Buscador de resoluciones, dictámenes e informes

Se resuelve amonestar la Universitat Autònoma de Barcelona dado que difundió a través de internet el listado correspondiente al "Resultado del sorteo de asignación de unidad docente hospitalaria (2022-2023)" que contendía datos personales de determinados estudiantes del grado de medicina. En concreto, su nombre, apellidos y número de identificación universitaria (en lo sucesivo, NIDO). La referida publicación permitió a terceras personas conocer el centro hospitalario asignado a cada estudiante, así como también su NIDO, a partir del cual, se puede acceder a otros datos universitarios del estudiante (como por ejemplo, resultados académicos). La referida publicación vulneró el principio de minimización de datos personales, y constituye la infracción prevista al arte. 72.1 a) LOPDGDD.

La persona reclamante se quejaba que la empresa municipal que gestiona el servicio de grúa, retirada y depósito de vehículos del Ayuntamiento había respondido de forma incumplida a su petición de ejercicio del derecho de acceso. Se estima la reclamación de tutela, dado que el Ayuntamiento (quien era el responsable del tratamiento) había facilitado de forma incumplida la información prevista a los apartados 1.º y 2.º del artículo 15 del RGPD.

Tomando en consideración las circunstancias que concurren en el caso particular, y de acuerdo con el análisis que se ha llevado a cabo, desde el punto de vista de la finalidad general de transparencia no estaría justificado el acceso a la información relativa a la antigüedad, titulación, formación y nivel de catalán de las personas ocupantes de determinados puestos de trabajo, más allá de la información relativa a la concurrencia de los requisitos mínimos exigidos para ocupar los dichos puestos de trabajo, como por ejemplo, que la persona ocupando dispone de los conocimientos de lengua catalana o la formación mínima exigida para el puesto de trabajo concreto que ocupa, de acuerdo con la relación de puestos de trabajo de la Diputación.

La persona reclamante, en calidad de titular de la potestad parental, ejerció el derecho de acceso en la documentación que había presentado su hija menor de edad, que contendía datos de terceras personas afectadas que se opusieron al tratamiento de datos derivado de la solicitud de acceso, motivo por el cual el Departamento desestimó la petición de acceso formulada por la persona reclamante. Se estima parcialmente la reclamación dado que el Departamento respondió la solicitud de forma extemporánea.

Se estima parcialmente la reclamación, dado que la Dirección General de la Policía del Departamento de Interior no dio respuesta en plazo a la solicitud de la persona reclamante, sin que proceda requerir ninguna actuación, en la medida que la DGP dio respuesta ajustada a derecho a la solicitud, a pesar de que extemporáneamente.

Se resuelve sancionar un Ayuntamiento como responsable de 2 infracciones previstas a la normativa policial (LO 7/2021), producidas con ocasión del traslado de la comisaría a nuevas dependencias municipales: 1) carencia de colocación de carteles informativos de cámaras de videovigilancia; y 2) carencia de medidas de seguridad, por el hecho de tener a la vista de todo el mundo un panel de pantallas en que se reproducían imágenes en tiempo real captadas a través de cámaras instaladas en espacios públicos.

Se resuelve sancionar el Ayuntamiento como responsable de tres infracciones: 1) carencia de contrato de encargado o documento equivalente, 2) carencia de información de los extremos previstos al arte. 13 RGPD, y 3) impedimento del ejercicio del derecho de supresión.

La dirección de correo corporativo de un Ayuntamiento, dado que permite la identificación del titular de la cuenta, es un dato de carácter personal protegida por la normativa de protección de datos. El tratamiento de datos personales que se produzca a raíz del envío de mensajes de correo electrónico por parte de un trabajador público, en concreto, la inclusión de direcciones de correo corporativas de terceros y la remisión a un destinatario externo, puede ser lícito si concurre una base jurídica (arte. 6.1 RGPD) y se da cumplimiento a primeros de finalidad (arte. 5.1.b) RGPD). Según el sistema de responsabilidad previsto a la RGPD, la responsabilidad por las infracciones a la normativa de protección de datos recae en los responsables del tratamiento, sin perjuicio que se puedan derivar consecuencias de tipo disciplinario.

Por la información de que se dispone, en el caso concreto examinado, desde el punto de vista de la normativa de protección de datos, no plantea problemas facilitar a la persona regidora el acceso al expediente del proceso de estabilización de los trabajadores municipales,  siempre que sea información estrictamente necesaria para lograr sus funciones. Ahora bien, en cuanto a los datos personales de especial protección (artículo 9 del RGPD) que puedan constar, habrá que limitar el acceso, para que no se comuniquen más datos de las estrictamente necesarias para lograr la finalidad legítima que justifica el acceso, esto es el desarrollo de las funciones que corresponden a los regidores. En cualquier caso, una vez el regidor acceda a la información municipal por razón de las funciones legalmente encomendadas, este se tiene que regir por el deber de reserva impuesto por la normativa de régimen local, por el principio de limitación de finalidad (artículo 5.1.b) RGPD) y el deber de integridad y confidencialidad (artículo 5.1.f) RGPD).

La persona reclamante pide la rectificación de los datos de salud que figuren en un informe médico, pero no aporta ninguna documentación acreditativa del error, la facultativa que elaboró el informe (y su superior) confirman que el informe es correcto, exacto y adecuado, y la Autoridad considera que la información consignada al informe no está carecida de toda lógica o sentido, ni resulta incongruente a la vista del resto de información consignada. Desestimación.