régimen Disciplinario de la Guardia Civil, y de que el conocimiento, por parte del personal que realiza las funciones de gestión administrativa, como auxiliares del Mando, resulta inherente a su función, sujetos además, como cualquier guardia civil, a la obligación de reserva profesional, conforme al artículo 19 de la Ley Orgánica 11/2007, reguladora de los Derechos y Deberes de los miembros de la Guardia Civil. Debe tenerse en cuenta que el acceso a las cuentas de correo oficiales de la Unidad, requiere disponer de los medios (PCs) conectados y de las claves de acceso a dichas aplicaciones de correo, no siendo de acceso y utilización general para los guardias civiles de la Unidad, sino sólo para los que realicen funciones de gestión administrativa, como auxiliares del Mando. […] 4. Categoría de los datos personales involucrados. El empleo, nombre, apellidos y DNI del (…). 5. Posibles consecuencias para las personas afectadas La realización de los trámites se gestiona en un ámbito estrictamente profesional y por medios oficiales, con personal encargado de la gestión administrativa de todos los asuntos oficiales atenientes a su Unidad y al personal destinado. Si bien se alude a la incoación del expediente disciplinario contra el (…), no se dan detalles de los hechos que motivaron su incoación ni su presunta tipificación. 6. Descripción detallada de las acciones tomadas para solucionar el incidente y minimizar el impacto sobre las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/25 No se realizaron en el momento acciones para solucionar el incidente, dado que se pone de manifiesto meses después de su ocurrencia. […] 8. Medidas de seguridad para garantizar la confidencialidad Se han dado instrucciones para que, en el futuro, se atienda rigurosamente a las recomendaciones hechas por el Delegado de Protección de Datos en las Circulares de 2020 y 2022, en lo ateniente a la encriptación de actos referentes a los procedimientos disciplinarios. Si bien, debe tenerse en cuenta que tanto la encriptación como la desencriptación de documentos es realizada por guardias civiles encargados de la gestión administrativa de la unidad y de su personal. 9. En el caso de que no se haya seguido el procedimiento establecido en la Circular DPD 3/2022, los motivos que han llevado a ello. No se siguieron las recomendaciones del Delegado por entenderse que la comunicación de los trámites a los mandos, mediante los medios oficiales, garantizaban la reserva debida, sin perjuicio del conocimiento que de forma inherente pudiera tener el personal auxiliar del Mando que desempeña las funciones de gestión de todos los asuntos oficiales, incluidos los relativos al personal destinado en la Unidad.” TERCERO: Con fecha 16 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 29 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.

1. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio, conforme a las normas establecidas en la LPACAP, con fecha 17/12/2024, tiene entrada en esta Agencia escrito del Teniente Coronel Delegado de Protección de Datos (DPD) de la Dirección General de la Guardia Civil y en el que se recogen, resumidas, las alegaciones formuladas por el Estado Mayor de la Dirección General de la Guardia Civil, que es el principal órgano auxiliar del Mando de Operaciones, en todo lo concerniente al ejercicio de las funciones de ese Mando, y de quien depende la Unidad afectada: “En primer lugar, el (…), si bien se reitera en el escrito que le fue remitido por este DPD en su escrito de 24 de julio de 2024, expone las siguientes consideraciones: ─ La afirmación realizada por el reclamante, relativa a la supuesta quiebra de seguridad del tratamiento basada en el traslado abierto de sus datos personales en correos corporativos “accesible a todos los integrantes de la unidad”, no es correcta, tanto en cuanto, los correos electrónicos, además de ser oficiales, tienen un acceso restringido que se realiza mediante contraseña que solo está disponible para el personal que realiza las funciones de Plana Mayor, quedando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/25 dicha legitimación derivada de la propia Ley 28/2014 de Régimen del Personal al de la Guardia Civil (artículo 15.3), de la Orden General número 25/2023 sobre las Compañías y Puestos territoriales de la Guardia Civil (Artículo 5.4) y de la Orden General número 9/2012, sobre mando disciplina y régimen interior de las Unidades (Artículo 8.1). ─ En este sentido, se realiza una enumeración del total de personas que, en función de las Unidades a las que le fueron remitidos los correos electrónicos, podrían haber tenido acceso a los mismos, siendo un total de 5 personas. ─ Igualmente, se deja de manifiesto por el (…), el deber de reserva en asuntos profesiones que establece el artículo 19 de la Ley orgánica 11/2007, reguladora de los Derechos y Deberes de los miembros de la Guardia Civil. Por su parte, el Estado Mayor de la Guardia Civil coincide con el criterio de la Unidad afectada al afirmar que los datos contenidos en los correos no son de acceso libre, estando limitados únicamente a quienes, por su puesto de trabajo, deben conocer dicha información. Asimismo, precisa que