Cercador de resolucions, dictàmens i informes

Es canvia el criteri inicial (en què es considerava el Departament de Salut i el CTTI corresponsables) i es declara que el Departament de Salut, com a únic responsable del tractament, ha comès una infracció molt greu per no haver verificat que les entitats prestadores del servei (CTTI i empreses sotsencarregades) no informaven sobre protecció de dades en les trucades del SAU, inclòs el fet que la trucada podia ser gravada.

Es resol declarar que l'Ajuntament de Ripollet ha comès 4 infraccions de la normativa de protecció de dades personals, atès que no ha executat l'AIPD necessària, en relació amb el tractament de dades personals que duu a terme per prestar el servei de recollida de residus porta a porta; no ha complert el deure d'informar les persones usuàries del servei en la recollida inicial del material; no ha signat un contracte d'encarregat del tractament; i recull informació excessiva, a partir del formulari d'alta a la bústia de tèxtil sanitari.

Es declara que l'Ajuntament ha comès 3 infraccions: 1) Una infracció per fer ús d'algunes galetes que tracten dades personals, sense haver-ne informat prèviament; 2) Una altra infracció per fer ús de galetes no necessàries, sense haver recollit el consentiment; i 3) Una tercera infracció per no publicar al web tota la informació del RAT.

D'altra banda, a l'acord d'iniciació es van arxivar els fets denunciats relatius a: 1) Manca de política de privacitat: es va arxivar perquè la informació figurava publicada al web, tot i que amb un terme diferent, però vàlid; 2) Manca d'avís legal: es va arxivar perquè, en aquest apartat d'un web, no s'inclou la informació que requereix la normativa de protecció de dades; i 3) Omissió de la informació del RAT en el portal de transparència: es va arxivar, atès que la norma només obliga a fer-ho públic per mitjans electrònics; 4) Omissió de la informació referent al delegat de protecció de dades: es va arxivar atès que no cal publicar-hi el nom i cognoms.

L'entitat no informava correctament sobre el tractament d'imatges captades per les càmeres de videovigilància instal·lades dins l'edifici de l'hospital.

Escau amonestar l'Ajuntament, atès que aquest no informava degudament sobre el tractament d'imatges captades per les càmeres de videovigilància instal·lades en els punts de control d'accés a zones de trànsit restringit, ja que, a part de la informació que consta als cartells informatius, en la informació complementària que estava disponible a la pàgina web del consistori, l'Ajuntament no informava sobre el dret a presentar una reclamació davant aquesta Autoritat, i per tant, l'Ajuntament no informava de tots els extrems previstos a l'article 13 de l'RGPD.

S'imputa a la Residència les següents infraccions: vulneració del principi de licitud per publicar imatges a les xarxes socials sense disposar d'un consentiment vàlid a tal efecte, vulneració de l'obligació prevista a l'article 30 de l'RGPD i vulneració del deure d'informació previst a l'article 13 de l'RGPD. Per contra, s'arxiven la resta de conductes també denunciades, en concret la queixa relativa a la manca d'elaboració d'una AIPD, atès que la Residència va iniciar l'activitat abans de l'entrada en vigor de l'RGPD, i en la mesura que no van quedar acreditats canvis substancials en els tractaments duts a terme per la Residència, i la queixa relativa al fet que els servidors del web de la Residència es trobarien fora de la Unió Europea, atès que s'ha pogut constatar que aquests es troben dins l'àmbit europeu.

L'empresa no informava degudament del tractament d'imatges amb fins de videovigilància. L'empresa ha acreditat que, arran del requeriment d'informació efectuat en el marc d'aquesta fase d'investigació, va substituir el cartell informatiu de l'existència de les càmeres de videovigilància col·locat a la porta d'accés de la residència, i va col·locar cartells informatius en cadascuna de les plantes que comptaven amb videocàmeres no senyalitzades.

Una persona va denunciar que havia rebut una trucada d'un call center a l'efecte que es vacunés de la covid-19, en què se li va demanar el motiu pel qual no es volia vacunar, i se li va informar que la trucada seria gravada. L'Autoritat va tramitar un procediment sancionador contra el Departament de Salut, a qui es va amonestar per no haver complert amb el deure d'informació previst a l'art. 13 RGPD. Alhora, va arxivar la resta de fets denunciats, atès que, d'una banda, es va constatar que la trucada l'havia efectuat SEMSA, per compte del CatSalut, a qui el Departament havia encarregat efectuar aquelles trucades; i d'altra banda, es va constatar que la recollida del motiu de no voler-se vacunar (per lliure voluntat) estava emparat per la normativa sanitària aplicable.

A part de la informació que consta en els cartells informatius, la residència no posava a disposició de les persones afectades tota la informació prevista a l'article 13 RGPD.

L'Ajuntament en relació amb les càmeres de videovigilància amb fins de control del trànsit instal·lades en el municipi, no feia efectiu el dret d'informació de forma completa, ja que no posava a disposició dels afectats tota la informació que es recull a l'article 13 de l'RGPD.