Buscar Resoluciones en materia de protección de datos

Nº	Fecha	Tipológia	Ley	Art	Párrafo	Resumen	Sentido	Ámbito	Órgano	Ficha
RPS-2024/049	11/10/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.a)	Vulneración del principio de “licitud, lealtad y transparencia”	Se denuncia la publicación en la página web de la Consejería de Turismo, Regeneración, Justicia y Administración Local de la Junta de Andalucía (listado de Establecimientos y Servicios Turísticos) datos personales de la persona reclamante sin haber solicitado su consentimiento ni trasladar información sobre dicha publicación al solicitar la inscripción de su vivienda para fines turísticos. Se DECLARA la INFRACCIÓN responsabilidad de la Dirección General de Turismo, adscrita actualmente a la Consejería de Turismo y Andalucía Exterior por la vulneración del artículo 5.1.a) del RGPD, tipificada en el artículo 83.5.a) del RGPD referido a los principios de lealtad y transparencia.	DECLARACIÓN DE INFRACCIÓN	JUNTA DE ANDALUCÍA	DIRECCIÓN GENERAL DE TURISMO (CONSEJERÍA DE TURISMO Y ANDALUCÍA EXTERIOR)	Ver
RPS-2024/050	08/10/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.c)	Vulneración del principio de “minimización de datos”	Se denuncia la cesión por parte del Ayuntamiento de datos personales relativos al nombre, apellidos, DNI y dirección de la persona reclamante a aquellos terceros cuyos derechos o intereses pudieran verse afectados por la información pública solicitada por la persona reclamante al citado Ayuntamiento, para que realizaran alegaciones oportunas. Se DECLARA la INFRACCIÓN responsabilidad del Ayuntamiento de Lebrija por la vulneración del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5.a) del RGPD como consecuencia de la vulneración del principio de minimización de los datos personales.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE LEBRIJA	Ver
RPS-2024/046	27/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.c) 32	Vulneración del principio de “minimización de datos” Falta de aplicación de adecuadas medidas técnicas y organizativas	Se denuncia la publicación en la página web del Ayuntamiento de una propuesta de concesión de ayudas a autónomos con nombre, apellidos y DNIs completos. Se DECLARAN las INFRACCIONES responsabilidad del Ayuntamiento de Cádiz, por la vulneración del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD, referido al principio de minimización de datos en relación con la publicación de número de DNI o NIF de persona física completo en la publicación de un acto administrativo en contra de lo dispuesto en el D.A.7 LOPDGDD y, por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4. del RGPD, referido a la seguridad del tratamiento en relación con la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE CÁDIZ	Ver
RPS-2024/047	27/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 13	Vulneración del principio de “integridad y confidencialidad" Vulneración en relación con “la información que deberá facilitarse cuando los datos personales se obtengan del interesado"	Se denuncia la inscripción en un formulario expuesto al público y la toma de temperatura, como requisito previo para acceder a un polideportivo. Se DECLARAN las INFRACCIONES responsabilidad del Instituto Municipal de Deportes (Ayuntamiento de Sevilla), por la vulneración del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, como consecuencia de la vulneración del principio de confidencialidad de los datos personales y, por la vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5.b) RGPD, por el tratamiento de datos personales sin informar a los interesados de los extremos exigidos por el artículo 13 del RGPD.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	INSTITUTO MUNICIPAL DE DEPORTES (AYUNTAMIENTO DE SEVILLA)	Ver
