PS-00670-2022

1/23  Expediente N.º: EXP202210818 (PS/00670/2022) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. ª A.A.A. (en adelante, la parte reclamante), en fecha 12 de septiembre de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GEOPOST ESPAÑA, S.L. (sociedad absorbente de la extinguida SEUR, S.A.), con NIF B85645349, (en adelante, GEOPOST). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que GEOPOST tenía encargada la recogida de un producto de Amazon, en la dirección ***DIRECCIÓN.1, en fecha 29/08/2022. No obstante, Amazon indicó erróneamente la dirección toda vez que en ese momento la parte reclamante se encontraba en ***LOCALIDAD.1. En fecha 29 de agosto de 2022, la parte reclamante solicitó a Amazon que modificara la dirección. En fecha 6 de septiembre de 2022, tuvo conocimiento a través de unos familiares que pasaron por la vivienda, de que un repartidor de la empresa reclamada había dejado un aviso en el exterior del buzón de su vivienda en ***LOCALIDAD.2, a la vista de cualquier vecino o visitante del inmueble, en el que aparecían datos personales suyos, en concreto, su nombre y apellidos, dirección postal, así como su número de teléfono. Esta etiqueta estuvo expuesta en un lugar de paso hasta el día 6 de septiembre de 2022, fecha en la que se retiró. Junto a la reclamación aporta copia del mensaje recibido en su correo electrónico sobre la fecha de recogida del paquete, remitido por la parte reclamada, correo electrónico remitido por Amazon a la parte reclamante en la que se pone de manifiesto la corrección de la dirección de recogida del paquete, así como diversas imágenes de la etiqueta expuesta en el exterior del buzón de su dirección en ***LOCALIDAD.2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 17 de octubre de 2022, como consta en el certificado que obra en el expediente. En fecha 14 de noviembre de 2022, se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que pone de manifiesto lo siguiente: - Que el pasado día 30 de agosto de 2022 un repartidor de GEOPOST acudió al domicilio de la reclamante para efectuar una recogida. - Que la reclamante se encontraba ausente en el momento de la recogida. - Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior del buzón de la reclamante De esta forma, tras analizar los hechos, GEOPOST considera que la incidencia se ha producido como consecuencia de un error humano del repartidor, debiendo haber dejado la nota de aviso dentro del buzón o por debajo de la puerta como indica el manual de GEOPOST y no pegada en el exterior del buzón. En este sentido, GEOPOST pone en conocimiento de la AEPD que, en cumplimiento de las obligaciones de la normativa aplicable de su actividad de transporte, tiene implantados los correspondientes procedimientos y manuales corporativos, donde se determinan las pautas a seguir para la correcta entrega o recogida de la mercancía. En concreto, se indica que GEOPOST dispone de un manual con la operativa que deben seguir los repartidores denominado “Manual Operativa Repartidor/a”, documento que se hace entrega a los mismos en el momento de la contratación o comienzo de la prestación del servicio con GEOPOST. En el apartado “Operativa en Ruta” de dicho manual se especifica concretamente la obligación de que la entrega de la mercancía debe hacerse siempre al destinatario y que, en caso de ausencia del destinatario, se dejará una nota de aviso ausente en el domicilio debajo de la puerta, en la cuña de la puerta o en el buzón. Se incluye como Anexo I capturas del manual donde se especifican las obligaciones de los repartidores para la correcta entrega o recogida de mercancía. Además, expone que GEOPOST imparte a los repartidores formaciones periódicas sobre las obligaciones dispuestas en los diferentes procedimientos y manuales corporativos, incidiendo en la importancia de que hagan un buen uso y traten de forma diligente los datos personales que gestionan diariamente de los remitentes, destinatarios y/o autorizados. En concreto, una de las últimas acciones de formación realizadas consistió en difundir un video denominado “Buenas prácticas en Privacidad”. Por todo ello, confirma que la incidencia se ha producido por una mala praxis puntual