una posible brecha de seguridad solo se perfeccionaría si los datos hubieran estado disponibles para personas no legitimadas, señalando la existencia de herramientas que permiten determinar las circunstancias concretas de un posible acceso no autorizado, como los registros de acceso, horarios, así como la determinación del personal que se encontraba en su puesto de trabajo, que en el marco de una investigación interna podrían contribuir a esclarecer las circunstancias concretas con las que, en su caso, depurar las responsabilidades. En sus alegaciones, el Estado Mayor también detalla la normativa aplicable al uso del correo electrónico oficial, citando la Orden General nº 14 del año 2001 por la que se establecen las normas para la implantación y empleo del correo electrónico, así como otras instrucciones complementarias, dadas en el marco de Reuniones de Mandos de la Guardia Civil, poniendo como ejemplo el recordatorio efectuado a fecha 3 de diciembre de 2024 de las Circulares de este DPD nº 1/2020 y nº 3/2022, que regulan los procedimientos para la comunicación de datos sensibles. Además, informa que, el pasado 18 de noviembre de 2024, se remitieron instrucciones a las unidades dependientes del Mando de Operaciones para reforzar medidas de anonimización en los correos oficiales, concluyéndose por ese Órgano que el sistema implementado resulta seguro y eficaz. Continuando con lo anterior, se procede a informar de las actuaciones llevadas a cabo por el DPD, desde que tuvo conocimiento de los hechos mediante el traslado de reclamación y solicitud de información realizado por la AEPD en fecha 8 de julio de 2024: ─ En primer lugar, tras tener conocimiento de la incidencia relacionada con la remisión de correos electrónicos que pudieran comprometer la confidencialidad de datos de carácter personal, se solicitó un informe a la Unidad afectada, informe que le fue remitido a esa AEPD en fecha 23 de julio de 2024. ─ Seguidamente, en cumplimiento al Protocolo para informar internamente de la existencia de brechas de seguridad del año 2020, a solicitud de este DPD, se recibió de la Unidad afectada un informe de brecha seguridad, con una clasificación final de incidente “bajo”. ─ Dicho informe de brecha de seguridad fue remitido al Responsable de Tratamiento para su análisis y valoración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/25 Para finalizar, este DPD considera que, con los medios con los que cuenta actualmente la Institución, se han establecido las medidas organizativas oportunas para garantizar la normativa en materia de protección de datos, y esta incidencia en concreto, surge como consecuencia de un incumplimiento de dichas medidas, no obstante, en cumplimiento a las funciones de asesoramiento que tiene este DPD, las últimas sugerencias realizadas, para reforzar la seguridad en las comunicaciones van encaminadas a la posibilidad de implementar un sistema de notificaciones electrónicas en el ámbito interno de la Guardia Civil”. El escrito de alegaciones se acompaña de tres oficios en los que se recogen, completas, las observaciones presentadas por el Estado Mayor de la Dirección General de la Guardia Civil: ─ ─ ─ Oficio, de 09/12/2024, dirigido, por el (…) del Mando de Operación de Madrid de la Dirección General de la Guardia Civil, al Teniente Coronel Delegado de Protección de Datos y en cuyo asunto se consigna “ESCRITO DE ALEGACIONES. EXP202409872”. Oficio, de 13/12/2024, dirigido, por el (…) de la Dirección Adjunta Operativa del Estado Mayor de la Dirección General de la Guardia Civil, a la Oficina Central Nacional de Protección de Datos y en cuyo asunto se consigna “Sobre alegaciones EXP2024409872.EXP (…)”. Oficio, de 16/12/2024, dirigido, por el (…) de la Dirección Adjunta Operativa del Estado Mayor de la Dirección General de la Guardia Civil, a la Oficina Central Nacional de Protección de Datos y en cuyo asunto se consigna “Ampliando alegaciones EXP2024409872.EXP (…)”. En particular, en el Oficio, de 09/12/2024, se indica que “(…) conforme al criterio de limitación “al máximo el número de personas” que acceden a la documentación de tramitación, debe exponerse que la composición de las Planas Mayores implicadas, cuentan con el siguiente personal: ─ ─ ─ Plana Mayor de la Compañía de Ministerios, con correo M.CIS.UPROSEMINISTERIOS.REGISTRO, está compuesta por tres efectivos, que son los únicos que tienen accesos a los correos oficiales de la Unidad. Plana Mayor de la Sección Educación y Cultura, con correo M.SCS.UPROSEMINISTERIOEDUCACIONYCULTURA, está compuesta por dos efectivos, que son los únicos que tienen accesos a los correos oficiales de la Unidad. Por tanto, los efectivos totales que pudieran haber accedido a dichos correo son 5, si bien, según el catálogo de ambas unidades anteriores, las Compañía cuenta con 249 efectivos y la Sección con 33. Luego se puede constatar que dicha afirmación sobre la accesibilidad por parte de todos los integrantes de la Unidad resulta FALSA.” SEXTO: Con fecha 16 de junio de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que la D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, ha infringido lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4.
2. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/25 Asimismo, se formulaba propuesta de resolución proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se ordene a la D.G. DE LA GUARDIA CIVIL que, en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de 3 meses, acredite los mecanismos que se han puesto en marcha para la efectiva implantación de las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales incluidos en las comunicaciones a realizar en el marco de procedimientos administrativos en los que figuren como interesados Guardias Civiles. SÉPTIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada, con fecha 11 de julio de 2025 presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: El Delegado de Protección de Datos se ha puesto en contacto con las unidades implicadas, a saber: el Responsable de Tratamiento (RT) Jefatura de Personal, el Estado Mayor de la Dirección General de la Guardia Civil y la Unidad de Protección y Seguridad (UPROSE). Hasta la fecha del presente escrito de alegaciones no se ha recibido informe de la primera de ellas. Consideraciones del Estado Mayor de la Dirección General de la Guardia Civil respecto a la propuesta de resolución del presente procedimiento sancionador: En relación con las medidas correctivas contempladas en la propuesta de resolución de este procedimiento, el Estado Mayor de la DGGC, informa que: La Guardia Civil está inmersa en implementar el sistema de notificación electrónica en los actos administrativos que la Institución practique con sus trabajadores, en los términos que recoge el artículo 14 de la LPACAP. No obstante, se advierte que su puesta en marcha implica una adecuación técnica significativa y la correspondiente adaptación normativa. Debido a ello, y de manera transitoria, para garantizar la seguridad de datos personales en el marco de las comunicaciones que mantiene con sus trabajadores, todas las notificaciones se practican en virtud de las orientaciones expresadas en las Circulares del DPD nº 1 de 2020 y nº 3 de 2022. En cuanto a la brecha de seguridad en cuestión, el Estado Mayor estima que no se produjo, formulando las siguientes observaciones:  Como refleja la AEPD en su escrito, “si bien se alude a la incoación del expediente disciplinario contra el (...), no se dan detalles de los hechos que motivaron su incoación ni su presunta tipificación”.  La Orden General número 19, dada en Madrid el día 22 de diciembre de 2000, la cual fue modificada por la Orden General nº 26 de 2023, dispone que la Plana Mayor como órgano auxiliar de la Jefatura de la Comandancia para la gestión operativa, administrativa y logística se estructura en negociados que se constituyen en los auxiliares del responsable de la unidad para la tramitación de órdenes y ejecución de acciones propias del normal funcionamiento de la Guardia Civil. Por ello, es habitual y se considera normal que, en el marco de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/25  un procedimiento disciplinario, el personal perteneciente al negociado que tiene conocimiento del mismo, disponga de los datos mínimos para poder finalizar el acto administrativo. De conformidad con la Orden General número 14, dada en Madrid el día 2 de julio de 2001, por la que se instauran las Normas para la implantación y empleo del Correo Electrónico en el Cuerpo, las cuentas por las que se transmitió la información se tratan de “cuentas de función”, a las que tiene acceso un número de personas muy escaso y especializado (cinco personas en total entre las distintas cuentas por las que transitó la información). Estas cinco personas, en el ejercicio de sus funciones, tenían la necesidad de conocer la información, ya que se encargan de auxiliar al responsable de la unidad en todos los aspectos asociados al acto administrativo que se debía materializar (deber de plazos, etc.). Asimismo, en el caso de que sí se hubiera producido una verdadera brecha de información, no hubiera sido difícil identificar el origen de la misma, mediante el cruce de la cuenta de que se trate y del número de IP del ordenador de acceso. Del mismo modo se pueden tener en cuenta otros datos, como la hora de apertura de dicho correo electrónico, la determinación del personal que se encontraba en ese momento en su puesto de trabajo, o ausente de él, así como otras circunstancias que, en el marco de una información reservada, podría contribuir a esclarecer las circunstancias concretas que rodean la posible brecha de seguridad con la que, en