PS-00432-2020

1/13  Expediente Nº: PS/00432/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 27/09/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJO GENERAL DEL PODER JUDICIAL (CGPJ), NIF S2804008G (en adelante, el reclamado). Los motivos en que basa la reclamación son: En la web (www.poderjudicial.

1. es)aparecen publicadas resoluciones con los datos personales sin anonimizar, efectuados por las Comisiones que han resuelto los asuntos. Se publican currículums vitaes, actas y órdenes del día. Para acreditar los hechos, adjunta el archivo denominado: “1_CGPJ_Ejemplos_datos_personales.pdf EJEMPLOS DE VULNERACIÓN DEL RGPD POR EL CGPJ (145 páginas). En el señala que: “Todas las URL’s de estos ejemplos se han obtenido haciendo búsquedas en Google y los datos personales contenidos en ellas son accesibles por cualquier persona” A-Distingue tres tipos de problemas detectados respecto a datos sin proteger: 1) Documentos judiciales que pueden ser verificados a través de un CSV y cuya dirección web de acceso puede luego ser portada y accedida sin contar con el citado CSV. 2) Actas y órdenes del día, con datos de magistrados, particularmente de sus bajas médicas, y de denunciantes. 3) Currículums vitae de magistrados con datos de contacto especialmente delicados. B-Indica que sus datos permanecen accesibles con ocasión de la presentación de un recurso ante la Comisión (...) del CGPJ y que “otras webs tienen una copia de los mismos (p.e. la caché de Google y docplayer.es).” En el archivo que aporta junto a su denuncia denominado: “2_CGPJ_Eliminar_datos_personales.pdf MIS DATOS PERSONALES A ELIMINAR” refiere concretamente al contenido en el que figuran sus datos y que solicita que se eliminen, incluyendo la realización de gestiones para que los documentos copiados a la caché de GOOGLE y docplayer.es, no contengan dato alguno. Para ello, aporta un acta notarial de 25/09/2019 de 13 folios. En ella se accede a una dirección en poderjudicial.es, obteniendo el acuerdo del CGPJ (Orden del día) de ***FECHA.1) en el que figuran sus datos referidos a que interpuso recurso de reposición XX/XXXX, y en el siguiente punto otro recurso distinto de otra persona, siendo el documento pdf de 18 páginas. SEGUNDO: La reclamación fue trasladada al reclamado el 7/10/2019. Con fecha 11/11/2019 se recibe respuesta, aportando diversa documentación que dio lugar a que con fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 25/02/2020, expediente E/9313/2019, se archivaran las actuaciones, al entender cumplida la reclamación. TERCERO: El acuerdo fue recurrido por el reclamante el 2/03/2020, que se resuelve en el RR/00179/2020, en fecha 10/11/2020, estimando el recurso, y acordando la admisión a trámite de la reclamación. El fundamento de derecho 4 indicaba: “En el presente caso, junto al recurso de reposición se ha aportado documentación relevante a los efectos de lo planteado al acreditar el incumplimiento por parte del reclamado en relación a lo acordado por medio de Acuerdo de la SECRETARÍA GENERAL DEL CGPJ del día 8/11/2019, en relación con el ejercicio del derecho de supresión de datos del reclamante. En dicho acuerdo se establecía en su punto tercero la estimación del derecho de supresión en relación con la URL 1(***URL.1), así como de acuerdo con el artículo 17.2 del RGPD, la adopción de medidas razonables con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales o cualquier réplica de los mismos (URL 5, URL 6 y URL 7). Tras la presentación del recurso y realizadas las comprobaciones sobre la efectiva atención del derecho de supresión solicitado y acordado por el reclamado se comprueba que dichos datos personales no han sido suprimidos. “ CUARTO: Con fecha 8/03/2021 se consulta en GOOGLE con los datos del reclamante y se obtiene un documento (en expediten denominado 8 03.pdf) que es orden del día de la Comisión (...) del CGPJ, de ***FECHA.1, en docplayer.es en la que, con 18 páginas, figuran datos de carácter personal, también los del reclamante como asuntos dentro de dicho orden del día. Se trata del nombre y apellidos del reclamante que recurre en reposición contra un archivo de actuaciones previas en una reclamación referida a la normativa de protección de datos en Juzgados. QUINTO: Con fecha 19/04/2021 la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CONSEJO GENERAL DEL PODER JUDICIAL-CJPJ- con NIF S2804008G, por las presuntas infracciones de los artículos 32 y 5.1.
2. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD), conforme señalan los artículos 83.4.
3. a)y 83.5.
4. a)del RGPD. A los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de apercibimiento.” SEXTO: Con fecha 12/05/2021, el reclamado manifiesta: 1) Al recibirse la reclamación del reclamante en octubre 2019, se despublicaron de la web diversos: Acuerdos de la Comisión (...) del CGPJ, Órdenes del día del Pleno o de Comisión disciplinaria y varios CV, trasladando a GOOGLE las URL para que se quitaran de la caché de su motor de búsqueda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 2) Al recibir el acuerdo de inicio, han advertido un “error material en la despublicación”, y con fecha 29/04/2021, suprimieron de la web poderjudicial.es, el orden del día de la Comisión (...) de ***FECHA.1, con traslado a GOOGLE de la URL. “Se puede constatar que actualmente no se ofrecen resultados”. Asimismo, requirieron a docplayer.es, la eliminación de datos personales en uno de los documentos publicados en la web de poderjudicial.es y reproducido en docplayer.es. Entendiendo que el contenido se había descargado de la web "poderjudicial.es" y habiendo sido eliminado el documento de nuestros servidores, se les solicitó que también fuera borrado de su portal y se solicitó de Google su eliminación de índices y versiones almacenadas por ser los gestores del portal docplayer.es los competentes para realizarlo. La solicitud fue atendida por "docplayer.es" el día 30/04, y así se confirmó mediante email' (Se adjunta copia de email recibido desde “DocPlayer robot@docplayer.net”. SÉPTIMO: Con fecha 2/12/2021, se inicia un periodo de pruebas, dando por reproducidas la reclamación interpuesta, su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento E/09212/2020, y los documentos conectados con el mismo derivados del recurso de reposición, y las alegaciones y la documentación contra el acuerdo de inicio. Además, con objeto de verificar que los datos del reclamante no figuran en buscadores y en la web, con fecha 2/12/2021, se accede a GOOGLE y a la web del reclamado, y se adjuntan los resultados en archivo denominado “acceso 2 12 21 buscador” que refleja las búsquedas por el nombre del reclamante, con la URL y en las actas de la Comisión (...) del CGPJ que se pueden consultar en la web de poderjudicial.es, no apareciendo en ninguna. Hecha la verificación, se observa en “acceso 2 12 21 buscador”, que aparecen en la web del reclamado, “portal de transparencia del CGPJ” ”actividad del CGPJ” ”Acuerdos adoptados por el pleno y Comisiones” “Acuerdos de la Comisión (...)” (misma en la que figuraban los del reclamante) resoluciones con datos de carácter personal sobre reconocimiento de (...) del conocimiento de lenguas cooficiales, o de (...), y por considerar la cuestión conectada con la reclamación, se decidió solicitar información al reclamado sobre el motivo de dicha exposición en abierto, criterios utilizados y reglas de anonimización. Si bien la cuestión no fue atendida en el plazo otorgado (envío 2/12/2021), se recibe respuesta del reclamado “Fecha y hora de registro en 21/12/2021 13:30:55 (Horario peninsular) Fecha presentación: 21/12/2021 13:29:20 (Horario peninsular)”, cruzándose con la emisión de la propuesta enviada al reclamado ese mismo día, que consta :”Fecha de puesta a disposición: 21/12/2021 13:14:06 Fecha de aceptación : 21/12/2021 13:18:57”. En el escrito, el reclamado, aportó: -Convenio marco de colaboración suscrito con Transparencia Internacional España de 2/07/2014, en el que se contempla entre otras materias, por mor de las obligaciones generadas por la Ley 19/2013 de 9/12 de transparencia, de acceso a la información pública y buen Gobierno (LT), publicidad en forma clara y comprensible sobre “actividades del Consejo” ”órdenes del día y acuerdos del Pleno y por las diferentes Comisiones legales (se anonimizarán los datos de carácter personal)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 -Copia del documento denominado “ANONIMIZACIÓN DE ACUERDOS DE COMISIÓN (...)”, sobre los criterios empleados en la anonimización de órdenes del día y los acuerdos de la Comisión (...) con vistas a su publicación en el portal de transparencia de la web poderjudicial.es” (pág. 