del repartidor al no seguir los protocolos internos de la compañía. No obstante, y a consecuencia de la incidencia producida, desde GEOPOST se ha reiterado el compromiso de que todos los repartidores cumplan con lo establecido en los diferentes procedimientos, políticas y manuales puestos a su disposición con el objeto de realizar de forma correcta las entregas y devoluciones, así como, una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 actuación diligente sobre los datos personales que tratan en el cumplimiento de sus funciones laborales o prestación de servicio. Por último, indica que GEOPOST gestiona diariamente un amplio volumen de entregas y recogidas, siguiendo adecuadamente por parte de los repartidores los protocolos internos de la compañía sin que se manifiesten incidencias similares al objeto de esta reclamación. Sólo en el año 2021, el volumen gestionado fue de más de 50 millones de entregas y recogidas y considera que la mala praxis del repartidor es un dato que no se asemeja a la operativa habitual. TERCERO: En fecha 2 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la extinta SEUR, S.A. (absorbida por GEOPOST ESPAÑA, S.L.) es una empresa mediana constituida en el año 1984, y con un volumen de negocios de (…) €, en el año 2021. QUINTO: Con fecha 22 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5 del RGPD, así como por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio el 23 de mayo de 2023 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), GEOPOST presentó escrito de alegaciones en el que, en síntesis, manifestaba que la incidencia se ha producido por una mala praxis del repartidor al incumplir con las instrucciones y los protocolos internos de la compañía; no existía la posibilidad de cometer una vulneración del artículo 5.1
2. f)sin la comisión, a su vez, de una infracción del artículo 32 del RGPD , debiendo imponerse únicamente la sanción correspondiente a la infracción más grave cometida (art. 29.4 de la LRJSP); entiende acreditado que se han adoptado medidas adecuadas (protocolos, plan de formación periódica…) en función del riesgo y, por último, respecto a los agravantes, no se ha tenido en cuenta el volumen de pedidos que gestiona GEOPOST y la excepcionalidad de este tipo de casos, no habiéndose tenido en cuenta otras circunstancias en calidad de atenuantes para reducir las sanciones. SÉPTIMO: Con fecha 31 de enero de 2024, el órgano instructor del procedimiento formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a GEOPOST, con NIF B85645349, por una infracción del Artículo 5.1.
3. f)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 40.000 € (cuarenta mil euros), y por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 15.000 € (quince mil euros). Esta propuesta de resolución, que se notificó a GEOPOST conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 1 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 OCTAVO: Con fecha 14 de febrero de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de GEOPOST en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba la infracción del derecho a la defensa por ausencia de acreditación de los hechos que se le imputan. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 29 de agosto de 2022, a las 10:38 horas, AMAZON envió a la parte reclamante un correo electrónico desde la dirección (...)@amazon.es con el siguiente contenido: “Hola, A.A.A. ¡Espero estés pasando un excelente día y tengas una gran semana! Hablas con B.B.B., agente de servicio de atención al cliente de Amazon.es, quien tuvo el placer de ayudarte el día de hoy. Agradezco el tiempo que tan amablemente te has tomado para poder contactarnos y así poder hacer todo lo necesario para mejorar el servicio que te proporcionamos. Inicialmente te ofrezco una disculpa por las dificultades presentadas con tu pedido, se que mereces un servicio de calidad y quiero que sepas que no tienes nada de que preocuparte ya que tienes nuestro respaldo en todas tus compras y la solución que buscaremos siempre será la que más te beneficie. Como lo acordamos hoy SEUR recogerá el paquete en un plazo de 72 horas hábiles. No es necesario que imprimas ninguna etiqueta de devolución. SEUR se encargará