Cercador de resolucions, dictàmens i informes

Les fotografies dels menors a què refereix la consulta han de suprimir-se un cop deixin de ser necessàries per a la finalitat educativa que motiva la seva captació. Això podria correspondre’s amb la finalització del curs escolar i, en tot cas com a màxim, amb la finalització de l’escolarització dels menors en aquests centres. Es podria conservar més enllà d’aquests terminis si s’adopten els mecanismes escaients per convertir-la en anònima o si respon a finalitats d’arxiu en interès públic, de recerca científica o històrica o finalitats estadístiques, en els termes exigits per la normativa d’aplicació. Tot i que seria possible la seva difusió posterior en la mesura que els menors afectats no siguin recognoscibles, l’interès superior del menor i l’exigència de transparència en el tractament de les dades personals de l’RGPD justificarien en aquest cas haver d’informar els seus representants legals d’aquest nou tractament, per tal que, si ho desitgen, puguin oposar-se.

En atenció a la finalitat pretesa en el present cas amb la utilització de càmeres frontals exteriors en els trens, consistent en garantir la seguretat del trànsit ferroviari i la conservació de la infraestructura, es considera que la seva utilització no hauria de comportar la captació d’imatges de persones físiques o d’altra informació que les faci identificables, per la qual cosa l’entitat hauria d’adoptar els mecanismes escaients per evitar aquesta captació en aquells espais, com les estacions i zones adjacents, en què resulti probable.

Es denunciava que la Policia de la Generalitat havia vulnerat el principi de finalitat, per haver utilitzat la informació de dos atestats policials referits a una mossa d'esquadra per incoar-li dos expedients disciplinaris. La denúncia s'arxiva, per considerar que resulta aplicable el supòsit de l'article 6.4 de l'RGPD, que permet el tractament per a una finalitat diferent de la que va justificar la recollida de les dades quan aquest nou tractament i finalitat està previst en el Dret dels estats membres (en aquest cas, a la normativa policial que regula el règim disciplinari), i es considera necessari i proporcional en una societat democràtica per salvaguardar els objectius assenyalats a l'article 23.1 de l'RGPD. En aquest cas, un objectiu important d'interès públic (art. 23.1.e RGPD) com és controlar l'actuació dels empleats públics a un codi de conducta, a fi d'assegurar un funcionament correcte de l'Administració pública i fer efectiu el dret dels ciutadans a una bona administració.

Es denunciava que un ajuntament havia comunicat il·lícitament a la Policia de la Generalitat dos atestats policials referits a una mossa d'esquadra, alhora que els havia revelat la condició de mossa d'esquadra. La denúncia s'arxiva, en considerar que les comunicacions estaven emparades per les bases jurídiques de l'article 6.1.e i c de l'RGPD, ja que l'Ajuntament va comunicar aquesta informació d’acord amb: els principis de cooperació recíproca, coordinació i col·laboració mútua entre els cossos policials; al fet que en l'àmbit de la seguretat pública ambdós cossos policials tenen l'obligació de facilitar-se mútuament la informació que sigui rellevant; que la Policia de la Generalitat és la competent en matèria de seguretat ciutadana; i que han de cooperar en el compliment del règim estatutari.

El tractament de les dades personals objecte de la consulta per a la realització per part d’una empresa externa a l’ajuntament d’un estudi sobre la bretxa digital de les persones majors de 60 anys del municipi, requerirà el previ consentiment de les persones interessades en els termes de l’article 7 de l’RGPD. Únicament es consideraria compatible amb aquest tractament posterior el tractament de les dades del padró municipal d’habitant relatives a la residència o domicili i la data de naixement de les persones interessades. Així mateix, un cop determinada la licitud del tractament i tenint en consideració el principi de minimització en quant a la informació necessària per a la finalitat pretesa, l’ajuntament hauria de formalitzar el corresponent acte jurídic d’encàrrec del tractament a l’empresa encarregada de realitzar l’estudi, d’acord amb l’article 28.3 RGPD.

L’accés per part de la Direcció General de la Policia a les dades de caràcter personal del Padró municipal d'habitants relatives a persones estrangeres que es troben en situació irregular, per a l’exercici de les seves competències en matèria de control i permanència dels estrangers a Espanya pot trobar habilitació a la Disposició Addicional setena de la LRBRL, en la redacció donada per la L.O. 14/2003, d’acord amb les condicions que s’han exposat al fonament jurídic IV d’aquest dictamen. Aquest accés s’haurà de dur a terme preferentment per via telemàtica, aplicant les mesures de seguretat exigibles d’acord amb el RGPD, i deixant constància, a la Direcció General de la Policia, de cada accés, la identificació d’usuari, data i hora en què es va realitzar, com també de les dades consultades. No resulta necessari ni justificat des del punt de vista de la normativa de protecció de dades, que l’ajuntament comuniqui d’ofici a la Direcció General de la Policia les dades de caràcter personal del Padró municipal d'habitants relatives a persones estrangeres que es troben en situació irregular.

Una persona va denunciar que, en el marc d'una assistència sanitària privada, va rebre una carta en què se li comunicava la programació d'una prova mèdica on figurava el seu número de CIP i el seu domicili, tot i no haver-los facilitat a l'entitat privada. L'Autoritat va sancionar la fundació imputada amb una multa, per haver vulnerat el principi de licitud, en haver tractat dades provinents de l'assistència pública en el marc de la prestació d'assistència privada. També es van imputar dues infraccions més: una, per vulneració del principi de limitació de la finalitat, que no es va sancionar perquè queda subsumida en la vulneració del principi de licitud; i una altra per vulneració del deure de protecció de dades des del disseny i per defecte, que tampoc es va sancionar per concurs ideal d'infraccions.

L’adreça de correu corporatiu d’un Ajuntament, atès que permet la identificació del titular del compte, és una dada de caràcter personal protegida per la normativa de protecció de dades. El tractament de dades personals que es produeixi arran de l’enviament de missatges de correu electrònic per part d’un treballador públic, en concret, la inclusió d’adreces de correu corporatives de tercers i la tramesa a un destinatari extern, pot ser lícit si concorre una base jurídica (art. 6.1 RGPD) i es dona compliment al principi de finalitat (art. 5.1.b) RGPD). Segons el sistema de responsabilitat previst a l’RGPD, la responsabilitat per les infraccions a la normativa de protecció de dades recau en els responsables del tractament, sens perjudici que se’n puguin derivar conseqüències de tipus disciplinari.