Nº de Registros encontrados: 114

Mostrando del 16 al 30

En los campos marcados con O puedes introducir varios elementos separados por comas.

Posicionándonos sobre el campo se ofrece ayuda para su implementación.

Fecha desde
Fecha Tipológia Ley Art Párrafo Resumen Sentido Ámbito Órgano Ficha
RPS-2023/002 23/01/2023
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se trata de una reclamación contra la Escuela de Arte de Sevilla (Consejería de Educación y Desarrollo Educativo) en relación con la divulgación de un documento entre todos los profesores del claustro que la persona reclamante había enviado para realizar observaciones a un acta. En dicho documento se incluían datos personales de la misma como el domicilio. Aunque el centro argumenta la seguridad del sistema de mensajería utilizado (Séneca), desde el Consejo se hace mención a que no se pone en duda dicha seguridad, sino el contenido que puedan o no incluir los documentos que se remitan a partir de él.
Se considera que no se disponía de medidas adecuadas para que el personal conociera cómo debía remitirse la documentación (ocultando datos no necesarios) y se dicta el APERCIBIMIENTO por vulneración del artículo 31.2 del RGPD, en relación con la inexistencia de las mencionadas medidas. No se incluyen en la resolución otras medidas a llevar a cabo por parte del centro, dado que en transcurso del procedimiento, la Escuela implanta medidas específicas para indicar cómo han de remitirse los documentos, si bien al detectarse una falta de actualización en el inventario de actividades de tratamiento, se insta a la Consejería a realizar dicha actualización.
APERCIBIMIENTO JUNTA DE ANDALUCÍA ESCUELA DE ARTE DE SEVILLA (CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL) Ver
RED-2023/001 12/01/2023
  • EJERCICIO DE DERECHOS
  • RGPD
  • 15
  • Derecho de acceso
Reclamación por respuesta inadecuada al EJERCICIO DE DERECHO de acceso ejercitado por la persona reclamante por parte de la Delegación Territorial de Desarrollo Educativo y Formación Profesional y de Universidad, Investigación e Innovación ya que en la respuesta se hacía referencia, fundamentalmente, a cuestiones relativas a otro expediente de reclamación por un presunto tratamiento inadecuado de datos personales. Según informó la propia persona reclamante, posteriormente, el órgano reclamado le remitió nueva respuesta pero en la misma no daba respuesta concreta respecto a los datos personales concernientes a la persona reclamante que eran objeto de tratamiento. Por ello, se ESTIMA la reclamación contra el responsable del tratamiento, la Delegación Territorial de Desarrollo Educativo y Formación Profesional y de Universidad, Investigación e Innovación (Consejería de Desarrollo Educativo y Formación Profesional), instándole a ofrecer la adecuada respuesta al derecho de acceso ejercicio por la persona reclamante ESTIMADA JUNTA DE ANDALUCÍA CONSEJERÍA DE EDUCACIÓN Y DEPORTE Ver
RPS-2023/001 10/01/2023
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 6
  • Licitud del tratamiento
El reclamante denuncia que por parte del Ayuntamiento de Jerez le han sido facilitados datos relativos a una deuda correspondiente a su mujer (con la que está casado en régimen de separación de bienes) y que le fue iniciado un procedimiento de embargo de su pensión como consecuencia de dicha deuda. La esposa denuncia unos hechos similares y su reclamación se incorpora al procedimiento.
El Ayuntamiento alega la presunción de ganancialidad que establece el artículo 1361 del Código Civil, a los efectos de imputar la deuda al reclamante. Se considera desde el Consejo que existen medios a disposición del Ayuntamiento (como, por ejemplo la consulta del Registro Civil) para conocer el régimen matrimonial de una pareja y que el principio de responsabilidad proactiva obliga a tomar medidas para garantizar el cumplimiento de la normativa de protección de datos; si no se realiza así, el comportamiento del ayuntamiento en estos casos es un factor de riesgo dicho cumplimiento y facilitaría la inadecuada comunicación de datos personales.
El Ayuntamiento, en cuanto tuvo conocimiento del régimen de separación de bienes, canceló el embargo, y además, estableció un protocolo de actuación para evitar que se produzcan situaciones similares. El procedimiento concluye con un APERCIBIMIENTO por falta de legitimidad en las operaciones de tratamiento realizadas, aunque no se proponen medidas adicionales, por ya haberlas puesta en marcha el órgano incoado.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE JEREZ DE LA FRONTERA Ver
RPS-35/2022 28/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama que el Comité de Empresa de la Agencia Andaluza del Conocimiento ha enviado un correo dirigido a un grupo de sus trabajadores, incluyendo como documento adjunto una tabla con indicación detallada del salario de cada trabajador, junto con sus nombres y apellidos.
