Seu Electrònica

L'entitat denunciada va vulnerar el principi d'exactitud, recollit a l'article 5 de l'RGPD, quan va comunicar les dades personals (nom i cognoms, número de DNI i adreça postal) de la persona física a qui atribuïa l'autoria d'una infracció de trànsit comesa amb un vehicle que pertanyia a l'entitat, atès que, en el moment de la comissió de la infracció aquesta persona no era qui conduïa el vehicle, ni prestava els seus serveis a l'entitat.

Es resol sancionar un ajuntament, en constatar-se que va accedir a les dades tributàries de la persona denunciant sense una base jurídica que ho justifiqués. La consulta es va produir en el context del càlcul de la tarifació social per l'escolarització del fill de la persona amb qui convivia únicament a efectes de compartir les despeses pròpies d'un domicili, sense mantenir-hi cap altre tipus de relació. Tot i haver verificat prèviament que el denunciant no formava part de la unitat familiar, l'ajuntament va consultar-ne la informació fiscal per calcular el preu d'escolarització del fill de la persona amb la qual convivia. A més, va facilitar a la persona sol·licitant de l'escolarització un adjunt que contenia el detall de la renda del denunciant.

El denunciant es queixava del fet que una supervisora de l'hospital on treballa com a infermer havia enviat un missatge de feina al seu correu particular, tot i que havia sol·licitat la supressió del correu particular i s'havia estimat. També es queixava del fet que se li requeria la seva adreça electrònica particular per desbloquejar la contrasenya d'accés al sistema d'informació. La denúncia s'arxiva per considerar que l'error que va cometre la supervisora va venir condicionat pel fet que, després de demanar-ne la supressió, el denunciant va enviar un correu laboral a la supervisora des del seu correu particular. Això va provocar que l'adreça s’emmagatzemés a la memòria cau de l'aplicació de correu. També, per considerar que a la sol·licitud de supressió no s'havia referit a l'aplicació de correu, i que l'emmagatzematge estaria emparat per l'interès legítim que l'hospital té per a la consecució del treball. També s'arxiva el fet denunciat referit a l'ús del correu privat per desbloquejar la contrasenya, per considerar que se'n fa un ús proporcionat i que també hi concorre l'interès legítim de l'hospital. No hi ha constància que, després de l'estimació de la supressió, l'hospital hagi tractat el correu particular del denunciant per desbloquejar la seva contrasenya.

El denunciant es queixava que, per recuperar la contrasenya del seu compte de correu electrònic, l'entitat n’hi facilitava una de nova, via telefònica, sense necessitat d'haver-se d'identificar. Tanmateix, aquests fets no s'han acreditat, per la qual cosa s'arxiven les actuacions. Altrament, l'entitat ha posat de manifest que, en el moment de la denúncia, utilitzava un sistema de recuperació de contrasenya diferent del que utilitza en l'actualitat i ha detallat el funcionament de cadascun d'ells. Es considera que tant el sistema anterior com l'actual són conformes als requisits de seguretat bàsics i no comporten un risc significatiu per a la privadesa de les persones usuàries del seu servei de correu electrònic.

Es resol sancionar l'empresa Clece Seguridad SAU atès que, com a encarregada del tractament de dades per compte del Departament de Justícia, Drets i Memòria, no va adoptar les mesures tècniques i organitzatives necessàries per preservar la seguretat de la informació. A més, quan va ser víctima d'un robatori a l'interior d'una de les seves furgonetes, no va notificar la violació de seguretat l'Autoritat.

La persona reclamant vol conèixer la identitat dels professionals que van accedir a la seva història clínica. Durant la tramitació de la reclamació, vist el resultat del test de sospesament i d'acord amb l'article 15 de l'RGPD, en connexió amb l'article 6.1.f de l'RGPD, amb la disposició addicional desena de l'LOPDGDD i amb la normativa sanitària esmentada en aquesta resolució, s’estima la reclamació.

Durant el Ple municipal de Badalona de 01/07/2024, l'alcalde va llegir textualment un informe amb dades mèdiques d'una persona que havia estat pacient de l'hospital municipal (BSA Badalona Serveis Assistencials) i, que, posteriorment va morir. BSA va facilitar aquest informe a l'alcalde, en qualitat de president del Consell d'Administració de l'entitat, quan l'antic pacient ja havia mort. S'arxiven els fets pel que fa al tractament que és atribuïble a ambdues entitats, en dues resolucions independents, perquè, des del punt de vista de la normativa de protecció de dades, els tractaments de dades d'una persona difunta no constitueixen una infracció. Pel que fa a possibles accessos indeguts per part de BSA, no s'ha constatat que s'haguessin produït.

Durant el Ple municipal de Badalona de 01/07/2024, l'alcalde va llegir textualment un informe amb dades mèdiques d'una persona que havia estat pacient de l'hospital municipal (BSA Badalona Serveis Assistencials) i, que, posteriorment va morir. BSA va facilitar aquest informe a l'alcalde, en qualitat de president del Consell d'Administració de l'entitat, quan l'antic pacient ja havia mort. S'arxiven els fets pel que fa al tractament que és atribuïble a ambdues entitats, en dues resolucions independents, perquè, des del punt de vista de la normativa de protecció de dades, els tractaments de dades d'una persona difunta no constitueixen una infracció. Pel que fa a possibles accessos indeguts per part de BSA, no s'ha constatat que s'haguessin produït.

La decisió sobre la utilització d’eines de control parental correspon als progenitors o tutors dels menors, ateses les obligacions que es deriven de l’exercici de la potestat parental. Això, sens perjudici que en casos concrets l’accés per part dels progenitors a informació sobre el menor pot veure’s limitat per l’interès superior del menor. En l’entorn escolar no sembla que pugui considerar-se proporcional la captació d’imatges i/o sons de forma generalitzada, atesa l’afectació pels drets de terceres persones, a menys que concorri una base jurídica suficient (art. 6.1.f) RGPD). En l’àmbit sanitari, la finalitat de tenir constància de la identitat dels professionals sanitaris que atenen el menor, es pot aconseguir amb vies menys intrusives (art. 5.1.c) RGPD). En cas que la finalitat pugui ser una altra (posar de manifest un tractament inadequat envers el menor, etc), podria concórrer en determinats casos una base jurídica suficient (art. 6.1.f) RGPD).