Buscador de resoluciones, dictámenes e informes

Se resuelve declarar que el Ayuntamiento de Sant Andreu de Llavaneres ha infringido el artículo 83.4, en relación con el artículo 35; ambos del RGPD, dado que no ha llevado a cabo la evaluación de impacto necesaria para valorar los riesgos asociados al tratamiento de datos personales llevado a cabo en el marco de la prestación del servicio de recogida de residuos "lleva a puerta".

Se resuelve amonestar el Ayuntamiento de La Garriga dado que no ha llevado a cabo la evaluación de impacto necesaria en relación con el tratamiento de datos personales que lleva a cabo en el marco de la prestación del servicio de recogida de residuos "lleva a puerta"; no tiene lo RAT actualizado; y no facilitó el derecho de información a las personas usuarias del mencionado servicio en conformidad con el artículo 11 LOPDGDD.

Se resuelve amonestar en el Ayuntamiento de Cardedeu dado que no ha realizado la evaluación de impacto de protección de datos necesaria, en relación al tratamiento de datos personales que lleva a cabo en el marco de la prestación del servicio de recogida de residuos lleva a puerta. Así mismo, también se amonesta el Ayuntamiento por no haber acreditado el cumplimiento de su deber de información, con carácter previo al momento en que las personas usuarias de este servicio facilitan sus datos personales, para obtener los elementos de contención.

La Autoridad considera que las previsiones de la normativa en materia de prevención del blanqueo de capitales y de la financiación del terrorismo sobre la realización de una evaluación de impacto en relación con determinados tratamientos de datos podrían interpretarse, para el caso de las fundaciones y asociaciones, en el sentido que solo tendrían que hacerla en el mismo momento en que, si se tercia, detecten hechos que podrían ser indicios de blanqueo de capitales o de financiación del terrorismo, atendida la obligación de informar al SEPBLAC. Esto sin perjuicio que, atendida la concurrencia de ciertas particularidades, las entidades consideren oportuno efectuarla previamente para el caso que se puedan encontrar con alguno de los supuestos de comunicación que impone el dicho normativo.

La instalación de un sistema de videovigilancia en el interior de las aulas de las guarderías municipales podría resultar proporcionada ante indicios razonables de la posible comisión de un hecho ilícito grave por parte de una persona trabajadora hacia alguno de los niños, de manera excepcional y limitada en el tiempo, y siempre que se informe en los términos del artículo 89 del LOPDGDD. El responsable pero no tendría suficiente legitimación para instalar este sistema para que los progenitores y/o tutores legales puedan visualizar en directo imágenes sobre las actividades que realizan sus hijos.

La evaluación de impacto relativa a la protección de datos vinculada a la implantación del servicio de recogida de residuos lleva a puerta se tiene que efectuar antes el inicio del tratamiento y tiene que evaluar los riesgos que el tratamiento comporta para los derechos y libertades de las personas afectadas.

El Ayuntamiento podría crear un registro de los vecinos del municipio que, dada la concurrencia de ciertas circunstancias, requerirían una rápida actuación de los efectivos de protección civil en situaciones de emergencia. La utilización de los datos del Padrón a tal efecto resultaría compatible, pero la incorporación de información relativa a la salud de las personas requeriría su consentimiento explícito.

El consentimiento no es la base jurídica que legitima el tratamiento de datos para la prestación del servicio de recogida de residuos. Este tratamiento se fundamenta en el cumplimiento de una misión en interés público o el ejercicio de poderes públicos. Por otro lado, se archiva el hecho denunciando relativo a que la lectura de los hashtags incorporados en las bolsas o cubells permitan la identificación de la persona usuaria del servicio, dado que no consta acreditado.

La comunicación de información anonimizada del Padrón municipal a una empresa pública para la elaboración de una herramienta predictiva en materia de servicios sociales no requeriría de una base jurídica que la legitimara, al no resultar de aplicación en estos casos la legislación de protección de datos. Ahora bien, es necesario velar para que el proceso de anonimización aplicado garantice que las personas físicas afectadas no podrán ser identificadas por terceros sin esfuerzos desproporcionados, así como evaluar los riesgos de una eventual reidentificación posterior de estas personas y, en su caso, adoptar las medidas adecuadas para mitigarlo.

El consentimiento del personal afectado no puede considerarse una base jurídica adecuada para la implantación de un sistema de control horario mediante reconocimiento facial como lo que se describe en la consulta. Sería necesaria la previsión de este sistema de control en una disposición legal o en un convenio colectivo aplicable, o si procede, en un pacto o acuerdo resultado de la negociación colectiva, circunstancias que no parece que concurran en el caso analizado. En cualquier caso, antes de la implantación de un sistema de este tipo, hace falta hacer una evaluación del impacto sobre la protección de datos a la vista de las circunstancias concretas en que se lleve a cabo el tratamiento para determinar la licitud y la proporcionalidad, incluida el análisis de la existencia de alternativas menos intrusivas, y establecer las garantías adecuadas.