Buscador de resoluciones, dictámenes e informes

La instalación de un sistema de videovigilancia en el interior de las aulas de las guarderías municipales podría resultar proporcionada ante indicios razonables de la posible comisión de un hecho ilícito grave por parte de una persona trabajadora hacia alguno de los niños, de manera excepcional y limitada en el tiempo, y siempre que se informe en los términos del artículo 89 del LOPDGDD. El responsable pero no tendría suficiente legitimación para instalar este sistema para que los progenitores y/o tutores legales puedan visualizar en directo imágenes sobre las actividades que realizan sus hijos.

La evaluación de impacto relativa a la protección de datos vinculada a la implantación del servicio de recogida de residuos lleva a puerta se tiene que efectuar antes el inicio del tratamiento y tiene que evaluar los riesgos que el tratamiento comporta para los derechos y libertades de las personas afectadas.

El Ayuntamiento podría crear un registro de los vecinos del municipio que, dada la concurrencia de ciertas circunstancias, requerirían una rápida actuación de los efectivos de protección civil en situaciones de emergencia. La utilización de los datos del Padrón a tal efecto resultaría compatible, pero la incorporación de información relativa a la salud de las personas requeriría su consentimiento explícito.

El consentimiento no es la base jurídica que legitima el tratamiento de datos para la prestación del servicio de recogida de residuos. Este tratamiento se fundamenta en el cumplimiento de una misión en interés público o el ejercicio de poderes públicos. Por otro lado, se archiva el hecho denunciando relativo a que la lectura de los hashtags incorporados en las bolsas o cubells permitan la identificación de la persona usuaria del servicio, dado que no consta acreditado.

La comunicación de información anonimizada del Padrón municipal a una empresa pública para la elaboración de una herramienta predictiva en materia de servicios sociales no requeriría de una base jurídica que la legitimara, al no resultar de aplicación en estos casos la legislación de protección de datos. Ahora bien, es necesario velar para que el proceso de anonimización aplicado garantice que las personas físicas afectadas no podrán ser identificadas por terceros sin esfuerzos desproporcionados, así como evaluar los riesgos de una eventual reidentificación posterior de estas personas y, en su caso, adoptar las medidas adecuadas para mitigarlo.

El acuerdo de inicio fue acusado del Departamento de Agricultura (ahora, Departamento de Acción Climática, Alimentos y Agenda Rural) dos violaciones: a) La violación del principio de legalidad por haber accedido a lo personal tiene una base legal que lo legitimó;

El consentimiento del personal afectado no puede considerarse una base jurídica adecuada para la implantación de un sistema de control horario mediante reconocimiento facial como lo que se describe en la consulta. Sería necesaria la previsión de este sistema de control en una disposición legal o en un convenio colectivo aplicable, o si procede, en un pacto o acuerdo resultado de la negociación colectiva, circunstancias que no parece que concurran en el caso analizado. En cualquier caso, antes de la implantación de un sistema de este tipo, hace falta hacer una evaluación del impacto sobre la protección de datos a la vista de las circunstancias concretas en que se lleve a cabo el tratamiento para determinar la licitud y la proporcionalidad, incluida el análisis de la existencia de alternativas menos intrusivas, y establecer las garantías adecuadas.

Se amonesta un Ayuntamiento como responsable de 4 infracciones: 1) para captar imágenes de la vía pública mediante las cámaras instaladas al exterior de la microdesechería, de manera desproporcionada (se captaba la vía pública más allá del que resulta imprescindible); 2) para utilizar las imágenes captadas con fines de seguridad para identificar la persona que no había depositado correctamente unos residuos; 3) Porque lo RAT no incluye toda la información preceptiva y contiene información inexacta; y 4) Por no informar de forma completa a las personas afectadas.

La elección del modelo de recogida selectiva más adecuado al municipio requiere de una evaluación de impacto relativa a la protección de datos. El Ayuntamiento, en atención a las competencias que tiene atribuidas en materia de gestión de residuos, estaría legitimado para llevar a cabo los tratamientos de datos que se derivan de la implantación del sistema de recogida selectiva. Sin embargo, a falta de previsión legal específica, la elaboración de perfiles que produzcan efectos jurídicos en la persona usuaria del servicio o que le afecten significativamente de manera similar, requiere contar con el consentimiento explícito de las personas afectadas. La participación de terceros en la implementación de este sistema requiere la formalización de un contrato de encargado y, si procede, subencargado, así como, si procede, el cumplimiento de las obligaciones establecidas al respecto en la LCSP.

En la recogida de los datos hay que facilitar toda la información prevista al artículo 13 del RGPD. En cumplimiento de las obligaciones de protección de datos en el diseño, el responsable del tratamiento tiene que adoptar las medidas técnicas y organizativas adecuadas para aplicar de manera efectiva los principios de protección de datos, entre los cuales el principio de confidencialidad. En el presente caso, no se garantizaba que las personas que se unieron al grupo de WhatsApp creado por el Ayuntamiento, no pudieran acceder al número de móvil, foto de perfil y nombre de usuario del resto de miembros.