RPS-2024/048	27/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 32	Vulneración del principio de “integridad y confidencialidad" Falta de aplicación de adecuadas medidas técnicas y organizativas	Se denuncia la difusión de datos a terceros por haber firmado un único documento con varias certificados correspondientes a distintos destinatarios, circunstancia que permite que cada uno de ellos, al recibir su certificación, pudieran consultar el Código Seguro de Verificación (CSV) teniendo acceso a todas las certificaciones incluidas bajo la misma firma y, en consecuencia, acceso a datos personales del resto de destinatarios relativos al nombre y apellidos, DNI y dirección. Se DECLARAN las INFRACCIONES responsabilidad de la Secretaría General de Familias, Igualdad, Violencia de Género y Diversidad (Consejería de Inclusión Social, Juventud, Familias e Igualdad) por la vulneración del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, como consecuencia de la vulneración del principio de confidencialidad de los datos personales y, por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4.a) del RGPD, en relación con la falta de aplicación de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad y disponibilidad en el sistema de tratamiento que gestiona la remisión de los certificados de inscripción.	DECLARACIÓN DE INFRACCIÓN	JUNTA DE ANDALUCÍA	SECRETARÍA GENERAL DE FAMILIAS, IGUALDAD, VIOLENCIA DE GÉNERO Y DIVERSIDAD (CONSEJERÍA DE INCLUSIÓN SOCIAL, JUVENTUD, FAMILIAS E IGUALDAD)	Ver
RPS-2024/044	17/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.c) 9	Vulneración del principio de “minimización de datos” Vulneración en relación al "tratamiento de categorías especiales de datos personales"	El hecho denunciado responde a la recogida de datos relativos a la salud a través de un formulario como condición previa al acceso a las instalaciones deportivas por los usuarios de las mismas. Se DECLARAN las INFRACCIONES responsabilidad del Instituto Municipal de Deportes (Ayuntamiento de Sevilla), por la vulneración del artículos 5.1.c) RGPD, tipificada en el artículo 83.5.a) RGPD, por incumplimiento del principio de minimización de datos y por la vulneración del artículo 9 RGPD, tipificada en el artículo 83.5.a) RGPD, por tratar datos personales de las categorías a las que se refiere el artículo 9 del RGPD, sin que concurra alguna de las circunstancias previstas en dicho precepto.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	INSTITUTO MUNICIPAL DE DEPORTES (AYUNTAMIENTO DE SEVILLA)	Ver
RPS-2024/042	13/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 32	Vulneración del principio de “integridad y confidencialidad" Falta de aplicación de adecuadas medidas técnicas y organizativas	Se reclama la divulgación de datos personales relativos a menores entre los padres de alumnos del centro. Se DECLARA la INFRACCIÓN responsabilidad del IES Cerro del Viento de Benalmádena (Málaga), adscrito a la Consejería de Desarrollo Educativo y Formación Profesional, por el incumplimiento de los artículos 5.1.f) y 32 RGPD; tipificadas en los artículos 83.5.a) y 83.4.a) RGPD; por la difusión indebida de datos personales relativos a los alumnos como consecuencia del plan de convivencia a representantes legales de menores que no eran los destinatarios de esos datos personales.	DECLARACIÓN DE INFRACCIÓN	JUNTA DE ANDALUCÍA	IES CERRO DEL VIENTO DE BENALMÁDENA (CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL)	Ver
RPS-2024/041	11/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f)	Vulneración del principio de “integridad y confidencialidad"	Se reclama la divulgación por parte de un centro escolar de un listado con numerosas personas, que incluía el nombre, apellidos y DNI completo de los padres, madres o tutores con motivo de las elecciones al Consejo Escolar en la puerta de entrada del centro escolar. Se DECLARA la INFRACCIÓN responsabilidad de la Dirección General de Ordenación, Inclusión, Participación y Evaluación Educativa (Consejería de Desarrollo Educativo y Formación Profesional) por la comisión la infracción del artículo 5.1.f) RGPD tipificada en el artículo 83.5.a) RGPD como consecuencia de la vulneración del principio de confidencialidad de los datos personales publicados para las elecciones del Consejo Escolar.	DECLARACIÓN DE INFRACCIÓN	JUNTA DE ANDALUCÍA	CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL	Ver
RPS-2024/040	10/09/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 32	Vulneración del principio de “integridad y confidencialidad" Falta de aplicación de adecuadas medidas técnicas y organizativas	Se denuncia que la forma de entregar las nóminas de los funcionarios del Ayuntamiento de Mairena del Aljarafe deja expuesto los datos personales y fiscales de cada uno de los trabajadores, permitiendo su acceso por terceros. Se DECLARAN las INFRACCIONES responsabilidad del Ayuntamiento de Mairena del Aljarafe por la comisión la infracción del artículo 5.1.f) RGPD tipificada en el artículo 83.5.a) RGPD como consecuencia de la vulneración del principio de confidencialidad de los datos personales y por la comisión de la infracción del artículo 32 tipificada en el artículo 83.4.a) RGPD por la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales en el momento de producirse los hechos reclamados.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE MAIRENA DEL ALJARAFE	Ver
