PS-00465-2024

1/18  Expediente Nº: EXP202318710 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DHL PARCEL IBERIA, S.L.U. (en adelante, DHL), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202318710 IMI Reference: A56ID 590500 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Autoridad de protección de datos de Alemania de la región de Baja Sajonia (en adelante, SA Baja Sajonia), ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a DHL PARCEL IBERIA, S.L. con NIF B20645701 (en adelante, DHL). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: En el proceso de un pedido a ***EMPRESA.1, la reclamante tuvo que facilitar su número de teléfono, ya que ese campo estaba marcado como obligatorio. Ese número de teléfono se incluyó en la etiqueta de envío del paquete, por lo que cualquiera con acceso al mismo podría tener conocimiento de su número de teléfono móvil privado. Inicialmente se cuenta con la siguiente documentación: - Imagen de la etiqueta de envío del producto donde se visualizan los siguientes datos de la reclamante: nombre, dirección postal y número de teléfono. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 22 de diciembre de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que DHL tiene su establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Alemania de la región de Baja Sajonia, las autoridades de Países Bajos, Suecia, Estonia, Austria, Italia, Noruega, Francia, Croacia, Hungría, Bélgica, Irlanda, Dinamarca, Polonia, Eslovaquia, Finlandia, la Comisión Federal de Protección de Datos y Libertad de Información (BfDI), y las autoridades alemanas de protección de datos de Renania-Palatinado, Hesse, Baden-Wurtemberg, Berlín, MecklemburgoPomerania Occidental y Baviera. Todas ellas en virtud del artículo 4.22 del RGPD, dado que es probable que los interesados que residen en el territorio de estas autoridades de control se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 19 de febrero de 2024, de conformidad con el artículo 64.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VIII, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. El 19 de marzo de 2024, se recibe respuesta de ***GRUPO EMPRESARIAL.1 al requerimiento de esta agencia, en la que manifiesta la siguiente información relevante para la investigación: “***GRUPO EMPRESARIAL.1 no dispone de un encargado del tratamiento para el servicio de mensajería objeto de la presente reclamación. La relación entre ***GRUPO EMPRESARIAL.1 y la empresa de mensajería se basa en una comunicación de datos entre ambos responsables del tratamiento, ya que ninguna de las dos partes, ni ***GRUPO EMPRESARIAL.1 ni la empresa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 mensajería, determina las finalidades y los medios del tratamiento de la otra parte. […] 4. Informe de la operativa de etiquetado o entrega de sus productos. A continuación, procedemos a explicar la operativa desde el momento que un cliente realiza un pedido a través de la web hasta su recepción por parte de la empresa de mensajería:

1. i)El cliente realiza un PEDIDO a través de la web, dónde introduce sus datos personales para que éste pueda ser gestionado. En este momento, al cliente se le solicitan los siguientes datos personales:
2. i)
3. a)Nombre y apellidos
4. b)Teléfono
5. c)Dirección de entrega
6. d)Correo electrónico
7. e)Sexo Acto seguido se genera en el programa de gestión comercial (ERP) el pedido, se le otorga un número identificativo y se comunica al Sistema de Gestión de Almacén (SGA).
8. ii)A través del SGA se inicia el proceso de preparación (proceso de recogida de artículos y posterior proceso de encajado). iii) Es en este proceso de encajado dónde se genera la etiqueta con la información y formato que la empresa de mensajería nos requiere para el envío de la mercancía y la entrega al comprador.
9. iv)Tras el encajado y etiquetado, se genera desde el SGA la expedición al centro logístico de la empresa de mensajería para que ésta pueda ser entregada al comprador.
10. v)Es en el momento de creación de la expedición cuando se produce la comunicación a la empresa de mensajería de los datos contenidos en la etiqueta del pedido (datos personales del comprador, así como otros datos 3 que requiere la empresa de mensajería para el seguimiento, entrega, y gestión del envío a la dirección indicada por el comprador).
