Cercador de resolucions, dictàmens i informes

La persona denunciant exposava que el Servei d'Ocupació de Catalunya (SOC) havia enviat la resposta a un correu electrònic seu, que contenia dades personals, amb còpia a 12 adreces electròniques corporatives. El SOC ha acreditat que, d'acord amb l'art. 6.1.e de l'RGPD, la informació que van rebre era necessària per complir una missió realitzada en interès públic o en exercici de poders públics. Els treballadors que van rebre el correu necessitaven conèixer aquesta informació per dur a terme les seves funcions.

L'Ajuntament de Barcelona ha argumentat abastament que els agents de la policia local que es van presentar al lloc dels fets i van consultar bases de dades d'altres administracions públiques, van dur a terme aquesta actuació en l'exercici de les seves funcions d'investigació d'infraccions. En concret, per verificar la identitat d'una persona que era als llocs dels fets i que podia tenir relació amb la infracció.
Es conclou que els accessos denunciats, duts a terme en el marc de dues identificacions policials, es van efectuar per complir una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable del tractament (art. 6.1.e RGPD), en connexió amb l'habilitació de la LOPSC

La persona denunciant es queixava que havia rebut una alerta d'emergències al seu telèfon mòbil, sense haver donat consentiment per rebre aquesta mena d'avisos. La denúncia s'arxiva, perquè la Directiva (UE) 2018/1972 del Parlament Europeu i del Consell, d'11 de desembre de 2018, per la qual s'estableix el codi europeu de les comunicacions electròniques, imposa a tots els països membres l'obligació de disposar de sistemes d'alerta per telefonia mòbil a partir del 21/06/2022.

La denunciant es queixava que la policia local li va trucar per comunicar-li la detenció d'un familiar menor d'edat i, també, de l'obtenció de les seves dades personals (nom, cognoms i telèfon). S'arxiva la queixa, perquè la policia local disposava de base jurídica que l'habilitava per consultar el padró d'habitants i les bases de dades policials per a aquesta actuació, ja que la finalitat era complir l'obligació legal de comunicar la detenció i lloc de custòdia del menor al seu representant legal. En aquest cas, la representant legal no responia el telèfon, per la qual cosa es va contactar amb el familiar més proper perquè comuniqués al representant legal que s'havia de posar en contacte amb la comissaria.

En aquest informe s’analitzen diverses qüestions relatives a l’aplicació de la normativa a l’accés a informació personal de persones que van ser ateses a les institucions referides (cases de maternitat). Això, en atenció als terminis de temps transcorreguts, el tipus d’informació i els drets afectats, tenint en compte la legislació d’arxius. També es recorda que el responsable de l’arxiu, tenint en compte el principi de responsabilitat proactiva, ha de comprovar, ja sigui a partir de documentació aportada pels propis sol·licitants, ja sigui per documentació o per altra informació complementària de què pugui disposar, que queda acreditada la data de la mort o, al menys, que es pot deduir de forma suficient que la informació sol·licitada ja no es refereix a una persona viva. En relació amb l’exercici del dret instrumental de l’article 3.1 LOPDGDD, si la vinculació de parentiu o de fet o la condició d’hereu, que es pugui considerar així en atenció a la normativa aplicable, s’acredita documentalment, aquestes persones haurien de tenir, en principi, accés a la informació.

Es resol que l'Ajuntament ha vulnerat el principi de licitud, atès que una treballadora de l'entitat va facilitar les seves claus personals d'accés a diferents aplicacions a una tercera treballadora, que es va incorporar a l'Ajuntament i que necessitava accedir als programes per exercir les seves funcions. Aquest tractament és il·lícit, atès que no hi havia cap base jurídica que legitimés que una treballadora fes ús de l'usuari i contrasenya d’una altra.

Resum: La persona denunciant era agent de la Policia Local (PL) i es queixava de l'actuació del cap i altres membres de la PL per haver difós que se li havia retirat l'arma reglamentària, a causa d'unes diligències policials de la PG-ME. La difusió es va fer mitjançant correus electrònics i altres canals de comunicació interns.
Es declara que l'ajuntament ha comès una infracció greu per no haver adoptat mesures de seguretat (art. 83.4.a, en relació amb l’art. 25, tots dos de l'RGPD), pel fet d'haver creat un repositori electrònic en el qual emmagatzemava tots els informes policials que emetia, sense establir-hi cap restricció en l'accés.
D'altra banda, en l'acord d'iniciació es van arxivar la resta de fets denunciats referits a la difusió d'aquesta informació, per diversos motius: 1) D'acord amb l'LO 7/2021, la difusió era necessària per fer efectiva la mesura cautelar de retirada de l'arma i la va efectuar una autoritat competent en l'exercici de les seves funcions, o bé era necessària per adoptar i/o mantenir les mesures de seguretat adoptades posteriorment, per evitar el risc d'atemptar contra la integritat física d'una persona; 2) D'acord amb l'RGPD, era necessari per complir les funcions de responsabilitat de la persona destinatària, o bé per organitzar el servei correctament.

Un Consorci formula una consulta sobre la licitud de facilitar la dada de telèfon fix de les persones objecte d’un estudi sobre la bretxa digital a l’empresa encarregada del tractament.

D’acord amb la normativa de protecció de dades el Consorci podrà facilitar a l’empresa externa la dada de telèfon fix per a la realització d’un estudi sobre la bretxa digital de (...) persones majors de 65 anys empadronades a (...), sempre que aquesta finalitat sigui compatible amb la finalitat o finalitats inicials que van justificar el tractament d’aquesta dada o la seva publicació en un fons d’accés públic. 

En cas que les finalitats no siguin compatibles caldrà el previ consentiment de les persones interessades en els termes de l’article 7 de l’RGPD.

La història clínica de la fundació denunciada està configurada de manera que, des del disseny i per defecte, els metges propis i externs de la fundació poden accedir-hi, a través dels sistemes d'informació de la fundació. Aquest fet va provocar que un metge extern que va atendre la persona denunciant en el marc d'una assistència sanitària privada accedís a la seva història clínica, sense el seu consentiment explícit ni cap altra base jurídica que legitimés aquest tractament. En aquest cas, no s'imputa la vulneració del deure de la protecció de dades des del disseny i per defecte, atès que hi ha un concurs ideal d'infraccions i només s'imputa la infracció més greu; és a dir, la vulneració del principi de licitud (qualificada com a molt greu). Tampoc s'imputa la vulneració del principi de limitació de la finalitat, perquè queda subsumida en la infracció relativa al principi de licitud.

L'Ajuntament justifica que va accedir al registre ANICOM per obtenir la dada del domicili de la denunciant en compliment del deure de col·laboració entre administracions, a requeriment del Ministeri d'Inclusió, Seguretat Social i Migracions, en el marc de l'atorgament d'un ajut, amb la finalitat de verificar l'existència del domicili i de les persones que hi conviuen.