Cercador de resolucions, dictàmens i informes

El denunciant es queixa que des de l'institut s'ha canviat la seva contrasenya per accedir al seu compte corporatiu digital, on té emmagatzemada informació personal. Posa de manifest que no se li ha demanat permís. Es dicta resolució del procediment sancionador per vulneració de les mesures dels articles 25 i 32 RGPD.

Prenent en consideració la informació aportada, no existeix en el cas examinat habilitació jurídica suficient que justifiqui el tractament de dades personals per a l’execució o exhibició de l’obra d’art, alhora que pot vulnerar el dret a la intimitat d’acord amb el que preveu la Llei Orgànica 1/1982, de 5 de maig, de protecció civil del dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge.

Ara bé, la possibilitat d’enregistrar el so ambient sense que en cap cas es captin, difonguin o enregistrin converses de persones, o veus de persones identificables, no resulta contrària a la normativa de protecció de dades. Per aquest motiu, al fonament de dret VII d’aquest dictamen es proposen algunes mesures que es poden tenir en compte per no dur a terme el tractament de dades personals, i excloure l’aplicabilitat la normativa de protecció de dades.

Es resol declarar que la Fundació de Recerca Clínic Barcelona-Institut d'Investigacions Biomèdiques August Pi i Sunyer (FRCB-IDIBAPS), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que van ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades.

Es resol declarar que el Consorci d'Atenció Primària de Salut Barcelona Esquerra (CAPSBE), en la seva condició de responsable del tractament de les dades allotjades a la plataforma de l'HCB que va ser objecte de ciberatac, no va determinar les mesures tècniques i organitzatives adequades per protegir les seves dades, ni va vetllar perquè l'HCB - com a encarregat del tractament - les implementés; no va realitzar una anàlisi de riscos en relació amb els tractaments de dades personals dels quals n'era el responsable; ni va formalitzar un contracte d'encarregat del tractament amb l'HCB, en els termes previstos a la normativa de protecció de dades personals.

Es resol declarar que, amb anterioritat al 05/03/2023, l'HCB no havia implementat les mesures de seguretat -tècniques i organitzatives- adequades per garantir un nivell de seguretat adequat al risc dels tractaments de dades personals que duia a terme. Tampoc havia realitzat una anàlisi de riscos per definir les mesures de seguretat requerides, tal com exigeixen els apartats 1r i 2n de l'article 32 RGPD. La plataforma informàtica que va ser objecte de ciberatac emmagatzemava informació de l'HCB i també d'altres entitats vinculades (Barnaclínic SA, CAPSBE i la FRCB-IDIBAPS); per tant, el volum i sensibilitat de la informació exigien una especial diligència en la seva custòdia i seguretat.

La implantació de sistemes de votació electrònica no és contrària a la normativa de protecció de dades. Ara bé, cal que el sistema de votació electrònica emprat en el cas particular no permeti la visualització del nom i cognom, i sentit del vot, de les persones afectades en la pantalla quan el sistema de votació sigui secret.

Pel que fa al sistema de vot equiparable al vot a ma alçada, el fet de què es visualitzi uns segons el sentit del vot de cadascun dels votants es podria entendre que s’adequa a la normativa de protecció de dades, sempre que l’aplicatiu corresponent no conservi aquesta dada, d’acord amb l’exposat al fonament jurídic III. 

En qualsevol cas, respecte de cada sistema de votació, cal que el responsable del tractament determini i apliqui mesures tècniques i organitzatives adequades per garantir un nivell de seguretat adequat al risc, tenint en compte l'estat de la tècnica, els costos d'aplicació i la naturalesa, l'abast, el context i les finalitats del tractament, així com els riscos de probabilitat i gravetat variables per als drets i les llibertats de les persones físiques. En aquest sentit, es traslladen algunes consideracions generals que poden ser tingudes en compte.

Es declara que l'entitat va cometre la infracció tipificada a l'article 83.4.a, en relació amb l'article 5.1.f, ambdós de l'RGPD, perquè no va implementar les mesures de seguretat necessàries a l’hora d’enviar informes pericials que contenien dades especialment protegides a la tècnica que els havia elaborat, quan aquesta ja no pertanyia a l'entitat perquè era jubilada. La tramesa es va fer a una adreça gmail designada per la receptora, però sense xifrar ni encriptar-ne el contingut.

S'arxiva la denúncia, atès que l'entitat ha acreditat que tot el personal de la policia local que accedeix al SIP de la DGP està autoritzat a fer-ho, en exercici de les seves funcions professionals. L'entitat té implementat un sistema perquè els agents que patrullen puguin accedir-hi lícitament, sense necessitat de donar el seu número d'usuari i contrasenya a altres empleats no autoritzats.