su caso, depurar las responsabilidades correspondientes. En base a lo anterior, se considera que las cinco personas que tuvieron acceso al correo electrónico citado por el reclamante, debían conocer del mismo, en el marco de las funciones que desempeñan y atendiendo al deber de reserva profesional, recogido en el artículo 19 de la Ley Orgánica 11/2007, reguladora de los Derechos y Deberes de los miembros de la Guardia Civil. Consideraciones de la Unidad de Protección y Seguridad (UPROSE) respecto a la propuesta de resolución del presente procedimiento sancionador:   Las comunicaciones objeto de análisis en este procedimiento se enmarcan en lo preceptuado en la Ley Orgánica 12/2007, de 22 de octubre, de régimen disciplinario de la Guardia Civil. La pertinencia de que la Plana Mayor reciba las comunicaciones analizadas en este contexto, como oficina del mando de la Unidad, está justificada y amparada en las funciones de apoyo al ejercicio del mando previstas en la Ley 29/2014, de 28 de noviembre, de Régimen de Personal de la Guardia Civil (artículo 15.3 in fine), en la Orden General núm. 8/2012, sobre mando, disciplina y régimen interior (artículo 8) y en el Capítulo IV, Título III de las Reales Ordenanzas para las Fuerzas Armadas. De acuerdo con la normativa citada, la Unidad de Protección y Seguridad (UPROSE) sostiene que la remisión de las comunicaciones a los jefes de sus unidades subordinadas se realiza como está ordenado y legislado, a través de sus planas mayores. A esto añade que el Registro de Actividades de Tratamiento de la Dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/25 General de la Guardia Civil, en referencia al Tratamiento "Régimen Disciplinario", ampara las cesiones antedichas. En atención a la obligación legal de canalizar las comunicaciones a través de los órganos de apoyo al mando, no puede apreciarse extralimitación en cuanto a la minimización de datos, pues los tratamientos resultan adecuados pertinentes y limitados a lo necesario para la finalidad prevista. Además, el personal que atiende el correo corporativo Groupwise, lo hace cumpliendo lo ordenado, además de por las referencias legales antedichas, por la regulación que del correo corporativo hace la Guardia Civil, Orden General número 14, de 2 de julio de 2001, sobre normas para la implantación y empleo del Correo Electrónico en el Cuerpo. Según lo ordenado en dicha norma, en su artículo tercero, apartado B, "las cuentas de FUNCIÓN se crearán a propuesta del Jefe de la Unidad de acuerdo con la distribución de cometidos y actividades que en ellas se desarrollen, y por definición, pueden ser utilizadas por un conjunto de usuarios; no obstante, se deberá designar a un responsable de la clave de acceso a la misma", significando que el acceso a la cuenta está limitada y restringida por "clave de acceso", que sólo conoce un número exclusivo de guardias civiles con competencia para ello. En cuanto al hecho referido de no atender la recomendación hecha en la Circular nº 1/2020 y nº 3/2022, hay que contextualizar dichas recomendaciones, dadas por el DPD a fin de una mayor garantía en la confidencialidad del correo electrónico, aplicando, al caso que nos ocupa, adjuntos adicionalmente protegidos por contraseña. No obstante, no se puede considerar que, no haber atendido esta recomendación, invalida el marco de garantías ya establecido por normas anteriores, incluso algunas con rango legal, que se dictan tanto en el ámbito organizativo como técnico. De aquí no se deriva que exista una difusión indiscriminada, ya que, como se ha quedado recogido, los accesos a las cuentas corporativas son limitadas en número de usuarios y proporcionada a la actividad atribuida al jefe o mando de Unidad, amparadas por la normativa tanto general como interna del Cuerpo. Sustraer de estas funciones a las planas mayores de los mandos, es lo mismo que vaciarlas de contenido en la práctica, pretendiendo que los jefes de Unidad realicen todas las tareas de trámite por sí de forma personalísima, lo resulta imposible y paralizaría el funcionamiento de la Guardia Civil. Es más, el hecho de cifrar con contraseña los adjuntos, como mecanismo recomendado en la circular, no altera el número de personas de la oficina de plana mayor correspondiente que tienen obligación de acceder al correo corporativo. Una vez facilitada la contraseña, entre la Unidad de origen y la Unidad de destino, la contraseña es conocida por el número determinado, pertinente y siempre mínimo, que