Sede Electrónica

Les mesures de seguretat comporten que el responsable de tractament hagi de mantenir els seus equips i sistemes degudament actualitzats. Cada actualització aborda vulnerabilitats i debilitats que podrien ser explotades per atacants maliciosos, protegint així la informació confidencial, les dades personals i evitant possibles atacs cibernètics. En el cas que ens ocupa, abans que es produís el ciberatac, no es disposava de les mesures de seguretat adequades, cosa que va propiciar el ciberatac que va afectar aproximadament a 2000 persones.

La persona reclamant va sol·licitar la identitat dels professionals que van accedir a la seva història clínica en tres dates i centres concrets. Malgrat les terceres persones afectades s'hagin oposat a que es faciliti la seva identitat, l'Autoritat considera que preval el dret d'accés exercit per la persona reclamant.

Es declara que l'ICS ha vulnerat el principi de minimització, atès que en el marc d'un procediment de contractació pública va publicar noms, cognoms i números de DNI complets.

En el procediment de l’alta d’una treballadora social a l’aplicació DIBA-Hestia, el cap de l’Àrea de Desenvolupament Social i Econòmic va tramitar l’alta i va ser qui li va comunicar a la persona denunciant l’usuari i contrasenya per realitzar el primer accés a la plataforma.

El pare d'una menor d'edat denuncia que s'ha vulnerat el dret d'accés respecte dades de la seva filla, perquè l'escola li ha denegat l'elaboració d'un informe que transcrivís literalment les manifestacions de la menor en el transcurs d'una entrevista mantinguda amb la seva tutora. Es resol arxivar la denúncia, atès que aquesta petició no té encaix en el dret d’accés que garanteix l’article 15 de l’RGPD, ja que aquest precepte no empara el dret a obtenir informes que s’hagin d’elaborar expressament per atendre la petició i, a més, l'escola ja havia facilitat prèviament dos informes sobre la situació emocional i acadèmica de la seva filla.

La professora d’un CFGS va remetre les notes del curs per correu electrònic en un document que incloïa noms, cognoms i el DNI complet de tots els alumnes. Existien alternatives menys intrusives com l’ús del codi identificador o l’ocultació parcial de dades, de manera que l’enviament vulnera el principi de confidencialitat.

La denunciant va rebre un correu de l’Institut Jaume I de Salou demanant una fotocòpia del DNI del seu fill sense informar de la finalitat del tractament. Tot i negar-se a enviar-la, el centre la va obtenir directament del menor sense facilitar-li la informació prevista a l’article 13 RGPD. El formulari aportat per l’Institut no compleix les exigències del deure d’informació i, a més, no s’ha acreditat que la informació es facilités en el moment de recollir la dada.

La publicació del número de DNI complet associat a cada professional no és necessari per la finalitat pretesa de transparència.

Es declara que s'ha vulnerat el principi de licitud, atès que un centre educatiu va publicar en obert al seu compte d'Instagram imatges dels professors i col·laboradors sense comptar amb el seu consentiment ni amb cap altra base jurídica que legitimés aquest tractament de dades, durant els cursos 2022-2023 i 2023-2024.

Es sanciona a la Fundació Pere Tarrés per no haver adoptat les mesures i va posar a disposició de les famílies un formulari de preinscripció que per a poder-lo finalitzar condicionava l'acceptació de les condicions del servei a l'acceptació de la cessió i publicació d'imatges.