Buscador de resoluciones, dictámenes e informes

Se resuelve declarar que el Ayuntamiento de Sant Andreu de Llavaneres ha infringido el artículo 83.4, en relación con el artículo 35; ambos del RGPD, dado que no ha llevado a cabo la evaluación de impacto necesaria para valorar los riesgos asociados al tratamiento de datos personales llevado a cabo en el marco de la prestación del servicio de recogida de residuos "lleva a puerta".

Se resuelve amonestar el Ayuntamiento de La Garriga dado que no ha llevado a cabo la evaluación de impacto necesaria en relación con el tratamiento de datos personales que lleva a cabo en el marco de la prestación del servicio de recogida de residuos "lleva a puerta"; no tiene lo RAT actualizado; y no facilitó el derecho de información a las personas usuarias del mencionado servicio en conformidad con el artículo 11 LOPDGDD.

Procede el archivo de los hechos dado que, por un lado, el acceso al HC3 de las personas usuarias del sistema de salud público catalán solo se puede llevar a cabo por parte de personas que dispongan de un número de colegiación, excluyendo por lo tanto el personal auxiliar administrativo. Al respeto, por el que hace el acceso a la historia clínica, la normativa sanitaria habilita el acceso al personal auxiliar administrativo cuando este se lleve a cabo en el ejercicio de sus funciones. Así mismo, también se archiva el hecho relativo al uso de herramientas de comunicación interna como por ejemplo el whatsapp dado que no ha quedado probado que el personal del HUVH emplee la mencionada aplicación como herramienta de trabajo. Al hilo del anterior, tampoco ha quedado probado que el RAT sea inadecuado dado que el HUVH ha aportado el mencionado documento elaborado por el ICS, así como un documento intitulado "SubRAT" que se actualiza anualmente y que contiene los tratamientos de datos personales que lleva a cabo el hospital. En este sentido, la Autoridad también considera que la AIPD elaborada, en relación con el tratamiento de datos personales vinculado al SAP, recoge los extremos previstos en el artículo 35 RGPD. En último término, se archiva el hecho denunciado relativo a la carencia de formación del personal del HUVH, en la medida en que la entidad ha acreditado ofrecer cursos en materia de privacidad regularmente al sedes trabajadores.

Se resuelve amonestar en el Ayuntamiento de Cardedeu dado que no ha realizado la evaluación de impacto de protección de datos necesaria, en relación al tratamiento de datos personales que lleva a cabo en el marco de la prestación del servicio de recogida de residuos lleva a puerta. Así mismo, también se amonesta el Ayuntamiento por no haber acreditado el cumplimiento de su deber de información, con carácter previo al momento en que las personas usuarias de este servicio facilitan sus datos personales, para obtener los elementos de contención.

Un ciudadano accede, a través de su carpeta personal a la sede electrónica del Ayuntamiento, a la documentación de una tercera persona en relación a un expediente que nada tiene que ver con su denuncia. Se imputa la vulneración del principio de confidencialidad. También consta acreditada la infracción del arte. 25 RGPD, de medidas técnicas desde el diseño y por defecto, si bien, efectuado concurso medial, solo se imputa por la infracción más grave.

La Autoridad considera que las previsiones de la normativa en materia de prevención del blanqueo de capitales y de la financiación del terrorismo sobre la realización de una evaluación de impacto en relación con determinados tratamientos de datos podrían interpretarse, para el caso de las fundaciones y asociaciones, en el sentido que solo tendrían que hacerla en el mismo momento en que, si se tercia, detecten hechos que podrían ser indicios de blanqueo de capitales o de financiación del terrorismo, atendida la obligación de informar al SEPBLAC. Esto sin perjuicio que, atendida la concurrencia de ciertas particularidades, las entidades consideren oportuno efectuarla previamente para el caso que se puedan encontrar con alguno de los supuestos de comunicación que impone el dicho normativo.

La instalación de un sistema de videovigilancia en el interior de las aulas de las guarderías municipales podría resultar proporcionada ante indicios razonables de la posible comisión de un hecho ilícito grave por parte de una persona trabajadora hacia alguno de los niños, de manera excepcional y limitada en el tiempo, y siempre que se informe en los términos del artículo 89 del LOPDGDD. El responsable pero no tendría suficiente legitimación para instalar este sistema para que los progenitores y/o tutores legales puedan visualizar en directo imágenes sobre las actividades que realizan sus hijos.

La evaluación de impacto relativa a la protección de datos vinculada a la implantación del servicio de recogida de residuos lleva a puerta se tiene que efectuar antes el inicio del tratamiento y tiene que evaluar los riesgos que el tratamiento comporta para los derechos y libertades de las personas afectadas.

El Ayuntamiento podría crear un registro de los vecinos del municipio que, dada la concurrencia de ciertas circunstancias, requerirían una rápida actuación de los efectivos de protección civil en situaciones de emergencia. La utilización de los datos del Padrón a tal efecto resultaría compatible, pero la incorporación de información relativa a la salud de las personas requeriría su consentimiento explícito.

El consentimiento no es la base jurídica que legitima el tratamiento de datos para la prestación del servicio de recogida de residuos. Este tratamiento se fundamenta en el cumplimiento de una misión en interés público o el ejercicio de poderes públicos. Por otro lado, se archiva el hecho denunciando relativo a que la lectura de los hashtags incorporados en las bolsas o cubells permitan la identificación de la persona usuaria del servicio, dado que no consta acreditado.