Nº de Registros encontrados: 113

Mostrando del 91 al 105

En los campos marcados con O puedes introducir varios elementos separados por comas.

Posicionándonos sobre el campo se ofrece ayuda para su implementación.

Fecha desde
Ordenar descendente Fecha Tipológia Ley Art Párrafo Resumen Sentido Ámbito Órgano Ficha
RPS-21/2022 21/06/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.d)
  • Vulneración del principio de “exactitud”
Una persona reclama porque considera que se le ha embargado erróneamente por un impago de la tasa de alcantarillado. En realidad, la vivienda sobre la que se le reclama la tasa no es suya, sino de una persona que se llama como ella y -en algún momento- se asoció por error el DNI de la persona reclamante a la vivienda cuya tasa se reclamaba. La persona denunció el error al Ayuntamiento en 2016, pero hasta el año 2021 (5 años después) no se llega a corregir (y a devolver el dinero). Se considera que el Ayuntamiento de Estepona ha infringido el principio de 'exactitud' establecido en el artículo 5.1.d) RGPD, y se dirige un APERCIBIMIENTO por la dilación indebida en la rectificación de los datos; no se establecen medidas adicionales por haberlas ya tomado el órgano infractor. APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE ESTEPONA Ver
RPS-22/2022 07/06/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Varias personas reclaman que desde la Secretaría General Técnica de la Cj. de Igualdad, Políticas Sociales y Conciliación, se remite un correo conjunto a cuatro centrales sindicales adjuntando los datos de todos los liberados sindicales de estos sindicatos que se incorporan al trabajo, dando así acceso al personal de cada uno de los sindicatos que manejaran el correspondiente correo genérico al que se envió el listado a los datos de los liberados sindicales del resto de sindicatos; entre estos datos los hay identificativos, laborales y motivos de incorporación o no al puesto de trabajo. Desde la Consejería se envía un correo posterior separado a cada sindicato, con los datos solo de sus afiliados y con el ruego de borrado del correo anterior.
Se considera que el responsable del tratamiento reclamado no ha aplicado las adecuadas medidas de seguridad al remitir los correos y se le dirige un APERCIBIMIENTO, si bien no se incluyen medidas adicionales por ya haberlas tomado el organismo.
APERCIBIMIENTO JUNTA DE ANDALUCÍA CONSEJERÍA DE IGUALDAD, POLÍTICAS SOCIALES Y CONCILIACIÓN Ver
RPS-23/2022 30/06/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama que la Entidad Urbanística de Conservación Sanlúcar Club de Campo ha distribuido entre sus miembros un documento en el que figuran datos personales del reclamante y, aunque aparecen 'tachados' en el texto del documento, se mantiene el código seguro de verificación (CSV), lo que permite la consulta completa del documento por cualquiera que verifique el mismo, y por tanto el acceso a los datos del reclamante. Se considera que el responsable del tratamiento reclamado ha incumplido con la obligación de dotar al tratamiento de las adecuadas medidas de seguridad (infracción del artículo 32.1 RGPD), y se le dirige un APERCIBIMIENTO.
No se incluyen medidas adicionales, porque la entidad llegó a eliminar la posibilidad de acceso al documento y tomó medidas para minimizar la causa del error en el futuro.
APERCIBIMIENTO ENTIDADES LOCALES ENTIDAD URBANÍSTICA DE CONSERVACIÓN SANLÚCAR CLUB DE CAMPO Ver
RPS-24/2022 13/06/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.c)
  • 5.1.f)
  • Vulneración del principio de “minimización de datos”
  • Vulneración del principio de “integridad y confidencialidad"
Una persona reclama que una resolución que le afectaba fue publicada en la web del ayuntamiento de Sanlúcar de Barrameda (tablón edictal), incluyendo su DNI completo y su domicilio. Se constata que dicha información se mantiene publicada cuando se recibe la reclamación y tampoco el ayuntamiento procede a la rectificación de los datos cuando se le remite inicialmente la reclamación y ni siquiera contesta al requerimiento del Consejo. Solo una vez admitida la reclamación, en el marco de las actuaciones previas de investigación, el ayuntamiento resuelve sustituir la resolución publicada. Se considera que el Ayuntamiento ha incumplido los principios de minimización y confidencialidad establecidos en el artículo 5 RGPD y, en consecuencia, se le dirige un APERCIBIMIENTO.