ya existe en la plana mayor del mando. Dicho personal ya accede a esa cuenta de correo Groupwise con una contraseña que es conocida exclusivamente por el personal autorizado y cuyo acceso lo ordena el propio jefe o mando de Unidad a la que pertenece. En conclusión, el impacto a la intimidad, como ya se expresó en las alegaciones previas reportadas por esta UPROSE, donde un único sujeto pasivo (el encartado) y el acceso a la información del personal de plana mayor del mando, se considera que constituye un acceso legítimo, mínimo y proporcionado, en las que existen medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/25 organizativas y técnica, reguladas en las disposiciones legales expuestas, por lo que no se está conforme que se estime como un "incumplimiento sustancial", entendiendo dicho término como expresivo de grave o gravedad.” Actuaciones de formación, concienciación y sensibilización en materia de protección de datos y confidencialidad. Desde la Dirección General de la Guardia Civil, se está impulsando de manera activa la formación en materia de protección de datos personales de todo el personal a través de la Oficina Central Nacional de Protección de Datos dependiente de la Jefatura de Transformación Digital y Ciberseguridad. Para ello, se están desarrollando acciones formativas adaptadas al perfil y funciones de cada unidad, con contenidos prácticos y actualizados conforme a la normativa vigente, especialmente el RGPD y la LOPDGDD. Se acompaña, como Anexo I, relación detallada de las actuaciones realizadas en materia de formación, concienciación y sensibilización en protección de datos y confidencialidad. CONCLUSIÓN DEL DELEGADO DE PROTECCIÓN DE DATOS: Conforme a la normativa interna de funcionamiento, estructura y organización de la Guardia Civil se ha actuado correctamente, y con el menor impacto posible a los derechos del reclamante, dentro de las posibilidades técnicas y organizativas implementadas en ese momento a nivel organización, pues las planas mayores son los órganos administrativos que auxilian al Mando en las diferentes funciones administrativas que se deben abordar. Por otro lado, deja constancia de lo siguiente:  Existen diferentes cuentas de correo Group Wise pertenecientes a diferentes departamentos de la UPROSE, a las cuales solo tiene acceso un personal previamente designado y autorizado por el respectivo Mando, a saber, 5 personas del negociado de expedientes que por normativa interna auxilian al Mando en esa función. De acuerdo con el funcionamiento de las Unidades implicadas, la documentación se habría desencriptado, en su caso, y esas 5 personas del negociado de expedientes habrían tenido acceso a la información.  Se está implantando la notificación electrónica como medida técnica para reforzar la protección de los datos personales. Hasta que dicha implantación resulte operativa se están impulsando acciones formativas de concienciación y sensibilización en materia de protección de datos. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 24/10/23, con arreglo a lo establecido en la Ley Orgánica 12/2007, de 22 de octubre, del régimen disciplinario de la Guardia Civil (en adelante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/25 LO 12/2007), la parte reclamada ordenó instruir Expediente Disciplinario por (…), en el que figuraba, como presunto autor, quien reclama. SEGUNDO: Consta en el expediente que, con motivo de la tramitación del referido expediente disciplinario, se realizaron diversas comunicaciones mediante la remisión de correos oficiales, en abierto, a cuentas genéricas de la aplicación Group Wise de la Dirección General de la Guardia Civil. De este modo, en los correos electrónicos podían visualizarse los datos identificativos de la parte reclamante (nombre, apellidos y número de DNI), su rango y unidad de destino y que estaba siendo expedientado por presunta falta grave del art. 8.6 de la LO 12/2007. TERCERO: La reclamada ha informado a esta Agencia que las citadas comunicaciones, al tratarse de correos oficiales, tienen acceso restringido que se realiza mediante contraseña que solo está disponible para el personal que realiza las funciones de Plana Mayor, como órgano auxiliar y de apoyo a la Jefatura, quedando dicho acceso legitimado por la Ley 28/2014 de Régimen del Personal al de la Guardia Civil (artículo 15.3), de la Orden General número 25/2023 sobre las Compañías y Puestos territoriales de la Guardia Civil (Artículo 5.4) y de la Orden General número 