de aportas la etiqueta y la pegará en el paquete cuando llegue a recoger el producto. Dirección: A.A.A. ***DIRECCIÓN.2 Teléfono principal ***TELÉFONO.1 Espero haber solucionado tu requerimiento, fue un gusto asistirte el día de hoy, he hecho todo lo que estuvo a mi alcance para proporcionarte la mejor respuesta, de modo que puedas tener la mejor experiencia de servicio al Cliente en Amazon.es. […]” SEGUNDO: Con fecha de 29 de agosto de 2022, a las 13:14 horas, GEOPOST envió a la parte reclamante un correo electrónico desde la dirección infoenvios@mail.seur.info con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 “Hola A.A.A. La recogida de tu envío está estimada hoy entre las 13:45 y las 14:45 horas. Datos de la recogida Nº de envío: (...) Dirección: ***DIRECCIÓN.1 TERCERO: En las fotografías obrantes en el expediente (páginas 7 a 8), aportadas por la parte reclamante junto a la reclamación, puede observarse el exterior de un buzón dentro de un portal de un edificio. En el buzón consta adherida una nota de “SEUR”, en el que aparecen datos personales de la parte reclamante, en concreto, su nombre y apellidos, dirección postal, así como su número de teléfono, y como destinatario “AMAZON – devoluciones”. Ante el traslado de la reclamación de 17 de octubre de 2022 formulado por esta Agencia, GEOPOST remitió respuesta el 14 de noviembre de 2022, en la cual se dice que: “…tras la recepción del presente requerimiento de información, SEUR, S.A. ha procedido a investigar los hechos ocurridos y ha comprobado lo siguiente: - Que el pasado día 30 de agosto de 2022 un repartidor de SEUR, S.A. acudió al domicilio de la reclamante para efectuar una recogida. - Que la reclamante se encontraba ausente en el momento de la recogida. - Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior del buzón de la reclamante.” (el subrayado es nuestro) Por lo tanto, por parte de GEOPOST se reconoce la veracidad del contenido de la fotografía aportada por la parte reclamante. En consecuencia, se considera acreditado que la etiqueta fue adherida al buzón por el repartidor de GEOPOST. CUARTO: Con fecha 3 de agosto de 2023 se publicó en el BORME se publicó anuncio de fusión por absorción de GEOPOST ESPAÑA, S.L. (sociedad absorbente) y SEUR, S.A. (sociedad absorbida). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas GEOPOST ESPAÑA, S.L. ha realizado una operación societaria de fusión por absorción de SEUR, S.A., según el acuerdo a que se refiere el Hecho Probado Cuarto, adquiriendo por sucesión universal todos los derechos y obligaciones de SEUR, S.A., la cual se declara extinguida. De este modo el presente procedimiento, iniciado contra SEUR, S.A. continúa su tramitación teniendo como reclamado a GEOPOST ESPAÑA, S.L. GEOPOST es una compañía referente en transporte urgente y logística integral en España que para el desarrollo de su actividad trata datos de carácter personal, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” Los hechos denunciados se materializan en el acceso por terceros no interesados a datos personales de la parte reclamante por una mala praxis de un repartidor al no seguir los protocolos internos de la compañía. En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, toda vez que la parte reclamada ha expuesto información y datos de carácter personal sin base jurídica legitimadora, al dejar un repartidor una nota de aviso ausente pegada en el exterior del buzón de la reclamante (en cuyo rótulo solo se indicaba el número y letra del piso), en la que aparecían sus datos personales: nombre, apellidos, dirección postal, así como su número de teléfono. Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
4. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamentan la seguridad del tratamiento. III Contestación a las alegaciones formuladas por GEOPOST al acuerdo de inicio y a las alegaciones aducidas a la propuesta de resolución A) Con relación a las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por la GEOPOST en su escrito: “PRIMERA.- Sobre la cuestión objeto del procedimiento sancionador, la recepción del requerimiento de información de la AEPD por parte de GEOPOST y la respuesta efectuada por GEOPOST.” En primer lugar, alega la parte reclamada que la incidencia se produjo por una mala praxis del repartidor al incumplir con las instrucciones y los protocolos internos de la compañía, utilizando incluso un documento específico (etiqueta identificativa del envío) para una finalidad incompatible para la que había sido diseñada por GEOPOST. En contestación a esta alegación, procede señalar que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. La actuación negligente del empleado no exime de responsabilidad a GEOPOST, responsable de los tratamientos de datos ahora analizados, toda vez que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 conforme define el art 4.7 del RGPD, es la entidad que determina la finalidad y medios de los tratamientos realizados. La responsabilidad de la empresa en el ámbito sancionador por la actuación negligente de un empleado que suponga el incumplimiento de la normativa de protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A este respecto, cabe traer a colación la Sentencia del Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020), cuyo Fundamento de Derecho Cuarto dispone: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros.” Continua la sentencia argumentando acerca de la de la responsabilidad de las personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se plasma en estos casos de manera distinta a como sucede respecto de las personas físicas, de manera que, como señala la doctrina constitucional que antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma". (el subrayado es nuestro) Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- Sobre el Acuerdo de Inicio de Procedimiento Sancionador y las infracciones propuestas por la AEPD” Sobre el Acuerdo de Inicio de Procedimiento Sancionador y las infracciones fijadas por esta Agencia, GEOPOST considera que en este caso, ante una única conducta (el repartidor pegó erróneamente la etiqueta del bulto en la parte exterior del buzón), no existiría posibilidad de cometer una vulneración del artículo 5.1
5. f)sin la comisión, a su vez, de una infracción del artículo 32 del RGPD, ya que el artículo 32 del RGPD es una especificación más concreta y detallada del principio general establecido en el artículo 5.1
6. f)del RGPD, por lo que solicita que, en el caso de que se llegase a apreciar una infracción por parte de GEOPOST, se aplique el artículo 29.5 de la LRJSP que señala que: “Cuando de la comisión de una infracción derive C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. Pues bien, la garantía de confidencialidad y la seguridad del tratamiento tienen su reflejo fundamentalmente en dos preceptos independientes del RGDP: en el artículo 5.1.
7. f)y en el artículo 32 del RGPD, respectivamente. El artículo 5.1.
8. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas. Por otra parte, el artículo 32 del RGPD establece cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Del examen de los hechos probados y de la documentación obrante en el expediente, puede diferenciarse claramente dos infracciones basadas en hechos y fundamentos distintos. A continuación, se especifica qué conducta constituye una infracción del artículo 5.1.
9. f)del RGPD y cual supone una infracción del artículo 32 del RGPD: A) Infracción del artículo 5.1.
10. f)del RGPD. Como podemos ver, el artículo 5.1.
11. f)del RGPD exige taxativamente que se garantice la confidencialidad y la integridad, y requiere para su imputación una pérdida de confidencialidad y/o de integridad. Podemos encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello haya una pérdida de integridad y confidencialidad. El legislador europeo ha impuesto una obligación de resultado en garantía del cumplimiento de este principio. Además, el artículo 5.1.
12. f)del RGPD hace mención a la aplicación de medidas técnicas u organizativas apropiadas sin restringirlo a las medidas técnicas u organizativas de seguridad. Las medidas referenciadas en el art. 5.1.
13. f)del RGPD pueden ser de todo tipo, englobando todas las que sirva a garantizar la confidencialidad y la integridad. En el presente caso, no se ha garantizado la confidencialidad de los datos personales de la parte reclamante, lo que supone una infracción del artículo 5.1.