11. vi)La mercancía sale de nuestro centro logístico hacia el centro logístico o de reparto de la empresa de mensajería. Adjuntamos como ANEXO I el Flujo de la operativa de etiquetado y entrega de los productos”. En el “FLUJO OPERATIVA DE ETIQUETADO Y ENTREGA DE LOS PRODUCTOS” aportado como anexo I por la reclamada, aparece un “Encargado tratamiento para la gestión de las etiquetas de los pedidos” situado en el ámbito de la reclamada, lo que concuerda con lo expresado en el texto de la respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 2. El 4 de julio de 2024 se recibe respuesta de ***GRUPO EMPRESARIAL.1 a un segundo requerimiento de esta Agencia en la que manifiesta que: […] “El formato, así como el contenido de las etiquetas que se incluyen en los paquetes lo define la empresa responsable del servicio de paquetería (DHL PARCEL IBERIA SLU). ***GRUPO EMPRESARIAL.1 no se integra ni comparte directamente los datos personales de sus clientes con la empresa de mensajería, lo hace a través de un encargado de tratamiento denominado ***COMPAÑÍA.1, el cual ofrece el servicio de integración de etiquetado con las empresas de mensajería, de conformidad con las indicaciones y requisitos establecidos por estas últimas. Así, ***COMPAÑÍA.1 recibe de ***GRUPO EMPRESARIAL.1 los datos requeridos por la empresa de paquetería para poder construir la etiqueta con el formato y con la codificación definida por la empresa de mensajería. Posteriormente, ***GRUPO EMPRESARIAL.1 imprimirá y pegará en el paquete que se enviará a la empresa de mensajería para su posterior envío al cliente desde un centro primario de distribución de la empresa de mensajería. A este efecto, se adjunta como Documento Anexo número 1, el contrato de encargado del tratamiento. […] ***GRUPO EMPRESARIAL.1 no define ni el contenido ni el formato de la etiqueta del envío del paquete. El contenido de la etiqueta lo determina la empresa de mensajería de acuerdo con su propia normativa interna de gestión de envíos. […] La empresa que se encargó de la gestión y envío del paquete de la reclamante fue la empresa de mensajería DHL PARCEL IBERIA SLU”. 3. En la “Diligencia Compra y política privacidad” de 19 de agosto de 2024 se recoge la información que recibe el cliente en cuanto al responsable de tratamiento y la información de con quien se comparten los datos personales, en la web de ***EMPRESA.1: [Pág. 6/13 Política de Privacidad y Cookies Última versión: 10/06/2024] “En el caso que realices una compraventa a través de nuestras plataformas, tus datos podrán ser comunicados, en su caso, a entidades financieras y proveedores de servicios de pago, entidades de detección y prevención del fraude como, por ejemplo, ***COMPAÑÍA.2, proveedores de logística, transporte y entrega de mercancías. Estas comunicaciones son estrictamente necesarias para garantizar la entrega de tu pedido. Por otro lado, informarte que ***EMPRESA.1 podrá contratar a terceros que tendrán acceso a tus datos derivado de la prestación de servicios, habiendo regulado nuestra relación. Estos terceros podrán prestarnos servicios tecnológicos, servicios de atención al clientes o marketing y publicidad, entre otros, y en cualquier caso tratarán tus datos siguiendo las instrucciones de ***EMPRESA.1 y nunca con finalidades propias.” 4. En la respuesta del 3 de septiembre de 2024, ***GRUPO EMPRESARIAL.1 responde el requerimiento de esta Agencia manifestando: “El acuerdo entre ***GRUPO EMPRESARIAL.1 y DHL PARCEL IBERIA SLU se basa en la cesión de datos personales entre las partes actuando ambas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 como responsables independientes, por lo tanto, no se ha formalizado ningún contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros que regule la corresponsabilidad tal y como se recoge en el art. 26 del RGPD. Al no existir corresponsabilidad, ambas partes definen sus propias finalidades y los medios del tratamiento de datos personales de los que son responsables independientes.” Sobre las instrucciones facilitadas a ***COMPAÑÍA.1 como encargado de tratamiento: “***GRUPO EMPRESARIAL.1 facilita las siguientes instrucciones a ***COMPAÑÍA.1 teniendo en cuenta que una parte de la etiqueta contiene datos que ***EMPRESA.1 necesita para identificar el paquete y realizar la gestión operativa en el almacén (nº de bulto, nº de pedido etc), y otra parte contiene datos que el transportista ha indicado que necesita para poder realizar el servicio que le contratamos de entrega de los productos que el cliente adquiere en nuestra Web/App. […] Información que DHL necesita que aparezca en la etiqueta que genera ***COMPAÑÍA.1: se le pasa a ***COMPAÑÍA.1 las especificaciones técnicas que DHL nos comparte y que nos solicita en calidad de Responsable de Tratamiento independiente como necesarias para poder realizar el servicio contratado. DHL valida, antes de lanzar a producción la etiqueta, que los campos que aparecen son los que ha exigido como Responsable.” En la captura de pantalla