Se requirió al órgano reclamado para que aportara Información sobre las medidas de seguridad, normas, procedimientos o reglas implementadas por el comité de empresa, sobre los protocolos o las instrucciones impartidas en relación con la publicación de datos personales o evidencias sobre el conocimiento por parte de los miembros del comité sobre las condiciones y limitaciones a que está sometido el acceso a datos personales, así como detalle de las medidas adoptadas para evitar posibles incidencias similares en el futuro. En este aspecto, no se acreditó la existencia de la implantación de medidas previas a los efectos de evitar la comunicación de datos efectuada, si bien quedaron acreditadas las actuaciones realizadas a posteriori.
Por ello, se dirige un APERCIBIMIENTO al Comité de Empresa de la Agencia Andaluza del Conocimiento, por infracción del artículo 32.1 RGPD, tipificada en el artículo 83.4.a) RGPD, sin imposición de medidas adicionales, por ya haberlas puesto en marcha el mencionado Comité de Empresa.
APERCIBIMIENTO JUNTA DE ANDALUCÍA AGENCIA ANDALUZA DEL CONOCIMIENTO Ver
RPS-36/2022 28/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 13
  • Vulneración en relación “la información que deberá facilitarse cuando los datos personales se obtengan del interesado"
Se reclama la publicación por parte del Ayuntamiento de Ubrique en Facebook de datos personales de menores sin previa autorización ni comunicación.
El Ayuntamiento alega que es Facebook el que trata los datos y que por tanto, no cabe imputar las responsabilidades del art. 13 del RGPD al Ayuntamiento sino a la citada red social. Asimismo, afirma que el órgano reclamado decidió tomar como soporte del concurso de dibujos a la Red Social Facebook precisamente para evitar ningún tipo de operación con los datos personales de quienes participasen.
Sin embargo, entiende este Consejo que el Ayuntamiento de Ubrique es quien organizó el concurso, lo convocó y estableció las bases del mismo y, por tanto, quien determinó los fines y medios del tratamiento siendo, por tanto, responsable del tratamiento de los datos personales de los menores que participaron en el concurso de dibujos infantil, con independencia de la ubicación de dichos datos y de la voluntariedad con que los mismos se aportaron al concurso y quien debió informar del tratamiento de los datos.
Por ello, se dirige un APERCIBIMIENTO al Ayuntamiento de Ubrique,por infracción del artículo 13 RGPD, tipificada en el artículo 83.5.b) RGPD. Como medida adicional, se insta al Ayuntamiento a analizar los tratamientos que pueda llevar a cabo en relación con la participación de la ciudadanía a través de redes sociales, y los incluya en el correspondiente Registro de Actividades de Tratamiento, estableciendo además el procedimiento de información a los interesados.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE UBRIQUE Ver
RPS-34/2022 27/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.c)
  • 35
  • Vulneración del principio de “minimización de datos”
  • Evaluación de impacto relativa a la protección de datos
Se reclama contra una plataforma de gestión utilizada en la Consejería de Consejería de Igualdad, Políticas Sociales y Conciliación, por diversos incumplimientos de la normativa de protección de datos personales. Con posterioridad a la denuncia, y tras los requerimientos realizados, el responsable realizó una evaluación de impacto y suprimió del tratamiento los datos que consideraba excesivos para el mismo.
Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador porque, en el momento de la interposición de la denuncia, se considera, por una parte, que no se aplicó adecuadamente el principio de minimización, al incorporarse al sistema y requerirse su grabación a los centros colaboradores, un número excesivo de datos en relación con las finalidades del tratamiento; por otra, no se había realizado una evaluación de impacto en relación con la protección de datos de acuerdo con lo requerido por la normativa, a pesar de que la naturaleza del tratamiento lo requería, y no siendo aplicable la excepción de que ya existía una evaluación para tratamientos similares.
El procedimiento concluye en un APERCIBIMIENTO, si bien no se dictan medidas específicas en relación con los hechos reclamados, ya que el órgano las puso en marcha previamente; no obstante, se insta a informar al Consejo sobre las actuaciones llevadas a cabo, así como a que se actualice en el inventario de actividades de tratamiento la información relativa al órgano responsable del tratamiento objeto de la reclamación, dado que hace referencia a una Secretaría General inexistente en la nueva estructura de la Consejería.
APERCIBIMIENTO JUNTA DE ANDALUCÍA CONSEJERÍA DE IGUALDAD, POLÍTICAS SOCIALES Y CONCILIACIÓN Ver
RPS-33/2022 13/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 29
  • 32.1
  • Vulneración en relación al "Tratamiento bajo la autoridad del responsable o del encargado del tratamiento"
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama el acceso indebido a la historia clínica de la persona reclamante desde un Centro de Salud distinto al que tiene asignado. Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador por posible incumplimiento tanto del artículo 29 RGPD, por acceso indebido de personal a la historia clínica de la persona reclamante, como del artículo 32.1 RGPD en relación con la falta de aplicación de medidas técnicas y organizativas apropiadas para evitar los accesos indebidos a la historia clínica de la persona reclamante, al haberse detectado la existencia de un posible acceso indebido por parte de un profesional de enfermería.