14. f)del RGPD, toda vez que el repartidor dejó a la vista de cualquier vecino o visitante del inmueble, datos personales de la parte reclamante, en concreto, su nombre y apellidos, dirección postal, así como su número de teléfono, los cuales fueron vistos, al menos, por las personas que comunicaron a la parte reclamante que la etiqueta estaba pegada en su buzón cuando ésta se encontraba ausente de su domicilio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 B) Infracción del artículo 32 del RPGD. Los hechos probados en el procedimiento evidencian que la parte reclamada expuso información y datos de carácter personal, al dejar un repartidor una nota de aviso ausente pegada en el exterior del buzón de la reclamante (en cuyo rótulo solo se indicaba el número y letra del piso), en la que aparecían sus datos personales: nombre, apellidos, dirección postal, así como su número de teléfono. Se pone de manifiesto el quebrantamiento de las medidas técnicas y organizativas, ya que GEOPOST es responsable de tomar decisiones destinadas a implementar de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos, restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente físico o técnico, tal y como exige el artículo 32 del RGPD. De todo ello se deduce una falta de la debida diligencia tanto en el cumplimiento de las medidas de seguridad establecidas, así como en la supervisión o comprobación de su observancia y/o de la idoneidad de estas. A este respecto, se señala que el artículo 32 del RGPD se infringe tanto si no se adoptan por el responsable las medidas de índole técnica y organizativas apropiadas que garanticen la seguridad de los datos personales, como si, establecidas éstas, las mismas no se observan. Dicho lo anterior, el artículo 32.1 recoge una obligación de medios y no una obligación de resultado. En efecto, indica que “el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, es decir, impone la obligación de establecer un nivel de seguridad, y ese nivel debe estar en función del análisis de riesgos que todo responsable debe efectuar conforme al apartado 2 de dicho artículo: “2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” La evolución tecnológica y sofisticación de los sistemas de acceso no autorizado a sistemas de datos hace que la normativa no pueda imponer de manera incondicionada un aseguramiento total de la ausencia de brechas de integridad o confidencialidad. Pero sí obliga a que los responsables de los tratamientos deban realizar un análisis de riesgos y a la implantación de un “nivel de seguridad adecuado” a los mismos. Se caracteriza por lo tanto este deber como una obligación de medios. Así lo ha declarado el Tribunal Supremo en su reciente sentencia de 15 de febrero de 2022: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada, en la obligación de medios basta con realizar un análisis de riesgos, establecer medidas técnicamente adecuadas, implantarlas de forma correcta y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado. Como establece el art. 31 del Reglamento de la Unión Europea 2016/679, del Parlamento y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, al establecer respecto a la seguridad del tratamiento que las medidas técnicas y organizativas apropiadas lo son «Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas […]». Ya hemos razonado que la obligación que recae sobre el responsable del tratamiento respecto a la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado. Fijado lo anterior, la obligación de medios impuesta por el artículo 32 del RGPD consiste en adoptar las medidas de seguridad en el tratamiento, tendentes a evitar la producción de una brecha de datos personal en el mismo. Estas obligaciones deben ser establecidas en función de los riesgos que hayan sido analizados, y teniendo en cuenta el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados. Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- Sobre la presunta infracción del artículo 5.1
15. f)del RGPD y/o del artículo 32 del RGPD indicada por la AEPD” En esta alegación GEOPOST sostiene ha adoptado medidas adecuadas (protocolos, plan de formación periódica…) en función del riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 En respuesta a este argumento, el compromiso de GEOPOST con el cumplimiento de la normativa vigente en materia de protección de datos garantizando la seguridad y confidencialidad del tratamiento de los datos personales a través de la aplicación de medidas de seguridad técnicas y organizativas, si bien refleja una conducta positiva, no desvirtúa los hechos constatados. Por todo lo expuesto, se desestima la presente alegación. “CUARTA.