que envía a continuación, la etiqueta incluye el teléfono del receptor al lado de su dirección. [Pág. 11] “Como ejemplo de la aplicación del artículo 25 del RGPD, específicamente en relación con el principio de minimización de datos, estrechamente relacionado con la reclamación ante la Autoridad de Baja Sajonia comunicada a la AEPD. En 2019, tras recibir una queja de una clienta alemana porque su número de teléfono aparecía en la etiqueta de su pedido, la oficina de privacidad de ***EMPRESA.1 analizó si los datos incluidos en la etiqueta eran adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Como resultado del análisis, la oficina de privacidad de ***EMPRESA.1 concluyó que el teléfono que aparecía en el área de la etiqueta que DHL define como Responsable de Tratamiento, no era indispensable para los fines de tratamiento. Se solicitó a DHL valorar la necesidad de mantener el teléfono impreso en la etiqueta, ya que, aunque agilizaba que un repartidor pudiera contactar a una clienta ausente en su domicilio en el momento de la entrega, o la entrega si el campo de dirección no era completo (falta el número del piso o la puerta, por ejemplo) no era adecuado exponer ese dato en la etiqueta. ***EMPRESA.1 tiene autonomía para modificar cualquier campo de la etiqueta del que somos responsables de tratamiento, pero no para modificar un campo del área de la etiqueta de DHL al que tenemos que solicitar autorización. Como se muestra en la captura, en octubre de 2019 DHL nos informó que aprobaba la modificación de sus especificaciones técnicas de la etiqueta. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Posteriormente, en marzo de 2023, ***EMPRESA.1 pone en marcha un nuevo almacén externo en Polonia. Para la puesta en producción de dicho almacén se configuró de nuevo una etiqueta integrada con ***COMPAÑÍA.1 para poder operar con la empresa de paquetería DHL. En este nuevo centro DHL validó una etiqueta con el campo número de teléfono impreso como sucedía antes del 2019. Tal y como ocurriera en 2019, ese campo fue retirado inmediatamente de la etiqueta al recibir el primer requerimiento de información por parte de la AEPD, el pasado 8 de Marzo de 2024, previa confirmación, por parte de DHL, de que se podía suprimir esa información de la parte de la etiqueta de la cual DHL es responsable. Se adjunta en anexo 2 las especificaciones técnicas de DHL (Anexo 2 Common Label Specification 3-10 EN)”. 5. En la respuesta a esta AEPD, de 5 de septiembre de 2024, DHL alega lo siguiente: “DHL es responsable de los datos personales para la actividad de transporte. Los datos de carácter personal de los envíos, consistentes en nombre, dirección postal, dirección de correo electrónico y número de teléfono, son tratados sobre la base de un acuerdo de transporte entre DHL y su cliente, y dichos datos se precisan para el cumplimiento de las obligaciones contractuales. […] Los procedimientos de DHL señalan que no se debe imprimir el número de teléfono en la etiqueta para el transporte B2C (business to consumer). Se dispone del número de teléfono del destinatario en los sistemas de DHL para poder contactar con los destinatarios para organizar la entrega del envío, cuando corresponda, pero no se imprime en la etiqueta de DHL”. DHL adjunta el siguiente documento a su respuesta: “Documento_1_IECOMRequerimientos_de_etiquetas_v1.pdf” sin fecha, sobre las especificaciones de las etiquetas “B2C/CONNECT”, para los particulares y “B2B” para las empresas, en el que se recoge que en el primer caso no se imprimen los teléfonos ni del destinatario, ni del remitente. 6. En la “Diligencia Datos compra” de 18 de octubre de 2024, se evidencian los datos obligatorios que se recogen al iniciar una compra en la web ***WEB.EMPRESA.1.: Nombre de pila, Apellido, Calle, Número de casa, Código Postal, Ubicación, Estado federado y número de teléfono. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 15 de noviembre de 2024, la entidad DHL es una empresa constituida en el año 1998, y con un volumen de negocios de 365.764.650 euros en el año 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 SEXTO: Con fecha 22 de julio de 2025, la Presidencia de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
12. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que DHL realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, dirección postal, dirección de correo electrónico y número de teléfono. DHL realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que DHL está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, DHL tiene su establecimiento único o principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
13. a)la seudonimización y el cifrado de datos personales;
14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
15. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
16. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo los pueda tratar siguiendo instrucciones del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por otra parte, el Considerando