25 a 28/41) cuatro paginas. Existe un 5 Gabinete Técnico, para anonimizar las denuncias en materia de Protección de Datos. -Indica que sobre la publicación de (...), el Gabinete Técnico ha emitido informe sobre la publicación en la web de los datos curriculares de los candidatos a plazas de nombramiento discrecional en 15/11/2018. El informe que aporta, se refiere al la base jurídica para el tratamiento de datos personales consistente en grabación y difusión a través de la web de comparecencias en audiencia pública de candidatos a plazas de nombramiento discrecional en los cargos judiciales. Ello se relaciona con el reglamento 1/ 2010 de 25/02, de provisión de plazas de nombramiento discrecional en los órganos judiciales, en su artículo 16, BOE 5/03/2010, denominado “Acuerdo de 25/02/2010, del Pleno del CGPJ, por el que se aprueba el Reglamento 1/2010, que regula la provisión de plazas de nombramiento discrecional en los órganos judiciales”, que en su artículo 10.2 y 11 establece para la provisión de las Presidencias de Tribunales Superiores de Justicia y Presidencias de Audiencias Provinciales en aquellas Comunidades Autónomas que gocen de Derecho Civil Especial o Foral, así como de idioma oficial propio, se valorará como (...) la especialización en estos Derechos Civil Especial o Foral y el conocimiento del idioma propio de la Comunidad.” OCTAVO: Con fecha 21/12/2021, se emitió propuesta de resolución del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a CGPJ, con NIF S2804008G, por una infracción del artículo 32 del RGPD y otra del artículo 5.1.
6. f)del RGPD, tipificadas respectivamente en los artículos 83.4.
7. a)y 83.5.
8. a)del RGPD, y calificadas como grave y muy grave a efectos de prescripción en los artículos 73)
9. f)y 72.1.
10. a)de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), con apercibimiento. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer a CGPJ, en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, con el alcance expresado en los Fundamentos de Derechos de esta propuesta de resolución.” Con fecha 4/01/2022, el reclamado en alegaciones, manifiesta que el día 15/12/2021 envió la respuesta a las pruebas pedidas y no se han valorado en la propuesta enviada. Vuelve a enviar la misma documentación. Además, añade: 1) Como alegación por la infracción del artículo 32 del RGPD, en cuanto al cumplimiento de la publicidad activa, el CGPJ ha establecido un criterio amplio de relevancia de la información sobre el ejercicio de sus potestades a los efectos de garantizar la transparencia y el control de su actuación como órgano de gobierno del Poder Judicial. En particular, los actos adoptados por la Comisión (...) en relación con el personal judicial, no cabe calificarlos como meros actos de gestión interna, pues su posición no es equiparable al resto de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 funcionarios públicos, al ser titulares de un poder del Estado. Por ello, las vicisitudes de su estatuto jurídico respecto de las que debe pronunciarse el órgano de Gobierno del Poder Judicial tienen una trascendencia que rebasa el plano puramente interno organizativo y se proyecta ad extra, en la medida en que inciden sobre los titulares del poder jurisdiccional. Las decisiones de la Comisión (...) sobre ingresos en la carrera judicial, provisión de plazas, especialidades, situaciones administrativas, licencias, compatibilidades, escalafón reconocimientos de servicios y jubilaciones, comisiones de servicio, tienen trascendencia pública al proyectarse sobre el régimen de dedicación y continuidad de servicio de los miembros del Poder Judicial. Por ello, resulta justificada su publicación a los efectos de que los contenidos de los actos dictados en ejercicio de las funciones de gobierno constitucional y legalmente atribuidas al CGPJ sea objeto de escrutinio público y publicidad de los actos que inciden sobre el Estatuto profesional de jueces y magistrados. Ello contribuye asimismo a mantener un valor fundamental la legitimación de ejercicio del Poder Judicial como es la confianza de los ciudadanos en la administración de Justicia. La publicidad de determinados actos con incidencia en la relación del servicio de jueces y magistrados se limita sin embargo por razón del derecho de Protección de Datos, de acuerdo con los criterios del artículo 15 de la ley 19/2013 que se plasman en el acuerdo de anonimización de los acuerdos de la Comisión (...). 