Buscador de resoluciones, dictámenes e informes

Procede aplicar el principio de presunción de inocencia dado que el profesional que atendió y responder la consulta de la persona denunciando actuaba en ejercicio de sus funciones y solo trató los datos personales que el mismo denunciante le facilitó a efectos de gestionar su consulta.

Se resuelve sancionar el Ayuntamiento como responsable de tres infracciones: 1) carencia de contrato de encargado o documento equivalente, 2) carencia de información de los extremos previstos al arte. 13 RGPD, y 3) impedimento del ejercicio del derecho de supresión.

La persona denunciando se queja que la estación de ITV facilitó a un tercero la tarjeta de ITV de su vehículo. Este hecho se produjo por error humano y, además, la entidad imputada procedió a adoptar medidas para corregir la situación. A pesar de esto, la matrícula de un vehículo es dato personal y, por lo tanto, constituye una vulneración de la normativa de protección de datos.  Vulneración del principio de confidencialidad.

La persona reclamante se queja que el Ayuntamiento no le ha dado respuesta ni al derecho de acceso, ni al derecho de rectificación en relación al servicio de recogida de residuos "lleva a puerta". En cuanto al derecho de acceso, a pesar de que la persona reclamante pedía el acceso a información pública, en realidad, se refería al acceso a sus datos personales; y en cuanto al derecho de rectificación, a pesar de que inicialmente se infirió que el Ayuntamiento habría atendido el derecho ejercido por la persona reclamante, en realidad, el Ayuntamiento no rectificó el dato relativo a la dirección postal de la persona reclamante. Se estima la petición formulada por la persona reclamante en relación a ambos derechos.

El Ayuntamiento no cuenta con habilitación suficiente para instalar un sistema de videovigilancia en un espacio delimitado que forma parte de la vía pública con finalidad de controlar y, si procede, ejercer la potestad sancionadora respecto de conductas incívicas relativas al depósito de residuos en las áreas de recogida. En caso de instalarse para controlar actos vandálicos contra la seguridad pública, se podría considerar legítimo si lo lleva a cabo la policía local de acuerdo con la obtención de la previa autorización de la Dirección General de Administración de Seguridad.

Las medidas de seguridad, se tienen que determinar teniendo en cuenta los riesgos derivados de la pérdida o el acceso no autorizado a los datos (entre otros). En el presente caso, ha quedado acreditado que el responsable de tratamiento de los datos afectados, no adoptó las medidas técnicas y organizativas apropiadas para garantizar su seguridad (tendentes a evitar que a estos datos pudieran acceder personas no autorizadas).

Publicación en el Tablón de anuncios de la sede electrónica del Ayuntamiento, de un documento con datos personales de las personas ciudadanas (entre ellas, los denunciantes) que habían participado en el proceso consultivo sobre el sistema de estacionamiento regulado (zona azul) emprendido por el consistorio. En concreto, los datos personales difundidos son: nombre y apellidos, número de DNI, teléfono, dirección postal y dirección electrónica, de cada una de las personas que habían presentado alegaciones, así como su contenido y la consiguiente información personal que se derivaba.

La elección del modelo de recogida selectiva más adecuado al municipio requiere de una evaluación de impacto relativa a la protección de datos. El Ayuntamiento, en atención a las competencias que tiene atribuidas en materia de gestión de residuos, estaría legitimado para llevar a cabo los tratamientos de datos que se derivan de la implantación del sistema de recogida selectiva. Sin embargo, a falta de previsión legal específica, la elaboración de perfiles que produzcan efectos jurídicos en la persona usuaria del servicio o que le afecten significativamente de manera similar, requiere contar con el consentimiento explícito de las personas afectadas. La participación de terceros en la implementación de este sistema requiere la formalización de un contrato de encargado y, si procede, subencargado, así como, si procede, el cumplimiento de las obligaciones establecidas al respecto en la LCSP.

La persona reclamante ejerció el derecho de supresión ante el Ayuntamiento de los datos que había facilitado para el servicio de recogida de residuos "lleva a puerta". El Ayuntamiento se negó a suprimir los datos alegando que el tratamiento era necesario para cumplir una misión en interés público basado en una competencia municipal. Pero también manifestó que el único dato necesario para prestar el servicio era la dirección de la vivienda.