- Sobre la tipificación de la infracción y la posible sanción a imponer por parte de la AEPD.” Considera GEOPOST que la cuantía de la sanción es excesiva, por un lado, respecto a los agravantes, no se ha tenido en cuenta el volumen de pedidos que gestiona GEOPOST y que se trata de suceso excepcional, y, por otro lado, no se han valorado una serie de atenuantes, tales como ausencia de intencionalidad, diligencia debida o la rápida actuación de GEOPOST. En contraposición a lo expresado por GEOPOST, cabe resaltar acerca de la tipificación de las infracciones y las sanciones fijadas en el acuerdo de inicio, que el artículo 83.5 del RGPD establece que la infracción del artículo 5 del RGPD puede ser sancionada “con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”, por lo que ya se aplica una importante minoración de esta. La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes, que se detallan más adelante, teniendo cuenta, además, el límite máximo de la cuantía de las sanciones que establece el art 83.4 RGPD. En cuanto a que no se ha considerado ninguna circunstancia atenuante toda vez que existen una serie de comportamientos por parte de GEOPOST que, en virtud de los criterios de interpretación de los artículos 83.2 RGPD y 76.2 LOPD, deberían haber sido tenidos en cuenta en calidad de atenuantes para graduar, así, de manera apropiada, la sanción propuesta por la AEPD, conviene reseñar que el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Todas estas estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. La parte reclamada es una entidad que gestiona un gran volumen de entregas y recogidas de paquetes de clientes cuyos datos personales son tratados de forma sistemática en el ejercicio de sus atribuciones. Esta circunstancia determina un mayor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de los datos personales. En consecuencia, las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. Por todo lo expuesto, se desestima la presente alegación. B) Con relación a las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta: “Primera y única.- Infracción del derecho a la defensa por ausencia de acreditación de los hechos que se imputan.” Según GEOPOST, no se puede asegurar, sin que exista duda razonable, que fuese el repartidor de esta empresa quien dejara una nota adherida sobre el buzón de la parte reclamante con los datos personales de ésta, que podría haber sido adherida al buzón por un tercero. Añade, que la reclamación se inició por un testigo indirecto, sin que la parte reclamante afirmase en su reclamación ante la AEPD que fuera el repartidor de la Empresa quien adhirió el documento a su buzón. En definitiva, en la medida en que no consta probada la autoría del hecho del que trae origen el presente procedimiento, resulta evidente la vulneración del derecho de defensa, al no haberse realizado prueba para acreditar estos hechos. En respuesta al argumento sostenido por GEOPOST, en el que se cuestiona quién dejó pegada la nota al buzón de la parte reclamante, consta en el Hecho Probado Tercero de la presente resolución que, ante el traslado de la reclamación de 17 de octubre de 2022 formulado por esta Agencia, GEOPOST remitió respuesta el 14 de noviembre de 2022, en la cual se dice que: “…tras la recepción del presente requerimiento de información, SEUR, S.A. ha procedido a investigar los hechos ocurridos y ha comprobado lo siguiente: - Que el pasado día 30 de agosto de 2022 un repartidor de SEUR, S.A. acudió al domicilio de la reclamante para efectuar una recogida. - Que la reclamante se encontraba ausente en el momento de la recogida. - Que, en consecuencia, el repartidor dejó nota de aviso ausente pegada en el exterior del buzón de la reclamante.” (el subrayado es nuestro) Como puede verse, en la propia contestación remitida por GEOPOST ante el traslado de la reclamación se atribuía, según sus propias averiguaciones, al repartidor de esta empresa el haber dejado la nota de aviso (así se nombra literalmente en su escrito) adherida en el exterior del buzón de la parte reclamante. Además, estos hechos fueron ratificados en las alegaciones al acuerdo de inicio presentadas por GEOPOST: “Tal y como se informó en el escrito de respuesta, el repartidor de SEUR acudió al domicilio de la reclamante para efectuar una recogida, pero la reclamante se encontraba ausente en el momento de la recogida por lo que, en consecuencia, el repartidor pegó en el exterior del buzón de la reclamante la etiqueta del bulto, tal y como se puede observar en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 imágenes incluidas en la reclamación, saltándose las instrucciones y protocolos internos de SEUR” (el subrayado es nuestro). Por otra parte, GEOPOST debe preservar la confidencialidad de los datos de sus clientes, por lo que, ante la circunstancia de que la nota, tal y como plantea GEOPOST, pudiera haber sido adherida por un tercero en el buzón de la parte reclamante, también supone la existencia de responsabilidad atribuible a GEOPOST, ya que el hecho de que un tercero no autorizado accediese a los datos personales de la parte reclamante al hallarse en posesión de la nota adhesiva o pegatina, supone en sí mismo una violación de la confidencialidad de los datos de la parte reclamante, debido a la falta de diligencia en la custodia de la nota adhesiva. No existe motivo que justifique que la nota adhesiva con los datos personales de la parte reclamante que llevaba el repartidor de GEOPOST, pudiera estar en manos de un tercero, pegatina que no iba a ser usada, debido a la imposibilidad de recoger el paquete que iba a ser devuelto, por la ausencia de la parte reclamante en su domicilio; ausencia