Buscador de resoluciones, dictámenes e informes

La Fundación podría enviar un correo electrónico informante sobre la formación que impartirá este verano a sus exalumnos sobre la base jurídica del interés legítimo, siempre que la dicha información se limite en el programa de formación examinado y se dirija exclusivamente a los exalumnos de ciclos de formación profesional de hasta 35 años, a quienes se los tendría que facilitar la opción de oponerse a recibir comunicaciones de este tipo.

La Autoridad considera que las previsiones de la normativa en materia de prevención del blanqueo de capitales y de la financiación del terrorismo sobre la realización de una evaluación de impacto en relación con determinados tratamientos de datos podrían interpretarse, para el caso de las fundaciones y asociaciones, en el sentido que solo tendrían que hacerla en el mismo momento en que, si se tercia, detecten hechos que podrían ser indicios de blanqueo de capitales o de financiación del terrorismo, atendida la obligación de informar al SEPBLAC. Esto sin perjuicio que, atendida la concurrencia de ciertas particularidades, las entidades consideren oportuno efectuarla previamente para el caso que se puedan encontrar con alguno de los supuestos de comunicación que impone el dicho normativo.

Una madre denunció que la escuela había pedido que el primer día del curso escolar 2021-2022 aportaran el certificado de vacunación de covid-19 de su hijo menor de edad (de 12 años o más); que el dedo certificado también se pedía al personal de la escuela, y que la escuela tenía acceso a la aplicación informática Traçacovid. La denuncia se archiva porque, si bien se cierto que inicialmente la escuela se lo pidió, antes de iniciar el curso escolar comunicó a las madres y padres de alumnos que no lo aportaran (en base a una modificación de última hora del Plan de actuación para el curso 2021‐2022 para centros educativos en el marco de la pandemia); por otro lado, también se archiva porque no hay constancia que la escuela hubiera recogido ningún certificado de vacunación, y que la escuela negó tanto que requiriera el certificado a su personal, como haber accedido a la Traçacovid, y tampoco constan indicios. Además de los motivos de archivo, se concluye que el tratamiento de datos de salud por parte de los centros educativos por motivo de la gestión de los casos positivos de covid-19, estaría amparada por los 6.1.e) y 9.2.g) y y) del RGPD.

Se archiva la denuncia formulada contra una Fundación asistencial, en que la persona denunciando consideraba que se habían efectuado accesos indebidos a su historia clínica compartida en Cataluña (HCCC), dado que se constató que la médico que accedió lo hizo para asistir a la persona denunciando en una prueba médica, y que la información grabada sobre el centro de acceso en realidad correspondía a la información sobre el centro donde esta médico prestaba habitualmente sus servicios, que figuraba en su perfil de usuario.

Infracción de medidas de seguridad en el marco de una auditoría interna llevada a cabo por la Fundación: 1) en el proceso de asignación de las nuevas contraseñas, no se garantizó que las credenciales estuvieran bajo el control exclusivo de los usuarios, puesto que en la primera entrada el sistema no forzaba el cambio por parte del usuario. 2) Esto comportó que tampoco se pudiera garantizar saber de forma indudable qué, quién y cuando realizó determinada actuación en el sistema informático. Esta carencia de seguridad se evidenció especialmente cuando los auditores crearon unas nuevas credenciales "ex novo" para el técnico de sistemas, y con estas nuevas credenciales accedieron a su equipo de trabajo para evitar riesgos en el sistema.

Con el fin de poder tratar los datos relativos al estado vacunal de la Covid19 de los usuarios del centro para la organización de las actividades terapéuticas grupales sobre la base de los artículos  6.1.c) y 9.2.i) del RGPD, haría falta que las autoridades competentes en materia de salud pública establezcan alguna decisión en este sentido, lo cual no consta a fecha de emisión de este dictamen.

El cruce de datos anonimizados procedentes de diferentes fuentes con el fin de desarrollar un modelo matemático para la prevención de epidemias y pandemias podría acabar identificando personas concretas, por lo cual hace falta medir, evaluar y gestionar este riesgo de reidentificación adoptando las medidas adecuadas para reducirlo.

El derecho a la protección de datos no impide entregar al comité de empresa la información sobre las retribuciones percibidas, por todos los conceptos, por los cargos señalados en su solicitud de acceso, en la medida en que, por la información de que se dispone, éstos ostentarían la condición de personal directivo de la entidad o, en todo caso, ocuparían lugares de confianza o de especial responsabilidad dentro de la organización.

S'arxiven els fets denunciats perquè la carta segellada, adreçada a la persona usuària del servei llar-residència per a persones discapacitades, es va dipositar a un lloc privat pel seu destinatari (dins la motxilla) i accessible pels seus tutors legals, malgrat la manca d'avís concret als pares de tal actuació.

La persona denunciante se quejaba porque|para que la entidad gestora de un hogar residencia para personas con discapacidad, habría recogido imágenes de su hijo sin su consentimiento. Se archiva la denuncia porque la entidad ha negado que haya recogido imágenes, y el correo electrónico genérico que la entidad envió de manera masiva no es prueba suficiente de la existencia de tratamiento.