RPS-2024/038	02/08/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 32	Vulneración del principio de “integridad y confidencialidad" Falta de aplicación de adecuadas medidas técnicas y organizativas	Se reclama la notificación a la persona reclamante de asuntos referentes a otra persona por un posible error en el DNI, sin que le lleguen sus propias notificaciones que pudieran estar llegando a otra persona. Se procede al ARCHIVO del procedimiento dirigido contra la Consejería de Inclusión Social, Juventud, Familias e Igualdad, por no ser responsable de los hechos objeto de la reclamación y se procede a la apertura de nuevas actuaciones previas de investigación dirigidas a la Secretaría General para la Administración Pública, para aclarar los hechos, causas y consecuencias del error de vinculación entre el DNI y el nombre y apellidos en Notific@ y, en especial, si como consecuencia de dicho error se ha podido producir alguna revelación de datos de la persona interesada o de su hija o de la tercera persona cuyo nombre y apellidos se asoció erróneamente al DNI de la reclamante o si la tercera persona titular de los datos identificativos pudiera no estar recibiendo las notificaciones que le corresponden.	ARCHIVO	JUNTA DE ANDALUCÍA	CONSEJERÍA DE INCLUSIÓN SOCIAL, JUVENTUD, FAMILIAS E IGUALDAD	Ver
RPS-2024/039	02/08/2024	PROCEDIMIENTO SANCIONADOR	RGPD	6	Licitud del tratamiento	Se denuncia haber utilizado una dirección postal desactualizada y que no se corresponde con la de su domicilio para efectuar la notificación de un embargo. Se procede al ARCHIVO del procedimiento sancionador ante la falta de prueba suficiente que acrediten la comisión de la infracción por parte de la Agencia Tributaria de Sevilla, órgano reclamado. Se procede al traslado de las actuaciones a la Agencia Española de Protección de Datos en relación con las posibles responsabilidades que fueran exigibles a la entidad financiera que facilitó el número de cuenta bancaria al órgano reclamado y que pudiera haber efectuado comunicaciones en su antigua dirección.	ARCHIVO	JUNTA DE ANDALUCÍA	AGENCIA TRIBUTARIA DE ANDALUCÍA	Ver
RPS-2024/037	01/08/2024	PROCEDIMIENTO SANCIONADOR	RGPD	7 13	Condiciones para el consentimiento Vulneración en relación con “la información que deberá facilitarse cuando los datos personales se obtengan del interesado"	Se denuncia el posible incumplimiento de la normativa de protección de datos por parte de la Consejería de Desarrollo Educativo y Formación Profesional, por la utilización de cookies de terceros (Google-Analytics y YouTube) en distintos portales del órgano reclamado, sin ofrecer la posibilidad de rechazar las mismas y sin informar sobre los datos personales que recogen, ni para qué se utilizan. Se DECLARA las INFRACCIONES responsabilidad de la Consejería de Desarrollo Educativo y Formación Profesional de los artículos 7 y 13 RGPD; tipificadas en los artículos 83.5.a) y 83.5.b) RGPD; como consecuencia del incumplimiento de la información que debe facilitarse cuando los datos personales se obtienen del interesado y de las condiciones para obtener el consentimiento.	DECLARACIÓN DE INFRACCIÓN	JUNTA DE ANDALUCÍA	CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL	Ver
RPS-2024/036	29/07/2024	PROCEDIMIENTO SANCIONADOR	RGPD	37	Falta la designación del delegado de protección de datos (DPD)	Como parte de las actuaciones llevadas a cabo desde el Consejo para el fomento del cumplimiento de la normativa de protección de datos personales, en virtud de su competencia como autoridad de control en la materia, se realizaron diversos requerimientos a ayuntamientos en relación con la necesaria designación de Delegado de Protección de Datos (DPD) y su comunicación a la autoridad de control, en particular, al Ayuntamiento de Puerto Real, con la advertencia de que no dar cumplimiento a dichas obligaciones podría suponer una infracción de la mencionada normativa. El Ayuntamiento no realizó el nombramiento de un Delegado de Protección de Datos, y es por eso por lo que se inició procedimiento sancionador. Notificada la propuesta de resolución al órgano reclamado, presentó alegaciones pero no desvirtuaban el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficientes. Por ello, se DECLARA la INFRACCIÓN responsabilidad del Ayuntamiento de Puerto Real por infracción del artículo 37 del RGPD, tipificada en el artículo 83.4.a) del RGPD.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE PUERTO REAL	Ver
