Cercador de resolucions, dictàmens i informes

L'Ajuntament va publicar, en obert, a la seva seu electrònica, diversos anuncis que contenen les dades personals dels participants d'un procés selectiu d'agents de la policia local. 1) S'imputa una vulneració del principi de licitud, perquè l'Ajuntament va publicar les qualificacions obtingudes per les persones que no van superar el procés selectiu, identificades amb el nom i cognoms i les quatre xifres del DNI, sense comptar amb cap base jurídica que legitimés la publicació o difusió d'aquesta informació. 2) S'imputa la vulneració del principi de minimització de dades, perquè l'Ajuntament va publicar l'edat dels aspirants, que no era una dada necessària per a la finalitat del tractament. 3) S'imputa la vulneració del principi de limitació del termini de conservació, perquè l'Ajuntament mantenia publicats diversos anuncis que contenen la informació personal dels participants del procés selectiu, quan ja no calia per complir la finalitat del tractament. 4) S'imputa a l'Ajuntament l'incompliment del deure de subscriure un contracte d'encàrrec del tractament.

Es resol declarar que l'Ajuntament ha comès les infraccions de l'article 5.1. de l’RGPD, apartats c i d, referides als principis de minimització i de limitació del termini de conservació. Ha mantingut accessibles a internet dues actes de les sessions plenàries municipals dels dies 14/04/2014 i 24/11/2017, més enllà del temps necessari. Aquestes actes contenien dades personals excessives per a la finalitat pretesa.

Les fotografies dels menors a què refereix la consulta han de suprimir-se un cop deixin de ser necessàries per a la finalitat educativa que motiva la seva captació. Això podria correspondre’s amb la finalització del curs escolar i, en tot cas com a màxim, amb la finalització de l’escolarització dels menors en aquests centres. Es podria conservar més enllà d’aquests terminis si s’adopten els mecanismes escaients per convertir-la en anònima o si respon a finalitats d’arxiu en interès públic, de recerca científica o històrica o finalitats estadístiques, en els termes exigits per la normativa d’aplicació. Tot i que seria possible la seva difusió posterior en la mesura que els menors afectats no siguin recognoscibles, l’interès superior del menor i l’exigència de transparència en el tractament de les dades personals de l’RGPD justificarien en aquest cas haver d’informar els seus representants legals d’aquest nou tractament, per tal que, si ho desitgen, puguin oposar-se.

Es resol que l'entitat ha comès una infracció prevista a l'article 83.5.a en relació amb l'article 5.1.f, ambdós de l'RGPD, per la vulneració del principi de confidencialitat. L'entitat va enviar una citació a dues persones vulnerables perquè acudissin als serveis socials, a través d'un missatge electrònic adreçat a l'empresa que gestiona els allotjaments socials, la qual la va reenviar a la pensió on s'allotjaven. Finalment, la citació es va lliurar a les persones destinatàries en obert i en paper a la recepció de la pensió.

La identificació de les persones interessades en les publicacions dels actes administratius en els procediments de concessió d’ajusts o subvencions, d’acord amb la Disposició Addicional Setena de l’LOPDGDD, s’ha de determinar en funció la finalitat de la publicació. Partint d’aquesta premissa, des del punt de vista de la normativa de protecció de dades, sota el principi de limitació del termini de conservació de les dades, per tal d’evitar o dificultar la identificació de la persona sol·licitant de l’ajut mitjançant l’associació d’informació estreta d’un mateix procediment de concessió d’ajusts, caldrà suprimir la informació publicada de la notificació de la resolució d’esmenes abans de publicar la resolució de concessió de l’ajut o subvenció que posa fi al procediment de forma que es permeti la identificació del sol·licitant de l’ajust només el temps necessari per complir amb les respectives finalitats per a les quals s’han recollit les dades personals.

La conservació de les imatges captades amb fins de seguretat més enllà del termini màxim d’un mes establert per a la seva supressió, als efectes d’emprar-les per a d’altres finalitats, requeriria de la concurrència d’una altra base jurídica diferent a la que legitima el seu tractament en origen, com s’apunta en aquest informe. En aquells casos en què es pugui considerar lícit el tractament ulterior de les imatges, no resultaria procedent la seva supressió ni, per tant, el seu bloqueig mentre resultin necessàries per assolir la finalitat pretesa, sens perjudici de limitar-ne l’accés a les persones que ho requereixin en atenció a les seves funcions.

Vulneració del principi de licitud i de la limitació del termini de conservació. S'imputa licitud perquè es publiquen dos documents amb els resultats del procés selectiu en què consten els DNI complets dels aspirants. Segons la normativa (disposició addicional setena de la LOPDGDD), s'han de publicar els noms i cognoms més 4 xifres aleatòries del DNI.
A més, també es publiquen les signatures manuscrites de les persones signants dels documents.
Pel que fa al termini de conservació, l'Ajuntament manté publicades les llistes amb les dades personals de les persones aspirants que finalment no han estat seleccionades, mesos després de la celebració del procés selectiu.

S'amonesta l'Ajuntament de Sant Boi de Llobregat com a responsable d'una infracció prevista a l'article 83.5.a en relació amb l'article 5.1.f, ambdós de l'RGPD, per l'enviament d'un correu electrònic a nombroses persones sense utilitzar l'eina de còpia oculta.