9/2012, sobre mando disciplina y régimen interior de las Unidades (Artículo 8.1). En particular, sólo tres efectivos tienen acceso a los correos oficiales de la Unidad “M.CIS.UPROSE-MINISTERIOS.REGISTRO”. En el caso de la Unidad “M.SCS.UPROSE-MINISTERIOEDUCACIONYCULTURA” el número de efectivos autorizados se reduce a dos. No se aporta esta información con respecto a las otras cuentas genéricas de Group Wise implicadas: M.CMD.UPROSE-PLM.EXPEDIENTES, DG.GESTECONOMICAREGISTRO y DG.AINTERNOS-REGISTRO. CUARTO: Las Circulares DPD Nº 1 AÑO 2020, de 3 de diciembre de 2020 y DPD Nº 3 AÑO 2022, de 4 de agosto de 2022, contienen recomendaciones hechas por el Delegado de Protección de Datos de la Dirección General de la Guardia Civil para garantizar la confidencialidad de los datos personales que puedan contener las comunicaciones relativas, entre otras, a sanciones penales o administrativas (sentencias, notificación de sanciones, procedimientos disciplinarios) que se realicen entre diversas Unidades del Cuerpo. La Circular DPD Nº 3 AÑO 2022 realiza una concreción del procedimiento a seguir para realizar las comunicaciones oficiales recogido en la Circular DPD Nº 1 AÑO 2020. Según el tenor literal de la Circular del año 2022 “El objetivo que se persigue es evitar que las resoluciones y otros documentos que es necesario comunicar al interesado o interesada dentro de un procedimiento administrativo y que contienen datos personales, en algunos casos de especial sensibilidad como son, por ejemplo, los de salud o relativos a condenas o sanciones penales, sean trasladados desde el órgano emisor hasta el destinatario a través de la estructura de la Institución en abierto y con la posibilidad de que puedan acceder a su contenido terceras personas vulnerándose por tanto el principio de confidencialidad.” QUINTO: En su escrito de respuesta al traslado de la reclamación, de fecha 24/07/2024 y nº de registro de entrada REGAGE(…), la parte reclamada reconoce, con relación a las medidas de seguridad, que no se han atendido las recomendaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/25 hechas por el Delegado de Protección de Datos en las Circulares de 2020 y 2022, en lo ateniente a la encriptación de actos referentes a los procedimientos disciplinarios. No obstante lo anterior, a continuación, se indica que se han dado instrucciones para que, en el futuro, se observen rigurosamente tales recomendaciones. SEXTO: En su escrito de alegaciones al acuerdo de inicio de este procedimiento, de fecha 17/12/2024 y nº de registro de entrada REGAGE(…), el Teniente Coronel DPD de la Dirección General de la Guardia Civil expone que, con relación a esta reclamación, ha sido informado internamente, por la Unidad afectada, de la existencia de una brecha de seguridad calificada de incidente “bajo”. Asimismo, declara que esta incidencia se produjo como consecuencia de un incumplimiento de las medidas para garantizar la observancia de la normativa en materia de protección de datos. SÉPTIMO: No se aporta correo electrónico alguno relativo a la comunicación de la Resolución del procedimiento sancionador que se menciona en el escrito de reclamación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: La D.G. DE LA GUARDIA CIVIL manifiesta en su escrito de alegaciones que los datos contenidos en los correos no son de acceso libre, estando limitados únicamente a quienes, por su puesto de trabajo, deben conocer dicha información, estando además sujetos a la obligación de reserva profesional. En este sentido, realiza una enumeración del total de personas que, en función de las Unidades a las que fueron remitidos los correos electrónicos, podrían haber tenido acceso a los mismos, siendo un total de 5 personas. En el presente caso, conviene precisar que no se han incumplido las medidas para garantizar la confidencialidad de los datos personales recogidas en las Circulares del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/25 Delegado de Protección de Datos de 2020 y 2022, como reconoce expresamente la propia parte reclamada en su escrito de respuesta al traslado de la reclamación, de fecha 24/07/2024, y en las alegaciones al acuerdo de inicio de este procedimiento presentadas el 17/12/2024. En particular, como se explicita en el fundamento de derecho siguiente, las comunicaciones realizadas por correo electrónico relativa a citaciones para la comparecencia de quien reclama ni estaban encriptadas ni eran sólo accesibles por el Jefe de su Unidad de destino o