Cercador de resolucions, dictàmens i informes

El tractament de dades de salut del personal de conducció o amb funcions relacionades amb la seguretat del trànsit dels serveis de transport ferroviaris per detectar, per part de l’empresa, el consum d’alcohol o drogues, a l’inici o durant la jornada laboral, compta amb habilitació en els articles 6.1.c) i 9.2.h) de l’RGPD en relació amb la legislació ferroviària. En el cas del personal que desplega aquestes funcions en els serveis de transport de la xarxa d’autobusos o del telefèric, la normativa de protecció de dades no impedeix els controls periòdics del consum de les esmentades substàncies, quan ho estableixi, de manera justificada, el servei de prevenció de riscos laborals, en la mesura que pot constituir un risc per a terceres persones.

Resolució de sobreseïment perquè es detecta que l'entitat que ostenta les competències del servei Devolució Xpress, no és el Dept de TES sinó Renfe Viatgers, que quan obté les dades personals dels usuaris del servei que han formulat una queixa a través del formulari de la bústia de contacte general de la pàgina web de l'oficina virtual de tràmits de la Generalitat de Catalunya, no fa efectiu el dret d'informació (art. 14 RGPD). Trasllat a l'AEPD.

Els agents d’estació i els vigilants de seguretat dels ferrocarrils poden sol·licitar, en exercici de llur funció de vigilància del compliment de la mesura adoptada per les autoritats sanitàries consistent en l’ús obligatori de la mascareta en el transport públic, la documentació que acredita la concurrència d’alguna de les causes d’exempció de l’obligació de dur mascareta a aquelles persones usuàries dels ferrocarrils que no la porten.

S'arxiva la denúncia perquè l'agent ferroviari que, per emplenar una butlleta de percepció mínima, sol·licitava el nom i cognoms i DNI de l'usuari de Rodalies Catalunya que viatjava sense bitllet, exercia un potestat inspectora establerta per normes amb rang de llei.

El personal inspector d’una empresa ferroviària està legitimat per, en exercici de llurs funcions, sol·licitar a menors de 14 anys les dades identificatives que resultin estrictament necessàries per a la imposició i gestió de l’abonament d’una percepció mínima.

Atès que l’opció 1 i 2, no permet que l’afectat visualitzi i signi un document únic, en format electrònic, que inclogui les seves dades i la informació que ha de rebre sobre el tractament d’aquestes (art. 13 RGPD), des de la perspectiva de la protecció de dades personals no es pot considerar que aquesta opció permeti acreditar de manera adequada el compliment del deure d’informar als afectats, sens perjudici que altres sistemes (opció 3) puguin permetre aquesta acreditació del compliment del deure d’informar. La clàusula informativa objecte de consulta es pot considerar adequada a les exigències de l’RGPD, si es tenen en compte les consideracions fetes en aquest dictamen.

L’establiment d’un mecanisme d’identificació i d’autenticació basat en l’ús d’un usuari (consistent en el número de DNI) i d’una contrasenya per a aquells treballadors que, en virtut de la seva condició de personal d’un subencarregat del tractament, han de poder accedir a un sistema d’informació per exercir les funcions que tenen encomanades, podria considerar-se una mesura de seguretat adequada, amb base jurídica a l’article 6.1.b) de l’RGPD, atès que és necessari per a l’execució del contracte.

La cessió de les dades relatives al nom i domicili dels titulars del títol de transport T-16 que resideixen en un municipi determinat des de l’administració que n’és responsable –o, si s’escau, des de l’encarregat del tractament (prèvia autorització escrita)- vers l’ajuntament del dit municipi, amb la finalitat d’informar-los dels nous horaris i recorreguts de les noves línies de la xarxa municipal d’autobusos, podria estar habilitada en aquest cas per l’article 21 de l’LOPD. Això sens perjudici que, des del punt de vista del principi de minimització, pugui ser recomanable optar per alguna altra solució com les que es proposen en el dictamen.

En el present cas es considera que emprar les dades personals de contacte dels ex treballadors, que es mantenen bloquejades, als efectes d'acomplir una obligació legal -com notificar-los una reclamació d'accés interposada davant la Comissió de Garantia del Dret d'Accés a la Informació Pública- no resultaria contrari a la normativa de protecció de dades.

No hi ha contradicció de l'article 28.2 LPAC amb l'exigència per l'article 4.9 del RGPD que el consentiment es manifesti mitjançant una declaració o una acció afirmativa clara, perquè l'habilitació derivaria de la mateixa LPAC en relació amb la lletra e) de l'article 6.2 del RGPD. No obstant això, l'aplicació del mecanisme previst a l'article 28 s'ha de limitar als procediments administratius de les entitats que tinguin la condició d'administracions públiques. L'intercanvi de dades entre l'administració que disposa de la informació sobre els títols de família nombrosa o monoparental o sobre la situació d'atur i l'entitat que expedeixi el títol de transport no pot fonamentar-se en la lletra b) de l'article 6.1 del RGPD atès que no és un intercanvi estrictament necessari per a l'expedició. Pel que fa a les lletres c) i e) del mateix article 6.1 RGPD sí que podrien habilitar l'intercanvi, sempre que estigui previst en una norma amb rang de llei que sigui concreta, precisa i previsible.