RPS-2024/033	24/07/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f)	Vulneración del principio de “integridad y confidencialidad"	Se reclama la revelación de datos personales desde alcaldía o del equipo de gobierno. Tras un periodo de actuaciones previas de investigación, se comprobó que en [mes/año], se difundió a través de la aplicación Whatsapp, un documento interno relativo a [asunto] que incluía el nombre, los apellidos, el DNI y el domicilio de varios concejales, presentado el [día/mes/año], ante la entidad incoada. Asimismo, no quedó acreditado a este Consejo la implementación por parte de la entidad incoada de medidas de seguridad técnicas y organizativas en el momento de producirse los hechos objeto de la reclamación, ni la adopción de medidas posteriores para evitar posibles incidencias similares en el futuro. Por ello, se inició Procedimiento sancionador. Notificada la propuesta de resolución al órgano reclamado, éste no presentó alegaciones. Se procede a DECLARAR la INFRACCIÓN responsabilidad del Ayuntamiento de Baena, por la comisión de la infracción tipificada en el artículo 83.5.a.) del RGPD por vulneración del artículo 5.1.f) del RGPD por incumplimiento del principio de confidencialidad de datos. Como medida adicional se propone ordenar a la entidad incoada que informe al Consejo en el plazo de dos meses desde la notificación de la resolución, sobre la implantación y desarrollo de las medidas puestas en marcha por el Ayuntamiento en relación con el tratamiento objeto de la reclamación a los efectos de garantizar la confidencialidad de los datos personales, así como que proceda a la publicación de su Inventario de Actividades de Tratamiento con el fin de dar cumplimiento a lo dispuesto en el artículo 31.2 de la LOPDGDD y en el artículo 6 bis de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE BAENA	Ver
RPS-2024/034	24/07/2024	PROCEDIMIENTO SANCIONADOR	RGPD	5.1.f) 32	Vulneración del principio de “integridad y confidencialidad" Falta de aplicación de adecuadas medidas técnicas y organizativas	Se reclama la comunicación de datos personales del reclamante (información de carácter sindical) a terceros a través de un grupo de whatsapp. Tras un periodo de actuaciones previas de investigación, se comprobó que el reclamante, mediante un correo electrónico dirigido a una lista de distribución correspondiente al Ayuntamiento de Cádiz, puso en conocimiento del mismo una serie de datos sindicales. Con posterioridad, dichos datos personales (nombre, apellidos, datos sindicales y laborales) fueron comunicados a terceros, por una determinada persona que se entiende que es policía local, a través de un grupo de whatsapp que según señala el órgano reclamado no es de su titularidad, siendo recriminada dicha conducta por el propio reclamante en el whatsapp. Asimismo, quedó acreditado que no se habían adoptado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado (artículo 32 del RGPD).Por ello, se inició Procedimiento sancionador. Notificada la propuesta de resolución al órgano reclamado, éste no presentó alegaciones. Se procede a DECLARAR las INFRACCIONES responsabilidad del Ayuntamiento de Cádiz, por la comisión de las infracciones tipificadas en el artículo 83.5.a.) del RGPD por vulneración del artículo 5.1.f) por incumplimiento del principio de confidencialidad de datos, así como la infracción tipificada en el artículo 83.4.a.) del RGPD por vulneración del artículo 32 por la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales. Como medida adicional se propone ordenar a la entidad incoada que remita al Consejo, en el plazo máximo de dos meses tras la notificación de la resolución, la documentación acreditativa de la adopción de medidas técnicas y organizativas necesarias y apropiadas, incluidas las puestas en marcha, para evitar que datos personales sean comunicados por miembros de la organización a terceros, vulnerando en principio de confidencialidad.	DECLARACIÓN DE INFRACCIÓN	ENTIDADES LOCALES	AYUNTAMIENTO DE CÁDIZ	Ver