No se incluyen medidas adicionales, porque la entidad subsanó la publicación errónea y tomó medidas para minimizar la posibilidad de que ocurran hechos similares en el futuro
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE SANLÚCAR DE BARRAMEDA Ver
RPS-25/2022 30/06/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.f)
  • 32.1
  • Vulneración del principio de “integridad y confidencialidad"
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Una persona denuncia que un cuadrante suyo de turnos de trabajo se ha filtrado desde el Ayuntamiento de Sanlúcar la Mayor a una tercera persona, que lo ha aportado en un proceso judicial. Dado que la 'filtración' se constata que se ha producido y dada la no evidencia de la implantación de medidas de seguridad en relación con el tratamiento, se dirige un APERCIBIMIENTO contra el ayuntamiento por vulneración del principio de confidencialidad [art. 5.1.f) RGPD] y la falta de medidas de seguridad (art. 32.1 RGPD).
Además se le insta a la aplicación de medidas de seguridad y a la publicación del inventario del RAT que, a lo largo del procedimiento, se ha constatado que no se ha producido.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE SANLÚCAR LA MAYOR Ver
RPS-26/2022 27/07/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
En el Ayuntamiento de Pulianas, en una comisión, uno de los miembros asistentes abre un debate sobre datos de salud de otro de los miembros asistentes, y consta en acta todo el debate. Al no quedar acreditado que en el momento en que se celebró la comisión el personal tuviera información sobre el tratamiento de datos personales, se propuso el inicio del procedimiento por falta de las medidas técnicas y organizativas adecuadas, si bien, posteriormente, a lo largo del procedimiento ha acreditado la puesta en marcha de dichas medidas.
Dado que, en su momento no se habían tomado las medidas adecuadas, se dirige un apercibimiento al Ayuntamiento, pero no se insta a la aplicación de medidas adicionales porque el mismo ya las ha tomado.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE PULIANAS Ver
RPS-27/2022 22/07/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.f)
  • Vulneración del principio de “integridad y confidencialidad"
En este caso la persona reclamante denuncia accesos indebidos a su historia clínica entre determinadas fechas. El Servicio Andaluz de Salud, ante el requerimiento del Consejo no llega a acreditar la vinculación entre las personas que acceden a la HC y la asistencia sanitaria a la reclamante, por lo que se propone el inicio del procedimiento por vulneración del principio de confidencialidad. Tras la correspondiente instrucción, se siguen sin acreditar los accesos, por lo que se dirige un APERCIBIMIENTO a la Dirección General de Asistencia Sanitaria y Resultados en Salud por vulneración del principio de confidencialidad [artículo 5.1.f) RGPD].
Además, como medida adicional, se insta a acreditar definitivamente que los accesos se producen por motivo asistencial o a iniciar actuaciones disciplinarias contra las personas que realizaron los accesos incorrectos.
APERCIBIMIENTO JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RPS-28/2022 07/09/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Ver RPS-30/2022 Ver
RPS-29/2022 10/10/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 13
  • Información que deberá facilitarse cuando los datos personales se obtengan del interesado
El procedimiento sancionador se incoa de oficio, tras la existencia de una reclamación que denuncia que en la convocatoria de la consulta popular para el cambio de denominación del estadio de fútbol de Cádiz se han incumplido preceptos de la normativa de protección de datos en relación, fundamentalmente, con la legitimidad del proceso, el consentimiento de los participantes, el tratamiento de datos de menores y la información sobre protección de datos a los participantes.
Tras un periodo de actuaciones previas de investigación, se concluye que no necesariamente ha de ser el consentimiento la condición que legitima el tratamiento, sino el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, toda vez que la Ley Reguladora de Bases de Régimen Local habilita facilitar la participación ciudadana en la toma de decisiones; en relación a los menores, dado que no iba dirigida a ellos la consulta y que se habilitaron medios para no proceder al tratamiento de sus datos, se considera que no ha lugar a considerar la necesidad de contar con su consentimiento o el de sus progenitores. Sí se detectaron carencias en lo que se refiere a la información a aportar a los interesados, exigida por el artículo 13 RGPD, y es por eso por lo que se inició procedimiento sancionador, proponiendo el apercibimiento por una infracción del RGPD relativa a la omisión del deber de informar, calificada como muy grave, a efectos de prescripción, en la LOPDGDD.
No obstante en sus alegaciones, el Ayuntamiento acredita que sí había informado sobre el tratamiento a los interesados, si bien de forma incompleta, cuestión que subsanó posteriormente. Teniendo en cuenta en la instrucción del procedimiento dichas alegaciones y comprobado lo manifestado por el ayuntamiento, puede concluirse que la infracción cometida no fue la omisión de deber de informar sino que la información ofrecida no era completa en relación con lo exigido por el artículo 13 RGPD; así, la infracción pasa de tener carácter muy grave (3 años de prescripción), a considerarse leve a efectos de prescripción, de acuerdo con el articulo 74.a) LOPDGDD, y por lo tanto el periodo de prescripción es de un año.
