Vulneración de la obligación establecida en el artículo 32.2 del RGPD.

SocMobilitat (encargado del tratamiento) no determinó de manera adecuada las medidas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos encomendado a Indra (sotsencarregat del tratamiento) para la implementación y gestión de la tarjeta T-Movilidad, en cuanto que en el contrato de encargo de tratamiento la entidad SocMobilitat indicó a Indra que las medidas de seguridad que tenía que implementar para la prestación de los servicios objete de encargo eran de nivel básico, es decir que categorizó el sistema como básico, cuando de acuerdo con las circunstancias concurrentes en el tratamiento objete de encargo, el nivel básico no era suficiente.