Resumen

Sentido

Ámbito

Órgano

Ficha

RPS-2024/049

11/10/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.a)

Vulneración del principio de “licitud, lealtad y transparencia”

Se denuncia la publicación en la página web de la Consejería de Turismo, Regeneración, Justicia y Administración Local de la Junta de Andalucía (listado de Establecimientos y Servicios Turísticos) datos personales de la persona reclamante sin haber solicitado su consentimiento ni trasladar información sobre dicha publicación al solicitar la inscripción de su vivienda para fines turísticos.
Se DECLARA la INFRACCIÓN responsabilidad de la Dirección General de Turismo, adscrita actualmente a la Consejería de Turismo y Andalucía Exterior por la vulneración del artículo 5.1.a) del RGPD, tipificada en el artículo 83.5.a) del RGPD referido a los principios de lealtad y transparencia.

DECLARACIÓN DE INFRACCIÓN

JUNTA DE ANDALUCÍA

DIRECCIÓN GENERAL DE TURISMO (CONSEJERÍA DE TURISMO Y ANDALUCÍA EXTERIOR)

Ver

RPS-2024/050

08/10/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.c)

Vulneración del principio de “minimización de datos”

Se denuncia la cesión por parte del Ayuntamiento de datos personales relativos al nombre, apellidos, DNI y dirección de la persona reclamante a aquellos terceros cuyos derechos o intereses pudieran verse afectados por la información pública solicitada por la persona reclamante al citado Ayuntamiento, para que realizaran alegaciones oportunas.
Se DECLARA la INFRACCIÓN responsabilidad del Ayuntamiento de Lebrija por la vulneración del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5.a) del RGPD como consecuencia de la vulneración del principio de minimización de los datos personales.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE LEBRIJA

Ver

RPS-2024/046

27/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.c)
32

Vulneración del principio de “minimización de datos”
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se denuncia la publicación en la página web del Ayuntamiento de una propuesta de concesión de ayudas a autónomos con nombre, apellidos y DNIs completos.
Se DECLARAN las INFRACCIONES responsabilidad del Ayuntamiento de Cádiz, por la vulneración del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD, referido al principio de minimización de datos en relación con la publicación de número de DNI o NIF de persona física completo en la publicación de un acto administrativo en contra de lo dispuesto en el D.A.7 LOPDGDD y, por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4. del RGPD, referido a la seguridad del tratamiento en relación con la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE CÁDIZ

Ver

RPS-2024/047

27/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
13

Vulneración del principio de “integridad y confidencialidad"
Vulneración en relación con “la información que deberá facilitarse cuando los datos personales se obtengan del interesado"

Se denuncia la inscripción en un formulario expuesto al público y la toma de temperatura, como requisito previo para acceder a un polideportivo.
Se DECLARAN las INFRACCIONES responsabilidad del Instituto Municipal de Deportes (Ayuntamiento de Sevilla), por la vulneración del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, como consecuencia de la vulneración del principio de confidencialidad de los datos personales y, por la vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5.b) RGPD, por el tratamiento de datos personales sin informar a los interesados de los extremos exigidos por el artículo 13 del RGPD.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

INSTITUTO MUNICIPAL DE DEPORTES (AYUNTAMIENTO DE SEVILLA)

Ver

RPS-2024/048

27/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
32

Vulneración del principio de “integridad y confidencialidad"
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se denuncia la difusión de datos a terceros por haber firmado un único documento con varias certificados correspondientes a distintos destinatarios, circunstancia que permite que cada uno de ellos, al recibir su certificación, pudieran consultar el Código Seguro de Verificación (CSV) teniendo acceso a todas las certificaciones incluidas bajo la misma firma y, en consecuencia, acceso a datos personales del resto de destinatarios relativos al nombre y apellidos, DNI y dirección.
Se DECLARAN las INFRACCIONES responsabilidad de la Secretaría General de Familias, Igualdad, Violencia de Género y Diversidad (Consejería de Inclusión Social, Juventud, Familias e Igualdad) por la vulneración del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, como consecuencia de la vulneración del principio de confidencialidad de los datos personales y, por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4.a) del RGPD, en relación con la falta de aplicación de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad y disponibilidad en el sistema de tratamiento que gestiona la remisión de los certificados de inscripción.