Alega el órgano reclamado que mientras no se haya resuelto el expediente disciplinario que aclare los motivos por los cuales se produjeron los accesos a la historia clínica de la persona reclamante por parte del profesional de ese Centro de Salud, no puede acreditarse que el acceso por parte de este profesional sea constitutivo de infracción. Alega además que el acceso a la historia clínica de un paciente desde un centro distinto al que este tiene asignado, no implica necesariamente una infracción ya que la consulta a dicho historial médico podría tener lugar, entre otros motivos, desde otro centro por el profesional que ya le atendió previamente.
Ante dicho argumento, el Consejo en ningún momento se cuestiona dicha circunstancia que, evidentemente, responde a la necesidad de garantizar la atención de las personas usuarias del Servicio Andaluz de Salud desde cualquier lugar y, por ende, su derecho a la salud. Sin embargo, hasta la fecha de la Resolución, no se facilitaron a este organismo las razones concretas que justifican el acceso a la historia clínica de la persona reclamante desde el ese Centro de Salud, ni se ha acreditado la existencia de medidas técnicas u organizativas en el mismo que impidan que puedan producirse accesos indebidos.
Por consiguiente, se dirige un APERCIBIMIENTO a la Dirección General de Asistencia Sanitaria y Resultados en Salud (Servicio Andaluz de Salud), por infracción de los artículos 29 y 32.1 RGPD, tipificadas en el artículo 83.4 RGPD, en relación con el acceso indebido de personal a la historia clínica de la reclamante, y la falta de aplicación de medidas técnicas y organizativas apropiadas para evitarlo.
APERCIBIMIENTO JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RED-17/2022 12/12/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 15
  • Derecho de acceso
Reclamación por falta de respuesta al EJERCICIO DE DERECHO de acceso por el Servicio Andaluz de Salud (SAS) en relación con el acceso de los profesionales que habían accedido a la historia clínica de la persona reclamante. En el transcurso de la tramitación, tras la remisión al DPD de la reclamación, y en el plazo de un mes que otorga la normativa, desde el SAS se da respuesta a la persona reclamante en relación con el ejercicio de derechos solicitado. Por ello, se declara la pérdida sobrevenida del objeto de la reclamación y, consiguientemente, la terminación del procedimiento, en la medida en que la Dirección General de Asistencia Sanitaria y Resultados en Salud (Servicio Andaluz de Salud) dio adecuada respuesta a la solicitud formulada por la persona reclamante. DECLARACIÓN DE TERMINACIÓN DEL PROCEDIMIENTO JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RED-15/2022 09/12/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 16
  • 17
  • Derecho de rectificación
  • Derecho de supresión
Reclamación por respuesta inadecuada al EJERCICIO DE DERECHO de rectificación y supresión por el Servicio Andaluz de Salud en relación a la historia clínica de la persona reclamante. El órgano reclamado dio respuesta en plazo a los derechos ejercitados por la persona reclamante desestimando su solicitud alegando que los datos eran necesarios para su historia clínica. Dado que el Consejo no puede entrar a enjuiciar -una vez que se ha determinado que se ha dado respuesta a la solicitud de derechos de rectificación y supresión ejercida por el reclamante- la realidad de los hechos ocurridos, se DESESTIMA la reclamación, sin que proceda realizar ninguna actuación posterior en relación con la misma por el órgano reclamado dado que dio respuesta. DESESTIMADA JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RED-16/2022 09/12/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 15
  • Derecho de acceso
Reclamación por falta de respuesta al EJERCICIO DE DERECHO de acceso por el Servicio Andaluz de Salud (SAS) en relación con informes médicos de la persona reclamante. Durante la tramitación no se acredita que se haya ofrecido respuesta a la persona reclamante ni se justifica el posible motivo de la falta de respuesta. Así, SE ESTIMA la reclamación contra el responsable del tratamiento, la Dirección General de Asistencia Sanitaria y Resultados en Salud (Servicio Andaluz de Salud), instándole a ofrecer la adecuada respuesta al derecho de acceso ejercicio por la persona reclamante. ESTIMADA JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RPS-31/2022 18/11/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama que que el listado con los nombres, apellidos, DNI y puntuación de las personas participantes en un proceso de selección del Ayuntamiento de Torrox se difundió a través de la aplicación WhatsApp. Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador porque, en el momento en que ocurren los hechos objeto de la reclamación no existen en el mencionado Ayuntamiento medidas de seguridad, normas, procedimientos o reglas sobre el modo en que se publican los datos personales tratados.
