Cercador de resolucions, dictàmens i informes

Una persona que prestava serveis al Consorci Sanitari del Maresme, amb la categoria professional d'administrativa, va efectuar 29 accessos no justificats a la història clínica del denunciant. Així, va accedir a dades de salut del denunciant que contenien diversos informes mèdics, l'historial de visites, consultes sobre proves i dades d'hospitalització. Es proposa declarar que l'entitat ha comès una infracció del deure de confidencialitat, tipificada a l'article 83.5.a, en relació amb l'article 5.1.f, ambdós de l'RGPD.

Diverses persones denunciants es queixen que van rebre un missatge electrònic a través de l'aplicació TokApp, sense que haguessin consentit que l'entitat denunciada cedís les seves dades a l'empresa titular de l'aplicació. S'arxiven les actuacions prèvies IP 424/2023, IP 425/2023, IP 409/2024, IP 410/2024 i IP 411/2024 perquè no es considera una comunicació de dades, ja que es tracta d'una relació contractual entre el responsable i l'encarregat del tractament.

L’Ajuntament vol accedir a dels treballadors d’una empresa concessionària del servei municipal de jardineria, neteja viària i recollida de residus, amb motiu d’estudiar les dades econòmiques a efectes de valorar una possible subrogació del servei. A tal efecte consulta si determinades dades dels treballadors son dades personals i si l’ajuntament disposa de base jurídica per obtenir aquesta informació. Les dades sobre la data de naixement, categoria professional, tipus de contracte i data de finalització del contracte dels treballadors de l’empresa concessionària a què es refereix la consulta s’han de considerar dades personals, fins i tot si es lliuren de manera dissociada del nom i cognoms de les persones treballadores. L’ajuntament disposa d’una habilitació o base jurídica per rebre del concessionari aquesta informació ateses les previsions derivades tant de la normativa de règim local com de la normativa de contractació pública. No obstant això, el lliurament s’ha d’adequar a la resta de principis de la normativa de protecció de dades, en especial el principi de minimització, per la qual cosa no resulta justificat incloure-hi el nom i cognoms de les persones treballadores afectades.

La normativa de protecció de dades no impedeix l’accés del regidor a informació sobre el personal adscrit a la prestació dels serveis de neteja per les empreses adjudicatàries consistent en les quatre darreres xifres del número de DNI, tasques concretes, règim de dedicació i retribucions brutes percebudes, en tractar-se de dades necessàries per al correcte exercici de les seves funcions de control i fiscalització de la gestió del servei duta a terme per aquestes entitats.

La comunicació de dades sobre retribucions dels càrrecs directius o òrgans de direcció i administració per part de les entitats privades que gestionen serveis públics i/o que perceben ajuts i subvencions, en els supòsits previstos en els articles 3.2 i 15.2 LTC, així com la seva publicació per part de l'Administració responsable estaria justificada per al compliment de la finalitat de transparència i compta amb l'habilitació legal als efectes del que preveu l'article 11.2.a) de l'LOPD.

De la normativa estudiada no es desprèn que hi hagi una habilitació general que obligui les empreses prestadores d'un servei regular de transport de viatgers a lliurar a les forces i cossos de seguretat una llista de passatgers. Això sens perjudici de la possibilitat que el personal d'inspecció del transport pugui requerir directament a les persones afectades la seva identificació, i de la possibilitat que les forces i cossos de seguretat puguin fer peticions concretes d'informació en els supòsits previstos a l'article 22 de l'LOPD.

En el cas examinat, l'empresa concessionària del servei públic de gestió de les instal·lacions esportives, atès que decideix sobre la finalitat, el contingut i l'ús del tractament de les dades personals dels abonats al servei, té consideració de responsable del tractament. El fet que l'Ajuntament dugui a terme el segrest temporal d'aquest servei en principi no sembla que hagi de comportar necessàriament la cessió de les dades dels abonats per part de l'empresa concessionària. En cas contrari, la comunicació d'aquestes dades a l'Ajuntament, sense consentiment, podria trobar habilitació en l'article 11.2.c) de la LOPD, en atenció a les potestats que la normativa de règim local atribueix a l'administració titular del servei (l'Ajuntament).

L'empresa concessionària, com a responsable de diversos fitxers, pot tractar les dades que s'hi contenen, sens perjudici que l'Ajuntament com a titular del servei és el responsable darrer d'aquesta informació. Qualsevol comunicació de dades del Padró o d'altres fitxers de l'Ajuntament és una comunicació de dades sotmesa al règim de la LOPD (articles 11 i 21), excepte si s'estableix un encàrrec del tractament (article 12 de la LOPD i articles 20 a 22 del RLOPD). La formalització de l'encàrrec es pot fer en les clàusules específiques incloses en el contracte, si escau mitjançant un annex o addenda.

La gestió del subministrament d’aigua de l’Ajuntament és un servei públic municipal que implica per si mateix el tractament de dades personals necessàries per poder prestar i cobrar el servei als ciutadans usuaris. En cas que l’Ajuntament s’hagi configurat com a responsable del tractament i hagi establert el corresponent contracte d’encàrrec amb l’empresa concessionària del servei, l’Ajuntament pot accedir en qualsevol moment a les dades personals vinculades a la prestació del servei. En cas que no existeixi aquest contracte d’encàrrec i el responsable del fitxer fos l’empresa concessionària, la comunicació de dades personals des dels fitxers de l’empresa concessionària a l’Ajuntament podria trobar habilitació bé en el consentiment de les persones usuàries, bé en l’article 11.2.c) de la LOPD.

L'Ajuntament, en tant que administració pública titular del servei, podrà accedir a tota la informació personal que hagi tractat l'entitat concessionària per a la prestació del servei de gestió d'instal·lacions esportives. La comunicació de dades personals des dels fitxers de titularitat privada de l'entitat concessionària a l'Ajuntament podria trobar habilitació en l'article 11.2.c) de la LOPD, si els clients de l'entitat concessionària, en el moment de donar les seves dades personals, coneixen la titularitat municipal del servei, en la mesura que aquestes dades siguin necessàries per poder desenvolupar, complir i controlar la relació jurídica que l'empresa manté amb ells i que lliurement han acceptat. L'Ajuntament, com a cessionari de les dades que li faciliti l'entitat concessionària, tenint en compte que no ha recollit les dades directament de l'interessat, hauria de complir amb el deure d'informació d'acord amb l'apartat 4 de l'article 5 de la LOPD, llevat que les persones interessades n'hagin estat informades anteriorment.