Cercador de resolucions, dictàmens i informes

A la vista de la normativa estudiada, i per la informació de què es disposa, des de la perspectiva de la normativa de protecció de dades no sembla que hi hagi suficient base jurídica (art. 6.1 RGPD) que permeti considerar necessària la inclusió generalitzada en els certificats d’empadronament d’informació relativa a l’existència o no del títol d’ocupació d’un habitatge o altra informació relacionada, ni sembla que aquesta pràctica generalitzada s’ajusti als principis de minimització i d’exactitud de dades personals (art. 5.1, apartats c) i d) RGPD). Això, sens perjudici que l’Ajuntament tingui base jurídica suficient per al tractament de la informació objecte de consulta, en els termes que preveu la normativa i als efectes de la verificació a què es refereix l’article 59.2 RPDTEL.

Es resol declarar que l'Ajuntament ha comès les infraccions de l'article 5.1. de l’RGPD, apartats c i d, referides als principis de minimització i de limitació del termini de conservació. Ha mantingut accessibles a internet dues actes de les sessions plenàries municipals dels dies 14/04/2014 i 24/11/2017, més enllà del temps necessari. Aquestes actes contenien dades personals excessives per a la finalitat pretesa.

Es declara que l'Ajuntament de Barcelona ha vulnerat el principi de minimització de les dades, atès que l'Oficina Tècnica de Collserola va respondre la sol·licitud d’informació d’una tercera persona sobre l’estat d’una parcel·la, amb un correu que contenia informació personal de la denunciant que era excessiva per a la finalitat pretesa. En concret, es responia que la denunciant l'havia ocupat i hi havia muntat una caseta de fusta on estava vivint.

La normativa de protecció de dades habilitaria la comunicació de l’expedient administratiu a les persones interessades en el procediment administratiu sobre la base de l’article 6.1.c) i e) de l’RGPD en relació amb la normativa del procediment administratiu. En el cas que entre la informació que consti a l’expedient estiguin afectades dades de salut, la comunicació pot estar habilitada sobre la circumstància de l’article 9.1.f) de l’RGPD, si la informació és necessària per formular, exercir o defensar reclamacions. En qualsevol cas, la informació que es comuniqui s’ha de limitar al mínim necessari per a la defensa dels drets o interessos legítims de les persones interessades.

Correspon al responsable del tractament aplicar les mesures tècniques i organitzatives adequades per garantir un nivell de seguretat adequat al risc del tractament, incloent-hi en el cas que ens ocupa les mesures que corresponguin de les que preveu l’Esquema Nacional de Seguretat, com ara, la pseudonimització o xifratge de les dades personals.

La persona denunciant manifestava que la seva dona havia sol·licitat als serveis socials d'un ajuntament que emetessin un informe socioeconòmic de la unitat familiar, i que les treballadores socials implicades hi havien inclòs dades que no eren certes i que no tenien a veure amb l'objecte de l'informe, amb la consegüent revelació a la seva dona.
La denúncia s'arxiva en constatar que les dades eren certes i que calia incloure aquesta informació per motivar la decisió excepcional d'emetre l'informe sense entrevistar-lo prèviament. Només s'hi havia inclòs la informació estrictament necessària i la que provenia de la mateixa denunciant.

La denunciant es queixa que en les targetes de transport personalitzades inclouen el nom i cognoms, DNI i fotografia de la persona usuària. Es considera que incloure aquestes dades està justificat per evitar el frau, ja que es tracta de títols de transport bonificats, i per agilitzar la identificació dels titulars per part de les persones inspectores i conductores de l'entitat. Per consegüent, s'arxiven les actuacions perquè no s'infringeix el principi de minimització.

Procediment sancionador contra l'ajuntament, per haver publicat al tauler d'anuncis de la seu electrònica i a la web de l'ajuntament el resultat de la fase concurs i puntuació final d'un procés de selecció. Aquesta publicació incloïa la signatura digital de la presidenta del tribunal i de la secretària, que conté el número de DNI. Vulneració del principi de minimització. Infracció prevista a l'article 83.5.a en relació amb l'article 5.1.c, ambdós de l'RGPD.

S'arxiva la queixa contra l'ajuntament perquè, en un pla d'avaluació de riscos psicosocials, va comunicar dades personals excessives a l'empresa contractada per fer una enquesta en línia sobre prevenció. La comunicació es va produir en el marc d'un contracte d'encarregat del tractament i les dades personals traspassades eren les mínimes necessàries perquè l'empresa pogués prestar el servei contractat.

Es resol declarar que l'Ajuntament de Ripollet ha comès 4 infraccions de la normativa de protecció de dades personals, atès que no ha executat l'AIPD necessària, en relació amb el tractament de dades personals que duu a terme per prestar el servei de recollida de residus porta a porta; no ha complert el deure d'informar les persones usuàries del servei en la recollida inicial del material; no ha signat un contracte d'encarregat del tractament; i recull informació excessiva, a partir del formulari d'alta a la bústia de tèxtil sanitari.

Es declara que l'entitat ha vulnerat el principi de minimització de dades, per trametre la còpia d'una denúncia sense anonimitzar determinades dades de la representant de la persona jurídica denunciant. L'entitat denunciada va comunicar dades excessives (DNI, data de naixement, adreça i mòbil) de la representant d'una associació que havia presentat una denúncia contra una corporació local.