Buscador de resoluciones, dictámenes e informes

La Autoridad considera que las previsiones de la normativa en materia de prevención del blanqueo de capitales y de la financiación del terrorismo sobre la realización de una evaluación de impacto en relación con determinados tratamientos de datos podrían interpretarse, para el caso de las fundaciones y asociaciones, en el sentido que solo tendrían que hacerla en el mismo momento en que, si se tercia, detecten hechos que podrían ser indicios de blanqueo de capitales o de financiación del terrorismo, atendida la obligación de informar al SEPBLAC. Esto sin perjuicio que, atendida la concurrencia de ciertas particularidades, las entidades consideren oportuno efectuarla previamente para el caso que se puedan encontrar con alguno de los supuestos de comunicación que impone el dicho normativo.

La instalación de un sistema de videovigilancia en el interior de las aulas de las guarderías municipales podría resultar proporcionada ante indicios razonables de la posible comisión de un hecho ilícito grave por parte de una persona trabajadora hacia alguno de los niños, de manera excepcional y limitada en el tiempo, y siempre que se informe en los términos del artículo 89 del LOPDGDD. El responsable pero no tendría suficiente legitimación para instalar este sistema para que los progenitores y/o tutores legales puedan visualizar en directo imágenes sobre las actividades que realizan sus hijos.

La evaluación de impacto relativa a la protección de datos vinculada a la implantación del servicio de recogida de residuos lleva a puerta se tiene que efectuar antes el inicio del tratamiento y tiene que evaluar los riesgos que el tratamiento comporta para los derechos y libertades de las personas afectadas.

El Ayuntamiento podría crear un registro de los vecinos del municipio que, dada la concurrencia de ciertas circunstancias, requerirían una rápida actuación de los efectivos de protección civil en situaciones de emergencia. La utilización de los datos del Padrón a tal efecto resultaría compatible, pero la incorporación de información relativa a la salud de las personas requeriría su consentimiento explícito.

El consentimiento no es la base jurídica que legitima el tratamiento de datos para la prestación del servicio de recogida de residuos. Este tratamiento se fundamenta en el cumplimiento de una misión en interés público o el ejercicio de poderes públicos. Por otro lado, se archiva el hecho denunciando relativo a que la lectura de los hashtags incorporados en las bolsas o cubells permitan la identificación de la persona usuaria del servicio, dado que no consta acreditado.

La comunicación de información anonimizada del Padrón municipal a una empresa pública para la elaboración de una herramienta predictiva en materia de servicios sociales no requeriría de una base jurídica que la legitimara, al no resultar de aplicación en estos casos la legislación de protección de datos. Ahora bien, es necesario velar para que el proceso de anonimización aplicado garantice que las personas físicas afectadas no podrán ser identificadas por terceros sin esfuerzos desproporcionados, así como evaluar los riesgos de una eventual reidentificación posterior de estas personas y, en su caso, adoptar las medidas adecuadas para mitigarlo.

El acuerdo de inicio fue acusado del Departamento de Agricultura (ahora, Departamento de Acción Climática, Alimentos y Agenda Rural) dos violaciones: a) La violación del principio de legalidad por haber accedido a lo personal tiene una base legal que lo legitimó;

El consentimiento del personal afectado no puede considerarse una base jurídica adecuada para la implantación de un sistema de control horario mediante reconocimiento facial como lo que se describe en la consulta. Sería necesaria la previsión de este sistema de control en una disposición legal o en un convenio colectivo aplicable, o si procede, en un pacto o acuerdo resultado de la negociación colectiva, circunstancias que no parece que concurran en el caso analizado. En cualquier caso, antes de la implantación de un sistema de este tipo, hace falta hacer una evaluación del impacto sobre la protección de datos a la vista de las circunstancias concretas en que se lleve a cabo el tratamiento para determinar la licitud y la proporcionalidad, incluida el análisis de la existencia de alternativas menos intrusivas, y establecer las garantías adecuadas.

Se amonesta un Ayuntamiento como responsable de 4 infracciones: 1) para captar imágenes de la vía pública mediante las cámaras instaladas al exterior de la microdesechería, de manera desproporcionada (se captaba la vía pública más allá del que resulta imprescindible); 2) para utilizar las imágenes captadas con fines de seguridad para identificar la persona que no había depositado correctamente unos residuos; 3) Porque lo RAT no incluye toda la información preceptiva y contiene información inexacta; y 4) Por no informar de forma completa a las personas afectadas.

La elección del modelo de recogida selectiva más adecuado al municipio requiere de una evaluación de impacto relativa a la protección de datos. El Ayuntamiento, en atención a las competencias que tiene atribuidas en materia de gestión de residuos, estaría legitimado para llevar a cabo los tratamientos de datos que se derivan de la implantación del sistema de recogida selectiva. Sin embargo, a falta de previsión legal específica, la elaboración de perfiles que produzcan efectos jurídicos en la persona usuaria del servicio o que le afecten significativamente de manera similar, requiere contar con el consentimiento explícito de las personas afectadas. La participación de terceros en la implementación de este sistema requiere la formalización de un contrato de encargado y, si procede, subencargado, así como, si procede, el cumplimiento de las obligaciones establecidas al respecto en la LCSP.