Seu Electrònica

La persona denunciant va rebre, a través de l’escola del seu fill, un formulari elaborat per l’Ajuntament per a la cessió d’imatges durant una activitat lectiva. El document no incorporava cap opció per negar el tractament ni contenia la informació exigida per l’article 13 del RGPD. Atès que la captació d’imatge constitueix un tractament de dades personals, el formulari havia de complir el deure d’informació i permetre exercir els drets corresponents. L’omissió del deure d'informar sobre el tractament constitueix una infracció de la normativa de protecció de dades.

Una residència enviava correus electrònics a l'oficina de farmàcia amb el contingut de dades personals i especialment sensibles sense utilitzar mesures adequades al risc, com podria ser el xifratge de les dades o l'encriptació dels missatges. S'imputa la manca d'adopció de mesures tècniques i organitzatives apropiades en els termes que exigeix l'article 32.1 de l'RGPD.

La persona denunciant exposa que va acudir al preoperatori acompanyat del seu pare i que una infermera va dir en veu alta, en presència d’altres persones que, consumia alcohol a diari i va detallar els seus hàbits tòxics però no constatat que s'hagi produït cap acte que pugui ser constitutiu d'alguna de les infraccions previstes a la legislació sobre protecció de dades.

Es denuncia que l'Hospital Sagrat Cor de Martorell no hauria resolt en termini la sol·licitud d'exercici del dret d'accés a dades de salut de la persona denunciant i que després de presentar aquesta sol·licitud es va produir un possible accés indegut a la seva història clínica. Ara bé, d'acord amb l'argumentació exposada per la part denunciada va resoldre i notificar la sol·licitud uns dies tard, però aquest fet no es pot considerar que es tracti d’un impediment ni obstaculització al dret d’accés. I en relació amb l'accés a la història clínica l'entitat denunciada exposa que hi va accedir per poder resoldre la sol·licitud d'exercici del dret d'accés presentada per la mateixa persona denunciant.

Una persona demana a un Departament l’accés a un llistat dels professors i professors col·laboradors amb la seva dedicació horària, d’uns cursos i períodes concrets. L’Autoritat informa que des del punt de vista de la protecció de dades no hi ha cap impediment en facilitar les dades identificatives de nom i cognoms del professorat i professorat col·laborador i del període lectiu sol·licitat, atès que es tracta d’informació vinculada a l’exercici de les seves funcions de docència i fetes publiques a la pàgina web de la universitat. Pel que fa a les dades relatives a la dedicació horària individualitzada d’aquest personal docent, en base al principi de minimització i en absència d’una base jurídica suficient que ho legitimi, com ara el consentiment de les persones afectades, una obligació legal específica o un interès públic degudament justificat, cal denegar l’accés.

La normativa de transparència no pot considerar-se una base jurídica vàlida, a l’empara de l’article 6.1.e del RGPD, per habilitar l’Administració a consultar o verificar d’ofici les titulacions acadèmiques o altres dades curriculars declarades pels càrrecs electes municipals

1. La comunicació de dades del Padró municipal d’habitants a altres administracions públiques que les requereixin per a l’exercici de les seves competències, pot incloure, amb caràcter general, el nom i els cognoms, així com el tipus i número del document identificatiu de totes les persones convivents inscrites en el domicili corresponent, en la mesura que aquestes dades són necessàries per acreditar la residència o el domicili habitual i per a la identificació unívoca dels convivents a efectes de l’exercici de les competències de l’administració actuant. 2. El volant de convivència emès per un ajuntament a petició d’un dels convivents, que ha de tenir com a base jurídica el consentiment de totes les persones empadronades o en el seu defecte l’interès legítim del sol·licitant, s’ha de limitar al nom i cognoms dels convivents amb la persona sol·licitant.

La normativa de protecció de dades no impediria l’accés de la regidora a les dades merament identificatives dels empleats i càrrecs electes que hagin participat en l'elaboració de la documentació reclamda, fins i tot, si escau, de les persones físiques membres de l’òrgan responsable del sistema intern d’informació. Ara bé, caldria excloure les dades de les persones que hagin pogut formular al·legacions al text normatiu. Pel que fa a l’accés a un expedient del sistema infern d’alertes, l’accés a les dades personals d’aquest està restringit exclusivament a les persones que ocupen o exerceixen les competències o funcions a què es refereix, l’article 32.1 de la Llei 2/2023, en els termes indicats en el fonament V d’aquest informe. Per tant, la regidora no hauria de poder accedir a aquesta tipologia d’expedients.

Des de la perspectiva de la normativa de protecció de dades, atesa la naturalesa de la informació que consta a l’expedient al qual pretén accedir el regidor de l’oposició, que inclou categories especials de dades sobre un menor en situació de risc i sobre el seu entorn familiar, no resulta justificat l’accés de manera que les persones afectades puguin ser identificades o identificables. Per tant, l’accés ha de circumscriure’s a la informació necessària per a l’exercici legítim de les funcions del regidor, especialment les de fiscalització i control de l’actuació municipal, aplicant tècniques d’anonimització o seudonimització. En el cas que ens ocupa, aquesta mesura sembla permetre conciliar el dret d’accés a la informació del regidor amb el dret a la protecció de dades de les persones afectades.

La normativa de protecció de dades no s’aplica a la informació sobre persones difuntes, excepte en els casos previstos a l’article 3 de la LOPDGDD. En el cas plantejat, no sembla que l’accés de l’Ajuntament al nom de la persona difunta i a la informació bàsica de la cerimònia permeti identificar dades de familiars o tercers, de manera que aquesta comunicació no quedaria sotmesa, en principi, a la normativa de protecció de dades. Tanmateix, si aquesta informació, sola o combinada amb altra, permet identificar persones vives, la normativa de protecció de dades sí resultaria aplicable, i en aquest cas caldria disposar del consentiment de les persones afectades. Es recomana, en tot cas, establir un mecanisme perquè els familiars o persones properes puguin oposar-se a aquesta comunicació, atesa la naturalesa del servei i el possible impacte en la privacitat del comiat.