Entre otras cuestiones, alega el órgano reclamado, que en la fecha en que ocurrieron los hecho el Ayuntamiento ya había adoptado una serie de medidas tendentes a garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta los criterios establecidos en el artículo 32 RGPD. Sin embargo, entiende este Consejo que las medidas son de carácter general en relación con la seguridad y la normativa de protección de datos pero no aportan evidencias de la existencia de medidas concretas y de análisis de riesgos aplicados al caso concreto.
Por consiguiente, se dirige un APERCIBIMIENTO al Ayuntamiento de Torrox, por infracción del artículo 32.1 RGPD, tipificada en el artículo 83.4.a) RGPD.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE TORROX Ver
RPS-32/2022 18/11/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 58.1
  • Falta de colaboración con la Autoridad de Control en sus poderes de investigación
Se dirige un apercibimiento al Ayuntamiento de Jaén por infracción del artículo 58.1 RGPD, tipificada en el artículo 83.5.e) RGPD por falta de colaboración con este Consejo. APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE JAÉN Ver
RED-14/2022 17/11/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 15
  • Derecho de acceso
Reclamación por respuesta incompleta al EJERCICIO DE DERECHO de acceso a los datos personales de la persona reclamante tratados por el Ayuntamiento de Pulianas de acuerdo con lo dispuesto en el artículo 15 RGPD.
Analizada la respuesta dada por el órgano reclamado a la persona reclamante se verificó que efectivamente no se le informó de todos los extremos exigidos por el artículo 15 RGPD. Por ello, se ESTIMA la reclamación y se insta al Ayuntamiento de Pulianas para que, en el plazo de los quince días hábiles siguientes a la notificación de la Resolución, remita a la parte reclamante respuesta completa al derecho de acceso ejercitado.
ESTIMADA ENTIDADES LOCALES AYUNTAMIENTO DE PULIANAS Ver
RED-11/2022 18/10/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 17
  • Derecho de supresión
Una persona presenta una reclamación debido a que se le ha exigido por parte de un tribunal, para poderse presentar a unas pruebas, un justificante de la necesidad de portar dispositivos electrónicos por motivos de salud, sin que previamente se le hubiera informado de ese requisito. Lo único que puede aportar en ese momento para justificar el uso de dichos dispositivos son certificados médicos, que incluyen información sobre la patología sufrida existente. Posteriormente, ejerce su derecho de supresión ante la Consejería de Educación y Deporte (Delegación Territorial de Almería) en relación con la información aportada. Ni tras su petición de ejercicio de derechos ni tampoco posteriormente, al darle traslado de la reclamación al DPD, se le ofrece respuesta a dicho ejercicio de derechos, aunque al Consejo se le informa de que no se guardó copia de la información aportada. Al no existir respuesta formal al reclamante, la reclamación se ESTIMA, instando a la D.G. del Profesorado y Gestión de Recursos Humanos y, en su caso, a la Delegación Territorial de Desarrollo Educativo y Formación Profesional y de Universidad, Investigación e Innovación en Almería, a que ofrezca la adecuada respuesta a su petición.
Con independencia de la resolución relativa al ejercicio del derecho de supresión, existe otro expediente (de tramitación separada) en relación con la posible infracción de la normativa por la exigencia de aportación del justificante, sin que mediara información previa sobre dicho requisito.
ESTIMADA JUNTA DE ANDALUCÍA CONSEJERÍA DE EDUCACIÓN Y DEPORTE Ver
RED-10/2022 10/10/2022
  • EJERCICIO DE DERECHOS
  • RGPD
  • 15
  • Derecho de acceso
Reclamación por falta de respuesta al EJERCICIO DE DERECHO de acceso por el Servicio Andaluz de Salud (SAS) en relación con informes médicos de un hijo menor de edad de la persona reclamante. En el transcurso de la tramitación, tras la remisión al DPD de la reclamación, y en el plazo de un mes que otorga la normativa, desde el SAS se da respuesta al reclamante en relación con el ejercicio de derechos solicitado. Una vez obtenida la documentación, el reclamante manifiesta que no está de acuerdo con algunos puntos de la misma, y el centro reitera que se le ha enviado lo que consta en sus archivos y en la historia clínica. Por ello, se declara pérdida sobrevenida del objeto de la misma (se obtuvo la respuesta del SAS), con independencia del derecho del reclamante, si lo considera oportuno, a acudir ante las autoridades sanitarias, administrativas o judiciales competentes para dirimir el motivo de la controversia en el ámbito médico/sanitario. DECLARACIÓN DE TERMINACIÓN DEL PROCEDIMIENTO JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver