Seu Electrònica

L’Ajuntament d’Abrera va captar imatges de persones participants i premiades en el VII Concurs de poesia i relats curts de la gent gran, celebrats durant la jornada de Sant Jordi, i posteriorment les va publicar per difondre l’esdeveniment cultural sense un consentiment vàlid de les persones afectades. Es declara la infracció tipificada a l’article 83.5.a, en relació amb l’article 6, ambdós de l’RGPD, atès que la participació al concurs estava condicionada a la cessió de la imatge dels participants.

La base jurídica de l’article 6.1.f) RGPD habilitaria el traspàs i incorporació dels fons privats objecte de consulta en arxius públics sense haver de disposar del consentiment de les persones afectades, sempre que l’exercici de ponderació necessari permeti constatar que no es produirà un impacte negatiu en els drets i llibertats de les persones afectades, i que s’apliquin garanties adequades al tractament de la informació personal. Això, sens perjudici de la possibilitat d’aplicar el mecanisme d’integració dels fons documentals de l’article 19.2.e) de la LPCC, o de l’aplicació de la base jurídica de l’article 6.1.a) RGPD, en relació amb aquells fons documentals en què sigui viable disposar del consentiment de les persones afectades.

L’obligació de l’Administració d’efectuar l’avís de posada a disposició d’una notificació resta condicionada sempre al fet que la persona interessada hagi comunicat un dispositiu electrònic i/o una adreça de correu electrònic amb aquesta finalitat. Quan la persona interessada comunica que les notificacions successives deixin de practicar-se per mitjans electrònics i passin a efectuar-se en paper, l’Administració ha d’adoptar les mesures escaients per garantir que les dades de contacte inicialment facilitades no s’empraran per efectuar l’avís vinculat a la notificació electrònica complementària de l’article 42.1 de l’LPAC, tret que la persona interessada així ho hagi indicat.

Es resol declarar que la UAB ha infringit l'article 25 de l'RGPD, atès que al mes de febrer de 2025 permetia que les persones de la seva organització poguessin descarregar i emprar una eina d'intel·ligència artificial per gravar i reproduir reunions virtuals. També es declara la infracció de l'article 5.1.a RGPD atès que, a través de la intel·ligència artificial, es recollien dades personals sense disposar d'una base jurídica legitimadora.

És sanciona el centre de dia, per la presumpta comissió de tres infraccions tipificades a l'article 83.5 a, en relació amb els articles 5.1 a i d, tots ells de l'RGPD, atès que el centre va publicar imatges dels seus treballadors sense consentiment vàlid, va enviar fotografies per correu electrònic sense una base de licitud que ho justifiqués, i va enviar un correu electrònic amb dades inexactes. Pagament avançat i reconeixement de responsabilitat.

El tractament de les dades personals mínimes necessàries per efectuar la pràctica d’un avís d’arribada d’una notificació tributària es trobaria emparat per la base jurídica de l’article 6.1.c) de l’RGPD, en atenció a les previsions establertes tant en la legislació tributària com en la normativa reguladora dels serveis postals al respecte. Des de la vessant de la protecció de dades personals, l’ús d’una bústia comunitària com a sistema per dipositar l’avís d’arribada implicaria que terceres persones poguessin accedir a aquestes dades de la persona que n’és destinatària, per la qual cosa aquest tractament requeriria comptar amb el consentiment. Tot això, sense que correspongui, en la present consulta, valorar la validesa administrativa de les notificacions practicades en les bústies comunitàries no compartimentades, d'acord amb altres normes sectorials aplicables.

A la fotografia, publicada sense consentiment, hi apareix la imatge d'un menor d'edat per publicitat d'un espectacle infantil. Infracció tipificada a l’article 83.5.a, en relació amb l’article 5.1.a de l'RGPD.

El denunciant va exposar que havia detectat accessos indeguts a la seva història clínica, sense la seva autorització. Tot i que l'ICS va al·legar que hi havia consentiment verbal, això no s'ha pogut demostrar ni se n'ha aportat cap prova. De conformitat amb el principi de responsabilitat proactiva (art. 5.2 RGPD) i l'article 7.1 de l’RGPD, correspon al responsable del tractament acreditar que s’ha atorgat el consentiment. Per això, es declara la vulneració del principi de confidencialitat, ja que l'accés es va produir sense consentiment i per part d'un professional que no mantenia cap relació assistencial amb el denunciant.

En el marc de l'assistència sanitària pública, l'hospital d'una fundació privada va proporcionar a 252 pacients uns dispositius per al seguiment i control dels nivells de glucosa, que comportaven la recollida de dades per part del laboratori privat que proporcionava els dispositius i l'aplicació de suport. El laboratori va recollir nombroses dades per a finalitats assistencials, comercials i de promoció i millora dels seus productes, així com d'investigació i estadístiques, sense informar-ne prèviament els pacients. A més, en el full de consentiment informat, es va supeditar l'accés al servei públic a l'acceptació del tractament de dades per a finalitats comercials. I en el contracte d'encarregat subscrit amb la fundació només s'assenyalava que el laboratori es limitaria a recollir les dades necessàries per a enviar els dispositius als usuaris. D'altra banda, el denunciant va sol·licitar l'accés a informació sobre les finalitats dels tractaments duts a terme pel laboratori privat, però la fundació es va limitar a reenviar la seva sol·licitud al laboratori, el qual no va donar-hi resposta satisfactòria. L'Autoritat va imposar una multa a la fundació per la comissió de 4 infraccions: 1) Infracció molt greu per vulneració del principi de lleialtat i transparència, i infracció molt greu per proporcionar informació parcial i errònia. 2) Infracció molt greu per manca de licitud o tractament il·legítim. 3) Infracció greu per manca de contracte d'encarregat. 4) infracció molt greu per manca d'atenció al dret d'accés.

Dins un procediment de liquidació de preus públics, l'ajuntament va consultar les dades fiscals sense el consentiment de la persona denunciant, atès que considerava que formava part de la unitat familiar d'una tercera persona. Es resol sancionar l'ajuntament ates que no disposava d'una base de licitud que ho justifiqués.