DECLARACIÓN DE INFRACCIÓN

JUNTA DE ANDALUCÍA

SECRETARÍA GENERAL DE FAMILIAS, IGUALDAD, VIOLENCIA DE GÉNERO Y DIVERSIDAD (CONSEJERÍA DE INCLUSIÓN SOCIAL, JUVENTUD, FAMILIAS E IGUALDAD)

Ver

RPS-2024/044

17/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.c)
9

Vulneración del principio de “minimización de datos”
Vulneración en relación al "tratamiento de categorías especiales de datos personales"

El hecho denunciado responde a la recogida de datos relativos a la salud a través de un formulario como condición previa al acceso a las instalaciones deportivas por los usuarios de las mismas.
Se DECLARAN las INFRACCIONES responsabilidad del Instituto Municipal de Deportes (Ayuntamiento de Sevilla), por la vulneración del artículos 5.1.c) RGPD, tipificada en el artículo 83.5.a) RGPD, por incumplimiento del principio de minimización de datos y por la vulneración del artículo 9 RGPD, tipificada en el artículo 83.5.a) RGPD, por tratar datos personales de las categorías a las que se refiere el artículo 9 del RGPD, sin que concurra alguna de las circunstancias previstas en dicho precepto.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

INSTITUTO MUNICIPAL DE DEPORTES (AYUNTAMIENTO DE SEVILLA)

Ver

RPS-2024/042

13/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
32

Vulneración del principio de “integridad y confidencialidad"
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se reclama la divulgación de datos personales relativos a menores entre los padres de alumnos del centro.
Se DECLARA la INFRACCIÓN responsabilidad del IES Cerro del Viento de Benalmádena (Málaga), adscrito a la Consejería de Desarrollo Educativo y Formación Profesional, por el incumplimiento de los artículos 5.1.f) y 32 RGPD; tipificadas en los artículos 83.5.a) y 83.4.a) RGPD; por la difusión indebida de datos personales relativos a los alumnos como consecuencia del plan de convivencia a representantes legales de menores que no eran los destinatarios de esos datos personales.

DECLARACIÓN DE INFRACCIÓN

JUNTA DE ANDALUCÍA

IES CERRO DEL VIENTO DE BENALMÁDENA (CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL)

Ver

RPS-2024/041

11/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)

Vulneración del principio de “integridad y confidencialidad"

Se reclama la divulgación por parte de un centro escolar de un listado con numerosas personas, que incluía el nombre, apellidos y DNI completo de los padres, madres o tutores con motivo de las elecciones al Consejo Escolar en la puerta de entrada del centro escolar.
Se DECLARA la INFRACCIÓN responsabilidad de la Dirección General de Ordenación, Inclusión, Participación y Evaluación Educativa (Consejería de Desarrollo Educativo y Formación Profesional) por la comisión la infracción del artículo 5.1.f) RGPD tipificada en el artículo 83.5.a) RGPD como consecuencia de la vulneración del principio de confidencialidad de los datos personales publicados para las elecciones del Consejo Escolar.

DECLARACIÓN DE INFRACCIÓN

JUNTA DE ANDALUCÍA

CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL

Ver

RPS-2024/040

10/09/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
32

Vulneración del principio de “integridad y confidencialidad"
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se denuncia que la forma de entregar las nóminas de los funcionarios del Ayuntamiento de Mairena del Aljarafe deja expuesto los datos personales y fiscales de cada uno de los trabajadores, permitiendo su acceso por terceros.
Se DECLARAN las INFRACCIONES responsabilidad del Ayuntamiento de Mairena del Aljarafe por la comisión la infracción del artículo 5.1.f) RGPD tipificada en el artículo 83.5.a) RGPD como consecuencia de la vulneración del principio de confidencialidad de los datos personales y por la comisión de la infracción del artículo 32 tipificada en el artículo 83.4.a) RGPD por la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales en el momento de producirse los hechos reclamados.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE MAIRENA DEL ALJARAFE

