Cercador de resolucions, dictàmens i informes

Escau aplicar el principi de presumpció d'innocència atès que el professional que va atendre i respondre la consulta de la persona denunciant actuava en exercici de les seves funcions i només va tractar les dades personals que el mateix denunciant li va facilitar a l'efecte de gestionar la seva consulta.

Es resol sancionar l'Ajuntament com a responsable de tres infraccions: 1) manca de contracte d'encarregat o document equivalent, 2) manca d'informació dels extrems previstos a l'art. 13 RGPD, i 3) impediment de l'exercici del dret de supressió.

La persona denunciant es queixa que l'estació d'ITV va facilitar a un tercer la targeta d'ITV del seu vehicle. Aquest fet es va produir per error humà i, a més, l'entitat imputada va procedir a adoptar mesures per corregir la situació. Malgrat això, la matrícula d'un vehicle és dada personal i, per tant, constitueix una vulneració de la normativa de protecció de dades.  Vulneració del principi de confidencialitat.

La persona reclamant es queixa que l'Ajuntament no li ha donat resposta ni al dret d'accés, ni al dret de rectificació en relació al servei de recollida de residus "porta a porta". Pel que fa al dret d'accés, tot i que la persona reclamant demanava l'accés a informació pública, en realitat, es referia a l'accés a les seves dades personals; i pel que fa al dret de rectificació, tot i que inicialment es va inferir que l'Ajuntament hauria atès el dret exercit per la persona reclamant, en realitat, l'Ajuntament no va rectificar la dada relativa a l'adreça postal de la persona reclamant. S'estima la petició formulada per la persona reclamant en relació a ambdós drets.

L’Ajuntament no compta amb habilitació suficient per instal·lar un sistema de videovigilància en un espai delimitat que forma part de la via pública amb finalitat de controlar i, si escau, exercir la potestat sancionadora respecte de conductes incíviques relatives al dipòsit de residus a les àrees de recollida. En cas d’instal·lar-se per controlar actes vandàlics contra la seguretat pública, es podria considerar legítim si el duu a terme la policia local d’acord amb l’obtenció de la prèvia autorització de la Direcció General d’Administració de Seguretat.

Les mesures de seguretat, s'han de determinar tenint en compte els riscos derivats de la pèrdua o l'accés no autoritzat a les dades (entre d'altres). En el present cas, ha quedat acreditat que el responsable de tractament de les dades afectades, no va adoptar les mesures tècniques i organitzatives apropiades per garantir la seva seguretat (tendents a evitar que a aquestes dades hi poguessin accedir persones no autoritzades).

Publicació en el Tauler d'anuncis de la seu electrònica de l'Ajuntament, d'un document amb dades personals de les persones ciutadanes (entre elles, els denunciants) que havien participat en el procés consultiu sobre el sistema d'estacionament regulat (zona blava) endegat pel consistori. En concret, les dades personals difoses són: nom i cognoms, número de DNI, telèfon, adreça postal i adreça electrònica, de cadascuna de les persones que havien presentat al·legacions, així com el seu contingut i la consegüent informació personal que se'n derivava.

L’elecció del model de recollida selectiva més adequat al municipi requereix d’una avaluació d’impacte relativa a la protecció de dades. L’Ajuntament, en atenció a les competències que té atribuïdes en matèria de gestió de residus, estaria legitimat per dur a terme els tractaments de dades que es deriven de la implantació del sistema de recollida selectiva. Tot i això, a manca de previsió legal específica, l’elaboració de perfils que produeixin efectes jurídics en la persona usuària del servei o que l’afectin significativament de manera similar, requereix comptar amb el consentiment explícit de les persones afectades. La participació de tercers en la implementació d’aquest sistema requereix la formalització d’un contracte d’encarregat i, si escau, de subencarregat, així com, si escau, el compliment de les obligacions establertes al respecte en l’LCSP.

La persona reclamant va exercir el dret de supressió davant l'Ajuntament de les dades que havia facilitat per al servei de recollida de residus "porta a porta". L'Ajuntament es va negar a suprimir les dades al·legant que el tractament era necessari per complir una missió en interès públic basat en una competència municipal. Però també va manifestar que l'única dada necessària per a prestar el servei era l'adreça de l'habitatge.