2) Distintas incidencias del Estatuto judicial están sometidas expresamente a un mandato normativo de publicidad en el reglamento 2/2011 de la carrera judicial. Expone una serie de situaciones administrativas que han de publicarse en el BOE, algunas contempladas en la LOPJ. También refiere que la relación estatutaria de jueces y magistrados identificada a partir de ciertos datos personales y profesionales es pública por mandato de la LOPJ artículo 300- que dispone la aprobación cada tres años del escalafón de la carrera judicial, publicado en el BOE, que comprenderán datos personales y profesionales que se establecerán reglamentariamente, siendo el desarrollo reglamentario de este precepto el efectuado por el artículo 351 del reglamento 2/ 2011 de la carrera judicial en cuyo tenor literal se contiene que de conformidad con el artículo 300 de la LOPJ en el escalafón se incluirán los años meses y días del servicio en la carrera judicial, y en la categoría que se ostente. La posición de los miembros de la carrera judicial en cuanto al grado de publicidad de las incidencias en su Estatuto profesional es distinta a la del resto de funcionarios públicos por lo que las exigencias del artículo 32 del RGPD proyectada sobre los miembros de la carrera judicial no atenta a la publicidad de los actos que inciden en el Estatuto judicial, que debe acomodarse a este Estatuto. 3) Frente al planteamiento contenido en la propuesta de que la publicidad de los actos de la Comisión (...) carecen de base jurídica, debe subrayarse que con carácter general, se considera que el tratamiento de datos personales de los miembros de la carrera judicial en conexión con los actos de la Comisión (...) que inciden en el régimen de dedicación y continuidad del servicio de los titulares de la potestad jurisdiccional, consistente en la publicidad activa de las órdenes del día y los acuerdos de esta comisión, tienen base jurídica suficiente en el artículo 6.
11. c)y 6.
12. b)del RGPD, en conexión con el artículo 5 de la ley 19/2013, interpretado a la luz de la relevancia de una de las funciones de Gobierno del Poder Judicial que ejerce el Consejo. 4) Sobre la propuesta de resolución que se centra en la publicidad de determinados actos típicos de gestión de expedientes de personal, reconocimiento de (...) y solicitudes de reconocimiento de (...), sin perjuicio de la exigencia general de transparencia de actos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Consejo que se proyecta sobre el régimen estatutario de los miembros de la carrera judicial por las razones expuestas, reitera que como (...) preferente en los concursos para órganos jurisdiccionales en determinadas Comunidades Autónomas, es fundamental y se valora el conocimiento oficial de otras lenguas circunstancia que se valoran en el artículo 341 de la LOPJ y que desarrolla en el reglamento 2/2011 de la carrera judicial en cuanto al reconocimiento de (...) a efectos de concursos de traslado, y que se prevé su publicación en el artículo 73.4 de dicho reglamento. En cuanto a los datos personales relacionados con los (...), acto reglado que se incluye como dato que forma parte del escalafón de la carrera judicial que se publica periódicamente en el BOE por mandato del artículo 300 de la LOPJ, en relación con el artículo 351 del reglamento de la carrera judicial, por lo que se considera que la constancia del reconocimiento de estos (...) no supone una infracción de la seguridad de datos. pues son públicos por imperativo de la ley. 5) En cuanto a la vulneración del artículo 32 del RGPD, por no suprimir correctamente los datos del reclamante, en un primer momento, se acordó la despublicación, pero incurrió en un error material, sin solicitar a Google la eliminación de los datos en docuplayer. Ante tal circunstancia la vulneración del artículo 32 no puede calificarse como sustancial a los efectos de considerar como se hace en la propuesta, considerándola una infracción grave tipificada en el 73.
13. f)de LOPDGDD en relación con el artículo 83.4.
