Cercador de resolucions, dictàmens i informes

Un ciutadà accedeix, a través de la seva carpeta personal a la seu electrònica de l'Ajuntament, a la documentació d'una tercera persona en relació a un expedient que res té a veure amb la seva denúncia. S'imputa la vulneració del principi de confidencialitat. També consta acreditada la infracció de l'art. 25 RGPD, de mesures tècniques des del disseny i per defecte, si bé, efectuat concurs medial, només s'imputa per la infracció més greu.

S'amonesta l'Agència com a responsable d'una infracció greu per vulneració de mesures de seguretat, pel fet que el seu web principal no tenia implementat un protocol segur d'autenticació del lloc web (HTTPS).

Es resol sancionar FMB S.A degut a què la manca d'implementació de mesures tècniques i organitzatives apropiades, li ha impedit localitzar l'expedient personal de la persona que va prestar serveis a l'empresa denunciada. Aquest fet, vulnera l'article 32.1 RGPD que disposa l'obligació del responsable del tractament de garantir la disponibilitat i seguretat de les dades personals.

Es resol amonestar l'Ajuntament atès que durant un temps indeterminat que, com a mínim, comprèn els mesos de novembre de 2020 fins gener de 2021, no disposava d'un anàlisi de riscos de les dades personals que tractava, ni havia implementat totes les mesures de seguretat i tècniques, de conformitat amb l'Esquema Nacional de Seguretat, tal com exigeix l'article 32 RGPD, en relació amb la gravació de trucades telefòniques mantingudes per la policia local. D'altra banda, la difusió per part d'un agent de la Policia Local a altres agents del cos, del contingut d'una conversa telefònica que va mantenir la persona denunciant amb una treballadora del Servei d'Emergències Mèdiques, va contravenir el principi de confidencialitat.

S'arxiva la denúncia sobre com un Hospital va realitzar el trasllat de documentació d'una secció sindical a una altra sala de dins l'hospital, atès que el dit trasllat es va dur a terme sense posar en risc la protecció de les dades personals allà contingudes, i les mesures de seguretat adoptades per fer-ho eren les adequades per garantir la seva seguretat i confidencialitat.

Indra, en la seva condició de sotsencarregat del tractament, no va aplicar les mesures de seguretat de nivell bàsic exigides per SocMobilitat en el contracte d'encarregat de tractament, per garantir un nivell de seguretat adequat al risc (tendents a evitar que a aquestes dades hi poguessin accedir persones no autoritzades), atès que en configurar el portal d'accés a la T-Mobilitat no es va modificar la contrasenya que per defecte assigna el fabricant de la infraestrcutura "Liferay" a l'adminstrador, de tal manera que l'accés quedava obert, i al seu torn, accessible a tercers.

SocMobilitat (encarregat del tractament) no va determinar de manera adequada les mesures de seguretat apropiades per garantir un nivell de seguretat adequat al risc del tractament de dades encomanat a Indra (sotsencarregat del tractament) per a la implementació i gestió de la targeta T-Mobilitat, en tant que en el contracte d'encàrrec de tractament l'entitat SocMobilitat va indicar a Indra que les mesures de seguretat que havia d'implementar per a la prestació dels serveis objecte d'encàrrec eren de nivell bàsic, és a dir que va categoritzar el sistema com a bàsic, quan d'acord amb les circumstàncies concurrents en el tractament objecte d'encàrrec, el nivell bàsic no era suficient.

El responsable del tractament ha d'implementar les mesures adequades per garantir que les converses mantingudes entre el seu personal i les persones pacients, no puguin ser escoltades per terceres persones no autoritzades. És necessari efectuar una anàlisi de riscos per determinar les mesures de seguretat aplicables.

El CTTI, en la seva condició d'encarregat del tractament, no va implementar les mesures de seguretat adequades per garantir les dades personals que tractava a compte del responsable del tractament (Dept EDU). Això, va permetre que un alumne, al moment de fer una preinscripció telemàtica a una determinada formació, li apareguessin en pantalla les dades d'un tercer.