Dado que el ayuntamiento subsanó además la falta de información, en el momento de iniciar el expediente sancionador ya había cumplido el periodo de prescripción, por lo que no cabría imponer la sanción de apercibimiento, dictándose pues el archivo de las actuaciones.
ARCHIVO ENTIDADES LOCALES AYUNTAMIENTO DE CÁDIZ Ver
RPS-3/2022 04/02/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • RGPD
  • 5.1.c)
  • 5.1.f)
  • Vulneración del principio de “minimización de datos”
  • Vulneración del principio de “integridad y confidencialidad"
Se reclama contra el Ayuntamiento de Jaén por haberse publicado, sin ocultar el código seguro de verificación (CSV), copia de un documento correspondiente a la declaración de renta de una Concejal, lo que permitía el acceso al contenido del documento completo e íntegro por parte de terceros haciendo uso del mencionado CSV.
Se considera que se han infringido los principio de "minimización" y de "confidencialidad e integridad", al no disponerse de las medidas técnicas y organizativas adecuadas para evitar que se pudiera acceder al contenido íntegro del documentos por parte de terceros, y con ello, a datos personales que no habían de ser publicados. En consecuencia, se dirige un APERCIBIMIENTO a Ayuntamiento, y se le insta a que tome las medidas para evitar dicha circunstancia en el futuro.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE JAÉN Ver
RPS-30/2022 10/10/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Un profesional médico de la Delegación Territorial de Educación y Deportes, Igualdad, Políticas Sociales y Conciliación en Cádiz reclama contra ésta que se ha jubilado pero le siguen llegando correos de personas que dependen de la Delegación Territorial y que le aportan información médica.
El problema es que se estaba utilizando en el sistema de gestión la cuenta de correo corporativa del reclamante como cuenta desde la que se enviaban mensajes de la Asesoría Médica a las personas usuarias, lo que originaba que algunas de estas personas, al responder, lo hicieran a la cuenta desde la que se había remitido el mensaje (la cuenta del reclamante), exponiendo circunstancias médicas particulares.
En sus alegaciones, la Delegación Territorial señala, entre otras cuestiones, que no sería el órgano responsable de la comisión de la infracción. Sin embargo, entiende el Consejo que la Delegación Territorial simultáneamente a la comunicación de la jubilación del reclamante a los efectos del posible mantenimiento de su cuenta de correo, debió también gestionar que dicha cuenta de correo corporativa dejara de figurar en el sistema como la cuenta asociada a la Asesoría Médica, de modo que los mensajes a las personas afectadas no fueran remitidos desde la misma, con independencia de quien realizara efectivamente la citada operatoria.
Por consiguiente, se dirige un APERCIBIMIENTO a la Delegación Territorial de Educación y Deporte en Cádiz, actualmente Delegación Territorial de Desarrollo Educativo y Formación Profesional y de Universidad, Investigación e Innovación en Cádiz (adscrita orgánicamente a la Consejería de Desarrollo Educativo y Formación Profesional) por no haber aplicado las medidas técnicas y organizativas
apropiadas para garantizar la confidencialidad de los datos.
APERCIBIMIENTO JUNTA DE ANDALUCÍA CONSEJERÍA DE EDUCACIÓN Y DEPORTE Ver
RPS-31/2022 18/11/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 32.1
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama que que el listado con los nombres, apellidos, DNI y puntuación de las personas participantes en un proceso de selección del Ayuntamiento de Torrox se difundió a través de la aplicación WhatsApp. Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador porque, en el momento en que ocurren los hechos objeto de la reclamación no existen en el mencionado Ayuntamiento medidas de seguridad, normas, procedimientos o reglas sobre el modo en que se publican los datos personales tratados.
Entre otras cuestiones, alega el órgano reclamado, que en la fecha en que ocurrieron los hecho el Ayuntamiento ya había adoptado una serie de medidas tendentes a garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta los criterios establecidos en el artículo 32 RGPD. Sin embargo, entiende este Consejo que las medidas son de carácter general en relación con la seguridad y la normativa de protección de datos pero no aportan evidencias de la existencia de medidas concretas y de análisis de riesgos aplicados al caso concreto.
Por consiguiente, se dirige un APERCIBIMIENTO al Ayuntamiento de Torrox, por infracción del artículo 32.1 RGPD, tipificada en el artículo 83.4.a) RGPD.
APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE TORROX Ver
RPS-32/2022 18/11/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 58.1
  • Falta de colaboración con la Autoridad de Control en sus poderes de investigación
Se dirige un apercibimiento al Ayuntamiento de Jaén por infracción del artículo 58.1 RGPD, tipificada en el artículo 83.5.e) RGPD por falta de colaboración con este Consejo. APERCIBIMIENTO ENTIDADES LOCALES AYUNTAMIENTO DE JAÉN Ver
RPS-33/2022 13/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 29
  • 32.1
  • Vulneración en relación al "Tratamiento bajo la autoridad del responsable o del encargado del tratamiento"
  • Falta de aplicación de adecuadas medidas técnicas y organizativas
Se reclama el acceso indebido a la historia clínica de la persona reclamante desde un Centro de Salud distinto al que tiene asignado. Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador por posible incumplimiento tanto del artículo 29 RGPD, por acceso indebido de personal a la historia clínica de la persona reclamante, como del artículo 32.1 RGPD en relación con la falta de aplicación de medidas técnicas y organizativas apropiadas para evitar los accesos indebidos a la historia clínica de la persona reclamante, al haberse detectado la existencia de un posible acceso indebido por parte de un profesional de enfermería.
Alega el órgano reclamado que mientras no se haya resuelto el expediente disciplinario que aclare los motivos por los cuales se produjeron los accesos a la historia clínica de la persona reclamante por parte del profesional de ese Centro de Salud, no puede acreditarse que el acceso por parte de este profesional sea constitutivo de infracción. Alega además que el acceso a la historia clínica de un paciente desde un centro distinto al que este tiene asignado, no implica necesariamente una infracción ya que la consulta a dicho historial médico podría tener lugar, entre otros motivos, desde otro centro por el profesional que ya le atendió previamente.
Ante dicho argumento, el Consejo en ningún momento se cuestiona dicha circunstancia que, evidentemente, responde a la necesidad de garantizar la atención de las personas usuarias del Servicio Andaluz de Salud desde cualquier lugar y, por ende, su derecho a la salud. Sin embargo, hasta la fecha de la Resolución, no se facilitaron a este organismo las razones concretas que justifican el acceso a la historia clínica de la persona reclamante desde el ese Centro de Salud, ni se ha acreditado la existencia de medidas técnicas u organizativas en el mismo que impidan que puedan producirse accesos indebidos.
Por consiguiente, se dirige un APERCIBIMIENTO a la Dirección General de Asistencia Sanitaria y Resultados en Salud (Servicio Andaluz de Salud), por infracción de los artículos 29 y 32.1 RGPD, tipificadas en el artículo 83.4 RGPD, en relación con el acceso indebido de personal a la historia clínica de la reclamante, y la falta de aplicación de medidas técnicas y organizativas apropiadas para evitarlo.
APERCIBIMIENTO JUNTA DE ANDALUCÍA SAS (SERVICIO ANDALUZ DE SALUD) Ver
RPS-34/2022 27/12/2022
  • PROCEDIMIENTO SANCIONADOR
  • RGPD
  • 5.1.c)
  • 35
  • Vulneración del principio de “minimización de datos”
  • Evaluación de impacto relativa a la protección de datos
Se reclama contra una plataforma de gestión utilizada en la Consejería de Consejería de Igualdad, Políticas Sociales y Conciliación, por diversos incumplimientos de la normativa de protección de datos personales. Con posterioridad a la denuncia, y tras los requerimientos realizados, el responsable realizó una evaluación de impacto y suprimió del tratamiento los datos que consideraba excesivos para el mismo.
Tras el análisis de la reclamación, y efectuados los trámites contemplados en la normativa, se inicia procedimiento sancionador porque, en el momento de la interposición de la denuncia, se considera, por una parte, que no se aplicó adecuadamente el principio de minimización, al incorporarse al sistema y requerirse su grabación a los centros colaboradores, un número excesivo de datos en relación con las finalidades del tratamiento; por otra, no se había realizado una evaluación de impacto en relación con la protección de datos de acuerdo con lo requerido por la normativa, a pesar de que la naturaleza del tratamiento lo requería, y no siendo aplicable la excepción de que ya existía una evaluación para tratamientos similares.
El procedimiento concluye en un APERCIBIMIENTO, si bien no se dictan medidas específicas en relación con los hechos reclamados, ya que el órgano las puso en marcha previamente; no obstante, se insta a informar al Consejo sobre las actuaciones llevadas a cabo, así como a que se actualice en el inventario de actividades de tratamiento la información relativa al órgano responsable del tratamiento objeto de la reclamación, dado que hace referencia a una Secretaría General inexistente en la nueva estructura de la Consejería.
APERCIBIMIENTO JUNTA DE ANDALUCÍA CONSEJERÍA DE IGUALDAD, POLÍTICAS SOCIALES Y CONCILIACIÓN Ver