Ver

RPS-2024/038

02/08/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
32

Vulneración del principio de “integridad y confidencialidad"
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se reclama la notificación a la persona reclamante de asuntos referentes a otra persona por un posible error en el DNI, sin que le lleguen sus propias notificaciones que pudieran estar llegando a otra persona.
Se procede al ARCHIVO del procedimiento dirigido contra la Consejería de Inclusión Social, Juventud, Familias e Igualdad, por no ser responsable de los hechos objeto de la reclamación y se procede a la apertura de nuevas actuaciones previas de investigación dirigidas a la Secretaría General para la Administración Pública, para aclarar los hechos, causas y consecuencias del error de vinculación entre el DNI y el nombre y apellidos en Notific@ y, en especial, si como consecuencia de dicho error se ha podido producir alguna revelación de datos de la persona interesada o de su hija o de la tercera persona cuyo nombre y apellidos se asoció erróneamente al DNI de la reclamante o si la tercera persona titular de los datos identificativos pudiera no estar recibiendo las notificaciones que le corresponden.

ARCHIVO

JUNTA DE ANDALUCÍA

CONSEJERÍA DE INCLUSIÓN SOCIAL, JUVENTUD, FAMILIAS E IGUALDAD

Ver

RPS-2024/039

02/08/2024

PROCEDIMIENTO SANCIONADOR

RGPD

Licitud del tratamiento

Se denuncia haber utilizado una dirección postal desactualizada y que no se corresponde con la de su domicilio para efectuar la notificación de un embargo.
Se procede al ARCHIVO del procedimiento sancionador ante la falta de prueba suficiente que acrediten la comisión de la infracción por parte de la Agencia Tributaria de Sevilla, órgano reclamado.
Se procede al traslado de las actuaciones a la Agencia Española de Protección de Datos en relación con las posibles responsabilidades que fueran exigibles a la entidad financiera que facilitó el número de cuenta bancaria al órgano reclamado y que pudiera haber efectuado comunicaciones en su antigua dirección.

ARCHIVO

JUNTA DE ANDALUCÍA

AGENCIA TRIBUTARIA DE ANDALUCÍA

Ver

RPS-2024/037

01/08/2024

PROCEDIMIENTO SANCIONADOR

RGPD

Condiciones para el consentimiento
Vulneración en relación con “la información que deberá facilitarse cuando los datos personales se obtengan del interesado"

Se denuncia el posible incumplimiento de la normativa de protección de datos por parte de la Consejería de Desarrollo Educativo y Formación Profesional, por la utilización de cookies de terceros (Google-Analytics y YouTube) en distintos portales del órgano reclamado, sin ofrecer la posibilidad de rechazar las mismas y sin informar sobre los datos personales que recogen, ni para qué se utilizan.
Se DECLARA las INFRACCIONES responsabilidad de la Consejería de Desarrollo Educativo y Formación Profesional de los artículos 7 y 13 RGPD; tipificadas en los artículos 83.5.a) y 83.5.b) RGPD; como consecuencia del incumplimiento de la información que debe facilitarse cuando los datos personales se obtienen del interesado y de las condiciones para obtener el consentimiento.

DECLARACIÓN DE INFRACCIÓN

JUNTA DE ANDALUCÍA

CONSEJERÍA DE DESARROLLO EDUCATIVO Y FORMACIÓN PROFESIONAL

Ver

RPS-2024/036

29/07/2024

PROCEDIMIENTO SANCIONADOR

RGPD

Falta la designación del delegado de protección de datos (DPD)

Como parte de las actuaciones llevadas a cabo desde el Consejo para el fomento del cumplimiento de la normativa de protección de datos personales, en virtud de su competencia como autoridad de control en la materia, se realizaron diversos requerimientos a ayuntamientos en relación con la necesaria designación de Delegado de Protección de Datos (DPD) y su comunicación a la autoridad de control, en particular, al Ayuntamiento de Puerto Real, con la advertencia de que no dar cumplimiento a dichas obligaciones podría suponer una infracción de la mencionada normativa.
El Ayuntamiento no realizó el nombramiento de un Delegado de Protección de Datos, y es por eso por lo que se inició procedimiento sancionador.
Notificada la propuesta de resolución al órgano reclamado, presentó alegaciones pero no desvirtuaban el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficientes.
Por ello, se DECLARA la INFRACCIÓN responsabilidad del Ayuntamiento de Puerto Real por infracción del artículo 37 del RGPD, tipificada en el artículo 83.4.a) del RGPD.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE PUERTO REAL

Ver

RPS-2024/033

24/07/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)

Vulneración del principio de “integridad y confidencialidad"

Se reclama la revelación de datos personales desde alcaldía o del equipo de gobierno.
Tras un periodo de actuaciones previas de investigación, se comprobó que en [mes/año], se difundió a través de la aplicación Whatsapp, un
documento interno relativo a [asunto] que incluía el nombre, los apellidos, el DNI y el domicilio de varios concejales, presentado el [día/mes/año], ante la entidad incoada. Asimismo, no quedó acreditado a este Consejo la implementación por parte de la entidad incoada de medidas de seguridad técnicas y organizativas en el momento de producirse los hechos objeto de la reclamación, ni la adopción de medidas posteriores para evitar posibles incidencias similares en el futuro. Por ello, se inició Procedimiento sancionador.
Notificada la propuesta de resolución al órgano reclamado, éste no presentó alegaciones.
Se procede a DECLARAR la INFRACCIÓN responsabilidad del Ayuntamiento de Baena, por la comisión de la infracción tipificada en el artículo 83.5.a.) del RGPD por vulneración del artículo 5.1.f) del RGPD por incumplimiento del principio de confidencialidad de datos.
Como medida adicional se propone ordenar a la entidad incoada que informe al Consejo en el plazo de dos meses desde la notificación de la resolución, sobre la implantación y desarrollo de las medidas puestas en marcha por el Ayuntamiento en relación con el tratamiento objeto de la reclamación a los efectos de garantizar la confidencialidad de los datos personales, así como que proceda a la publicación de su Inventario de Actividades de Tratamiento con el fin de dar cumplimiento a lo dispuesto en el artículo 31.2 de la LOPDGDD y en el artículo 6 bis de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE BAENA

Ver

RPS-2024/034

24/07/2024

PROCEDIMIENTO SANCIONADOR

RGPD

5.1.f)
32

Vulneración del principio de “integridad y confidencialidad"
Falta de aplicación de adecuadas medidas técnicas y organizativas

Se reclama la comunicación de datos personales del reclamante (información de carácter sindical) a terceros a través de un grupo de whatsapp.
Tras un periodo de actuaciones previas de investigación, se comprobó que el reclamante, mediante un correo electrónico dirigido a una lista de distribución correspondiente al Ayuntamiento de Cádiz, puso en conocimiento del mismo una serie de datos sindicales. Con posterioridad, dichos datos personales (nombre, apellidos, datos sindicales y laborales) fueron comunicados a terceros, por una determinada persona que se entiende que es policía local, a través de un grupo de whatsapp que según señala el órgano reclamado no es de su titularidad, siendo recriminada dicha conducta por el propio reclamante en el whatsapp. Asimismo, quedó acreditado que no se habían adoptado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado (artículo 32 del RGPD).Por ello, se inició Procedimiento sancionador.
Notificada la propuesta de resolución al órgano reclamado, éste no presentó alegaciones.
Se procede a DECLARAR las INFRACCIONES responsabilidad del Ayuntamiento de Cádiz, por la comisión de las infracciones tipificadas en el artículo 83.5.a.) del RGPD por vulneración del artículo 5.1.f) por incumplimiento del principio de confidencialidad de datos, así como la infracción tipificada en el artículo 83.4.a.) del RGPD por vulneración del artículo 32 por la ausencia de medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales.
Como medida adicional se propone ordenar a la entidad incoada que remita al Consejo, en el plazo máximo de dos meses tras la notificación de la resolución, la documentación acreditativa de la adopción de medidas técnicas y organizativas necesarias y apropiadas, incluidas las puestas en marcha, para evitar que datos personales sean comunicados por miembros de la organización a terceros, vulnerando en principio de confidencialidad.

DECLARACIÓN DE INFRACCIÓN

ENTIDADES LOCALES

AYUNTAMIENTO DE CÁDIZ

Ver