que comunicó debidamente según consta en el Hecho Probado Primero. Con relación a las medidas de seguridad, GEOPOST señala que la nota adhesiva con los datos de la parte reclamante no era un “aviso de ausente en domicilio”, ya que ese tipo de avisos son habitualmente enviados al correo electrónico del cliente, sino que se trata de la pegatina que se adhiere al paquete en caso de recogida de una devolución. GEOPOST no justifica que las medidas técnicas y organizativas sean apropiadas para garantizar un nivel de seguridad adecuado al riesgo, para proteger los datos personales de sus clientes existentes en las etiquetas de recogida de la devolución de un paquete, lo cual supone un riesgo para los derechos y libertades de las personas físicas, como se ha puesto de manifiesto en este caso. El artículo 32 del RGPD establece cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. El Tribunal de Justicia de la Unión Europea se ha pronunciado sobre la aplicación del artículo 32 del RGPD en el ejercicio de su competencia para pronunciarse, con carácter prejudicial sobre la validez e interpretación de los actos adoptados por las instituciones, órganos u organismos de la Unión, conforme a lo dispuesto en el artículo 267 del Tratado de Funcionamiento de la Unión Europea. En sentencia de 14 de diciembre de 2023, en el asunto C-340/21, resuelve una cuestión prejudicial planteada por un órgano jurisdiccional relativa a “si el principio de responsabilidad del responsable del tratamiento, enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en el artículo 24 de este, debe interpretarse en el sentido de que, … el responsable del tratamiento soporta la carga de la prueba del carácter apropiado de las medidas de seguridad que ha adoptado con arreglo al artículo 32 del mencionado Reglamento”, estableciendo lo siguiente : C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 “Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].” (apartado 52 de la sentencia) En consecuencia, en la respuesta al traslado de la reclamación, GEOPOST afirmó que la nota fue pegada por el repartidor y, en cualquier caso, GEOPOST es responsable de que los datos de sus clientes no se pongan a disposición a terceros no autorizados a acceder a aquellos. En cuanto a la aplicación de medidas técnicas y organizativas adoptadas por GEOPOST en la recogida de paquetes objeto de devolución, en el presente caso se ha puesto de manifiesto que no garantizan un nivel de seguridad adecuado al riesgo para proteger los datos personales de sus clientes (nombre, apellidos, dirección y teléfono) existentes en las etiquetas de recogida de la devolución de un paquete. Por ello, la primera de las medidas a considerar por parte de GEOPOST es, teniendo en cuenta el estado de la técnica y los costes de aplicación, si es necesario que todos estos datos personales de sus clientes consten en las pegatinas de recogida de paquetes devueltos. Por todo lo expuesto, se desestima la presente alegación. IV Principio de confidencialidad El artículo 5.1.f), “Principios relativos al tratamiento”, del RGPD establece: “1. Los datos personales serán:
16. a)(…)
17. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5.1
18. f)del RGPD, principios relativos al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 En el presente caso, consta que los datos personales de la parte reclamante, tales como su nombre, apellidos, dirección postal y número de teléfono obrantes en la nota de aviso pegada en el exterior del buzón fueron indebidamente expuestos a terceros, vulnerándose el principio de confidencialidad, cuando además en el rótulo del buzón solo se indicaba el número y la letra del piso. De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a GEOPOST, por vulneración del artículo 5.1.
19. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
20. f)del RGPD La citada infracción del artículo 5.1.
21. f)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
23. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Obligación incumplida. Seguridad de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
24. a)la seudonimización y el cifrado de datos personales;
25. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
26. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
27. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad al revelar información y datos de carácter personal a terceros, al dejar un repartidor una nota de aviso ausente pegada en el exterior del buzón de la reclamante, en la que aparecían sus datos personales: nombre, apellidos, dirección postal, así como su número de teléfono, a la vista de cualquier vecino o visitante del inmueble, cuando además en el rótulo del buzón solo se indicaba el número y la letra del piso. Tal y como consta en el escrito de respuesta de fecha 14 de noviembre de 2022, la parte reclamada considera que la incidencia se ha producido como consecuencia de un error del repartidor, debiendo haber dejado la nota de aviso dentro del buzón o por debajo de la puerta como indica el manual de GEOPOST y no pegada en el exterior del buzón. En este sentido, procede señalar que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “