Buscador de resoluciones, dictámenes e informes

En este Dictamen se analiza el contenido de la documentación aportada sobre un proyecto de  investigación europeo, en particular, en relación con las siguientes cuestiones: Determinación de la responsabilidad o, si procede, corresponsabilidad del tratamiento; Los flujos informativos previstos; Las transferencias internacionales de datos (TID); La seguridad; La utilización de datos anónimos o de la seudonimización. Con respecto al tratamiento de las imágenes captadas con cámaras por el Ayuntamiento, este, como responsable, tiene que disponer de base jurídica suficiente y tiene que asegurar el cumplimiento del resto de exigencias de la normativa de protección de datos. También hace falta facilitar un consentimiento informado en los términos del artículo 4.11, e informar a los afectados (art. 13 RGPD).

La transferencia internacional de datos en las oficinas exteriores de la entidad sobre la base de las cláusulas tipos de protección de datos adoptadas por la Comisión estaría legitimada por el artículo 46.2.c) del RGPD, si bien es necesario que los instrumentos en que se incorporan estas cláusulas se adecuen a la Decisión 2001/497/CE, de 15 de junio de 2001, y al RGPD.

Para la información ofrecida por las mismas empresas gestoras de las soluciones de SMI analizadas, y de los informes y estudios que se han podido consultar, se desprende que las aplicaciones analizadas cumplen ciertos aspectos de los previstos a la Resolución 280/XI del Parlament de Catalunya, si bien en algunos aspectos, como mínimo con respecto a la información que se ofrece al respecto, podría ser claramente mejorable. El análisis de los diferentes aspectos hecho respecto de las tres soluciones analizadas (Whatsapp, Telegramo y Nepcom), en el marco del análisis general que ya se había hecho en el Dictamen CNS 55/2016, puede ser un elemento a tener en cuenta a la hora de escoger una determinada aplicación por parte de las administraciones públicas catalanas. Un pronunciamiento más preciso sobre el cumplimiento o incumplimiento por parte de alguna de estas entidades, requeriría llevar a cabo un proceso de investigación o auditoría sobre estas entidades, que, en todo caso no correspondería hacer a esta Autoridad sino a la Agencia Española de Protección de Datos.

Dejando de lado las comunicaciones de datos destinados a países de la UE, así como aquellas efectuadas en Argentina e Israel, las transferencias pretendidas por la entidad sólo se podrán efectuar si se aportan garantías adecuadas sobre la protección que los datos recibirán en su destinación en los términos establecidos en el artículo 46 del RGPD, dado que no se ha declarado que los países que serán destinatarios ofrecen un nivel adecuado de protección y dado que a priori no resultaría de aplicación ninguno de los supuestos excepcionales del artículo 49.1 del RGPD. Eso, sin perjuicio del cumplimiento del resto de principios y obligaciones establecidos en materia de protección de datos.

Dejando de lado las comunicaciones de datos destinados a países de la UE, las transferencias pretendidas por la entidad sólo se podrán efectuar si se aportan garantías adecuadas sobre la protección que los datos recibirán en su destinación en los términos establecidos en el artículo 46 del RGPD, dado que no se ha declarado que los países que serán destinatarios ofrecen un nivel adecuado de protección y dado que a priori no resultaría de aplicación ninguno de los supuestos excepcionales del artículo 49.1 del RGPD. Eso, sin perjuicio del cumplimiento del resto de principios y obligaciones establecidos en materia de protección de datos.

El contrato examinado de encargo del tratamiento para la puesta en marcha de una plataforma de participación ciudadana se puede adecuar a la normativa de protección de datos si se tienen en cuenta las consideraciones hechas en el dictamen, en especial, las relativas a la necesidad de concretar las medidas de seguridad a implementar para el encargado y el destino de los datos vinculados a la prestación del servicio, así como de informar a los usuarios de los aspectos relativos al tratamiento de sus datos, sobre todo, con respecto a la publicación prevista. Corresponde al ayuntamiento velar para que las transferencias internacionales de datos que puedan tener lugar se adecuen a la normativa de protección de datos.

Teniendo en cuenta la Decisión de la Comisión de 5 de febrero de 2010, la Resolución del AEPD de 9 de mayo de 2014, así como la adhesión de Microsoft al Escudo de Privacidad, se puede considerar que el contrato de encargo del tratamiento que podría suscribir la Universidad con Microsoft en relación con los servicios "Microsoft 365" y "Microsoft Azure", seguiría en principio ajustándose a las exigencias de la normativa de protección de datos (LOPD, RLOPD y RGPD). Con respecto a las medidas de seguridad técnicas y organizativas para garantizar la seguridad de los datos, se puede considerar que las previsiones de Microsoft en relación con los servicios "Microsoft 365" y "Microsoft Azure" pueden ser, a priori, adecuadas a lo que prevé la normativa de protección de datos teniendo en cuenta que la implantación de las medidas previstas es objeto de certificación y auditoría por parte de uno tercero independiente.

Las administraciones públicas tienen que asegurarse de que los terceros prestadores de servicios y de sistemas de comunicación cumplen sus responsabilidades, ya sea como encargados del tratamiento o, si pega, como responsables del tratamiento de los datos de los usuarios (en el caso de los SMI), dado que el tratamiento se encuentra sometido a las exigencias de los principios y garantías de la normativa europea de la protección de datos (LOPD, RLOPD, y RGPD). Cuando consideren la elección de un determinado sistema de mensajería instantánea (SMI) tendrían que tener en cuenta, especialmente, la finalidad de la comunicación, la información personal que hay que tratar; el consentimiento de los afectados; el modelo de seguridad y la evaluación de impacto y las concretas medidas de seguridad aplicadas; los mecanismos de certificación; las transferencias internacionales de datos y la ubicación de los servidores; el derecho de información y la transparencia, en atención a las previsiones de la normativa europea de protección de datos.

Cuando los datos no se recogen de la persona interesada sino que las facilita una tercera persona, el cesionario no tiene la obligación de informar a las personas afectadas si la comunicación está expresamente prevista en una ley. La STJUE de 6 de octubre de 2015 ha declarado inválida la Decisión 2000/520/CE, sobre la adecuación de la protección conferida por los principios de Port Segur, para las transferencias internacionales de datos desde la Unión Europea hacia los Estados Unidos. Hasta que la Comisión Europea no apruebe la adecuación de un nuevo marco para la transferencia internacional de datos entre Europa y los Estados Unidos (EU-OS Privacy Shield), hay que estar en el resto de supuestos habilitants para las transferencias internacionales de datos.

La comunicación de datos del padrón municipal de habitantes a administraciones públicas de otros países requiere contar con el consentimiento de las personas afectadas o con una norma con rango legal que habilite la comunicación y al mismo tiempo, en caso de que el país de destino no forme parte del Espacio Económico Europeo, cumplir con el régim específico establecido en los artículos 33 y 34 del LOPD para las transferencias internacionales de datos. Se tiene que descartar la posibilidad de comunicar datos del padrón municipal de habitantes a administraciones públicas de otros estados en base a lo que establece el artículo 16.3 de la LRBRL o el artículo 21 del LOPD, dado que estas no tendrían cabida en el concepto de administración pública que establece el artículo 2 de la LRJPAC.