14. a)del RGPD. Manifiesta que una vulneración sustancial no es lo mismo que una vulneración de carácter formal, pues las primeras son consideradas muy graves y graves, y las segundas se consideran leves. El concepto de vulneración sustancial, aparte de ser un concepto jurídico indeterminado, debe considerarse en contraposición a lo que sería una vulneración de carácter formal. Relacionándolo con lo contenido en el artículo 74 de la LOPDGDD, “cabe considerar que en este caso nos encontramos ante una vulneración de carácter formal y no sustancial en casos de cumplimiento tardío o defectuoso o incompleto de algunos de los principios esenciales contenidos en el RGPD, como en el presente caso. “estamos por tanto ante un cumplimiento defectuoso o incompleto del artículo 32 pero no ante una vulneración sustancial por lo que no procedería considerar la actuación de este órgano cómo grave del 73 f), sino como leve del 74 .” 6) En cuanto a la infracción del artículo 5.1.f ) del RGPD, se trata de un principio general que muchas de sus determinaciones se encuentran especificadas en otros preceptos del RGPD, así ocurre con este que se desarrolla en el artículo 32 del RGPD. Por ello, en este caso, debe regir el principio de especialidad, aplicándose únicamente la infracción más concreta, al encontrarnos ante un concurso normativo de infracciones, y no procede calificar un mismo hecho, la publicación de datos personales del interesado como infracción muy grave por vulnerar el principio de integridad de 5.1
15. f)y como infracción grave por contravenir exigencias de seguridad e integridad establecidas en el artículo 32 del RGPD. NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) El reclamante con fecha 27/09/2019, interpuso reclamación contra el CGPJ ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 Agencia Española de Protección de Datos, por exponer en la web www.poderjudicial.es documentos con datos personales sin anonimizar de manera abierta a cualquiera. La reclamación se trasladó al responsable el 7/10/2019, respondiendo el 11/11/2019 y aportando diversa documentación, archivándose la reclamación por considerar que había subsanado. 2) El reclamante recurre en reposición, el 2/03/2020 y aporta copia de la respuesta obtenida con ocasión del traslado de su reclamación de la AEPD, tratándose del Acuerdo del Gabinete Técnico de Proteccion de Datos “ejercicio derecho de supresión de datos”, expediente 11/2019, de fecha 8/11/2019. En el se relacionan URLs que contienen diversos documentos en los que figuran los datos del reclamante, e indica sobre la URL1 URL 1(***URL.1), que figura en la web del CGPJ, transparencia, Acuerdo de la Comisión (...), orden de ***FECHA.1, la URL 5 que responde a una búsqueda en Google con nombre y apellidos, que es la orden de la URL 1 y UR6 el mismo documento en docplayer.es. iban a ser suprimidos. En el RR se indicaba “En dicho acuerdo se establecía en su punto tercero la estimación del derecho de supresión en relación con la URL 1 (***URL.1), así como de acuerdo con el artículo 17.2 del RGPD, la adopción de medidas razonables con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales o cualquier réplica de los mismos (URL 5, URL 6 y URL 7). Tras la presentación del recurso y realizadas las comprobaciones sobre la efectiva atención del derecho de supresión solicitado y acordado por el reclamado se comprueba que dichos datos personales no han sido suprimidos”, estimando el recurso el 10/11/2020 3) Con fecha 8/03/2021 se consultan en GOOGLE los datos del reclamante, nombre y apellidos y se obtiene un documento que es orden del día de la Comisión (...) del CGPJ, de ***FECHA.1, en docplayer.es en la que, con 18 páginas, figuran datos de carácter personal, también los del reclamante como asuntos dentro de dicho orden del día. Se trata del nombre y apellidos del reclamante que recurre en reposición contra un archivo de actuaciones previas en una reclamación referida a la normativa de protección de datos en Juzgados. 4) Las resoluciones de la Comisión (...) del Poder Judicial se publican en abierto en el portal de transparencia del CGPJ, conteniendo datos de carácter personal en sus actas. El reclamado, tras el acuerdo de inicio desindexó los datos del reclamante de su web, trasladando a GOOGLE la URL, y al gestor de “docplayer.es” le pidió la exclusión, verificándose que introduciendo la URL o el nombre y apellidos, no aparecen como resultados los datos del reclamante referidos a la citada orden del día de la Comisión (...) de ***FECHA.1. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa al reclamado, la infracción del artículo 32 del RGPD; que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
16. a)la seudonimización y el cifrado de datos personales;
17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia (...) de los sistemas y servicios de tratamiento;
18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. […]” 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El Considerando 74 del RGPD indica: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” Se trata de un enfoque puro de determinación de medidas exclusivamente en función del riesgo, en el que no se predeterminan las medidas de seguridad concretas a aplicar. Por su parte, el Considerado