Cercador de resolucions, dictàmens i informes

En atenció a la informació disponible, la formalització d’un contracte d’encarregat del tractament per a la prestació de certs serveis socials en el municipi consultant hauria d’efectuar-se entre l’entitat religiosa i el consorci. En el cas que la prestació del servei fos per compte i interès del consell comarcal però, aquest contracte hauria de formalitzar-se entre el dit consell comarcal i l’entitat religiosa.

Es resol declarar que la Fundació de Recerca Clínic Barcelona-Institut d'Investigacions Biomèdiques August Pi i Sunyer (FRCB-IDIBAPS), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que van ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades.

Es resol declarar que el Consorci d'Atenció Primària de Salut Barcelona Esquerra (CAPSBE), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que va ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades personals.

El denunciant es queixava del següent: que un efectiu dels Mossos d’Esquadra havia revelat les seves dades relatives a una investigació policial a terceres persones; d’una trucada intimidatòria del mateix agent a un advocat; i de l'anul·lació d'una cita. S'arxiven les actuacions per manca de proves que els fets s'hagin produït, d'acord amb el principi de presumpció d'innocència. A més s'indica que, si la trucada intimidatòria s’hagués produït, les coaccions a un advocat no és un assumpte competència d'aquesta Autoritat. Pel que fa a l'anul·lació d'una cita, s'indica que aquest fet per si mateix no és una infracció de protecció de dades. Resolució conjunta amb la IP 209/2024.

El denunciant es queixava del següent: que un efectiu dels Mossos d’Esquadra havia revelat les seves dades relatives a una investigació policial a terceres persones; d’una trucada intimidatòria del mateix agent a un advocat; i de l'anul·lació d'una cita. S'arxiven les actuacions per manca de proves que els fets s'hagin produït, d'acord amb el principi de presumpció d'innocència. A més s'indica que, si la trucada intimidatòria s’hagués produït, les coaccions a un advocat no és un assumpte competència d'aquesta Autoritat. Pel que fa a l'anul·lació d'una cita, s'indica que aquest fet per si mateix no és una infracció de protecció de dades. Resolució conjunta amb la IP 209/2024.

Es canvia el criteri inicial (en què es considerava el Departament de Salut i el CTTI corresponsables) i es declara que el Departament de Salut, com a únic responsable del tractament, ha comès una infracció molt greu per no haver verificat que les entitats prestadores del servei (CTTI i empreses sotsencarregades) no informaven sobre protecció de dades en les trucades del SAU, inclòs el fet que la trucada podia ser gravada.

Es proposa declarar que l'ajuntament ha comès una infracció molt greu per vulneració del principi de minimització, per haver publicat al web municipal i a la plataforma YouTube la gravació d'una sessió del ple, en què un regidor del govern revelava indirectament l'orientació sexual d'un regidor de l'oposició. D'altra banda, s'arxiva la part de la denúncia referida a la revelació d'aquesta dada durant la celebració del ple, per considerar que no hi concorre el grau de culpabilitat necessari per imputar una infracció per aquest tractament.

S'estima parcialment la reclamació, atès que la Institució Tres Torres SA (ITT) no va respondre en termini la sol·licitud. S'indica que la ITT actuava com a sotsencarregada del tractament per compte d'EPONO 2017 SL. Tanmateix, atès que no va comunicar l'entrada d'aquesta petició a l'encarregada del tractament, va esdevenir la responsable del tractament i l'obligada a respondre. Quant al fons, no fa cap pronunciament atès que la informació s’ha facilitat en el marc d'aquest procediment i, per tant, s'han esvaït els motius de discrepància jurídica.

En el cas examinat, a la vista del marc normatiu d’aplicació i la informació disponible, podria concloure’s que la societat municipal actuaria, en relació amb els tractaments de dades necessàries per dur a terme les actuacions vinculades a programes per afavorir la inserció sociolaboral de determinats col·lectius per encàrrec de l’Ajuntament, com a subencarregada del tractament.

Per altra banda, seria necessari el consentiment de les persones que sol·liciten participar en els dits programes, així com de les persones que sol·liciten a la societat municipal, com a agència de col·locació, els serveis de col·locació i intermediació laboral, per a tractar les seves dades personals.

Es declara que l'Ajuntament ha comès 3 infraccions: 1) Una infracció per fer ús d'algunes galetes que tracten dades personals, sense haver-ne informat prèviament; 2) Una altra infracció per fer ús de galetes no necessàries, sense haver recollit el consentiment; i 3) Una tercera infracció per no publicar al web tota la informació del RAT.

D'altra banda, a l'acord d'iniciació es van arxivar els fets denunciats relatius a: 1) Manca de política de privacitat: es va arxivar perquè la informació figurava publicada al web, tot i que amb un terme diferent, però vàlid; 2) Manca d'avís legal: es va arxivar perquè, en aquest apartat d'un web, no s'inclou la informació que requereix la normativa de protecció de dades; i 3) Omissió de la informació del RAT en el portal de transparència: es va arxivar, atès que la norma només obliga a fer-ho públic per mitjans electrònics; 4) Omissió de la informació referent al delegat de protecció de dades: es va arxivar atès que no cal publicar-hi el nom i cognoms.