encuadramiento. Además, la parte reclamada no ha proporcionado motivación alguna que justifique la pertinencia del acceso a tales comunicaciones por parte de esas otras personas indicadas ni se ha acreditado que ello fuera imprescindible para el desempeño de sus funciones. El artículo 32 del RGPD establece que las medidas de seguridad deben ser apropiadas al nivel de riesgo que implique el tratamiento. Restringir el control de acceso a los correos electrónicos oficiales que se remitan con motivo de la incoación de un procedimiento disciplinario es una medida esencial para garantizar que sólo las personas autorizadas puedan acceder a los datos personales contenidos en dichos correos reduciendo el riesgo de accesos indebidos o filtraciones de datos que puedan comprometer la seguridad de la información. Sin embargo, restringir el control de acceso por sí solo no previene fugas de datos por empleados o terceros que ya tienen acceso a los correos como se evidencia en el presente caso. En el contexto de un procedimiento disciplinario los datos tratados pueden incluir información sensible lo que requiere medidas de seguridad adicionales como las indicadas por el DPD de la Dirección General de la Guardia Civil en sus Circulares Nº 1 AÑO 2020 y Nº 3 AÑO 2022. Así por ejemplo, el cifrado de datos de los correos y documentos relacionados, al que se hace mención expresa en ambas circulares, está previsto en el artículo 32 del RGPD para minimizar los riesgos inherentes al tratamiento como el riesgo de filtración. Tales restricciones están alineadas con los principios de integridad y confidencialidad del artículo 5.1.
4. f)del RGPD, con la seguridad del tratamiento en los términos previstos en el artículo 32 del RGPD y con el principio de responsabilidad proactiva (artículos 24.1 y 5.2 del RGPD) que obliga a los responsables del tratamiento a demostrar que han implementado medidas efectivas para proteger los datos personales. En definitiva, el uso de cifrado o de técnicas de cifrado o criptográficas es un elemento básico de seguridad en la política de información de una entidad y, en particular, es una de las garantías adicionales que se pueden emplear para reducir el riesgo en el tratamiento de datos de carácter personal. III Contestación a las alegaciones presentadas a la propuesta de resolución del procedimiento En respuesta a las alegaciones presentadas por la entidad reclamada resulta oportuno efectuar las siguientes precisiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/25 En la propuesta de resolución de este procedimiento, en el Antecedente Segundo, se reproducen las alegaciones formuladas por la Dirección General de la Guardia Civil en su escrito de respuesta al traslado de la reclamación presentado en fecha 24/07/2024. En ellas la parte reclamada manifestaba que “si bien se alude a la incoación del expediente disciplinario contra el (...), no se dan detalles de los hechos que motivaron su incoación ni su presunta tipificación”. Al respecto, debe señalarse que la remisión en abierto de los datos personales descritos – datos identificativos de la parte reclamante (nombre, apellidos y número de DNI), su rango y unidad de destino y que estaba siendo expedientado por presunta falta grave del art. 8.6 de la LO 12/2007 – aunque carezca de detalles sobre los hechos que motivaron el procedimiento, no exonera de responsabilidad en materia de protección de datos. Dicho tratamiento sigue estando sujeto a los principios relativos al tratamiento previstos en el artículo 5 del RGPD debiendo adoptarse las medidas adecuadas para garantizar su protección. La ausencia de detalles sobre los hechos puede atenuar la exposición de información sensible, pero no suprime la obligación de cumplir con las previsiones del RGPD. Además, del examen de las comunicaciones controvertidas, se advierte que el tratamiento del DNI de la parte reclamante y, en algunas ocasiones, de otras personas que intervienen en el procedimiento disciplinario, como los testigos, resulta innecesario para la finalidad de notificar citaciones de comparecencia. De hecho, si bien en algunos correos electrónicos se ocultan algunos caracteres del número de DNI, en otros aparece completo, constituyendo un tratamiento excesivo y desigual. Por otro lado, la parte reclamada invoca la normativa interna de funcionamiento, estructura y organización de la Guardia Civil, así como la relativa al uso del correo electrónico, como argumento para respaldar la legitimidad de su proceder. Sobre este particular, el Delegado de Protección de Datos concluye lo siguiente: “(…) se ha actuado correctamente, y con el menor impacto posible a los derechos del reclamante, dentro de las posibilidades técnicas y organizativas implementadas en ese momento a nivel organización, pues las planas mayores son los órganos administrativos que auxilian al Mando en las diferentes funciones administrativas que se deben abordar. Por otro lado, se deja constancia que hay creadas diferentes cuentas de correo Group Wise pertenecientes a diferentes departamentos de la UPROSE, a las cuales solo tiene acceso un personal previamente designado y autorizado por el respectivo Mando”. Con relación a lo expuesto, cabría precisar que, aunque el personal que tuvo acceso a los correos electrónicos fuera estrictamente el necesario para la gestión de las cuentas de correo y contara con los permisos adecuados para la tramitación de los actos propios del procedimiento disciplinario, el hecho de que las comunicaciones electrónicas se enviaran en abierto sigue constituyendo un tratamiento de datos personales que requiere medidas de seguridad apropiadas. En virtud del artículo 32 del RGPD, dichas medidas incluyen, entre otras, la seudonimización y el cifrado de datos personales, a fin de garantizar su confidencialidad e integridad. Por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/25 consiguiente, la conformidad con el RGPD no se agota en la legitimidad del personal que accede a las comunicaciones, sino que requiere que los datos se transmitan de manera confidencial y minimizando riesgos de acceso indebido. A mayor abundamiento, procede destacar que el propio Delegado de Protección de Datos, en sus Circulares nº 1/2020 y nº 3/2022, ya contemplaba medidas orientadas a garantizar la confidencialidad de los datos personales que puedan contener las comunicaciones que se realicen entre diversas Unidades del Cuerpo y difundirlo con objeto de “evitar que las resoluciones y otros documentos que es necesario comunicar al interesado o interesada dentro de un procedimiento administrativo y que contienen datos personales, en algunos casos de especial sensibilidad, sean trasladados desde el órgano emisor hasta el destinatario a través de la estructura de la Institución en abierto y con la posibilidad de que puedan acceder a su contenido terceras personas vulnerándose por tanto el principio de confidencialidad”. A su vez, se reconoce que no se aplicaron las directrices de las circulares del DPD, lo cual hubiese incrementado las garantías de confidencialidad. En efecto, aunque se alegue, posteriormente, que la encriptación de los correos sería irrelevante, dado que los destinatarios con permisos de acceso a las cuentas de destino acabarían desencriptándolos para llevar a cabo las gestiones propias del procedimiento disciplinario, ello no exime de la obligación de aplicar medidas de seguridad adecuadas conforme al artículo 32 del Reglamento (UE) 2016/679. La normativa no solo protege contra accesos indebidos externos, también establece la necesidad de garantizar la confidencialidad y minimización del tratamiento incluso frente a personal autorizado, adoptando medidas proporcionales al riesgo y limitando la exposición de datos personales, especialmente cuando se trate de datos sensibles como los relativos a sanciones penales o administrativas. Por último, resulta conveniente puntualizar que el artículo 30 del RGPD establece la obligación de los responsables y encargados del tratamiento de mantener un Registro de Actividades de Tratamiento (RAT), en el que se consignará, entre otros aspectos, las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales. Dicho instrumento constituye una manifestación del principio de responsabilidad proactiva, en cuanto permite documentar, controlar y supervisar los procesos de tratamiento llevados a cabo por la organización, pero en ningún caso legitima por sí mismo la cesión de datos personales, la cual debe sustentarse en una base jurídica válida. IV Obligación incumplida El artículo 32 del RGPD, bajo la rúbrica “Seguridad del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/25 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
5. a)la seudonimización y el cifrado de datos personales;
6. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
7. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
8. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/25 acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “