Source: http://docplayer.es/12498765-1-tutela-de-derechos.html
Timestamp: 2018-11-16 10:39:07
Document Index: 101182654

Matched Legal Cases: ['artículo 9', 'artículo 11', 'artículo 15', 'artículo 2', 'artículo 59', 'artículo 5', 'artículo 11', 'artículo 12', 'artículo 30', 'artículo 24', 'artículo 10', 'artículo 4', 'artículo 5', 'artículo 4', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 4', 'artículo 22', 'artículo 5', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 4', 'artículo 22', 'artículo 10', 'artículo 22', 'artículo 4']

1. TUTELA DE DERECHOS - PDF
Download "1. TUTELA DE DERECHOS"
Germán Río Fidalgo
1 FUNCIÓN DE CONTROL 2014 En el ejercicio de esta función, la Agencia Vasca de Protección de Datos vela por el cumplimiento de la legislación sobre protección de datos y controla su aplicación por las Administraciones e Instituciones Públicas Vascas y, en su caso, declara infracciones a las mismas y sanciona a las entidades privadas que actúen como encargados de tratamiento por cuenta de dichas Administraciones. Además, resuelve las reclamaciones de tutela de los derechos de acceso, rectificación, cancelación y oposición, también denominados derechos ARCO, que les planteen los afectados. 1. TUTELA DE DERECHOS El procedimiento de tutela de derechos, previsto en el artículo 9.2 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, y desarrollado en el artículo 11 del Decreto 308/2005, de 18 de octubre, exige que quien reclame la tutela ante la AVPD, previamente haya ejercido su derecho ARCO ante la Administración correspondiente, y ese derecho no haya sido satisfecho total o parcialmente. Durante el año 2014, ocupan el primer lugar las reclamaciones del derecho de cancelación (10), seguidas de las relativas al Tutelas resueltas en el año 2014 derecho de acceso (6). Estas cifras confirman la tendencia de que la principal inquietud de los ciudadanos en el ejercicio de los derechos ARCO es conocer que datos suyos son objeto de tratamiento y, en mayor medida, conseguir su cancelación. Se han resuelto un total de 16 reclamaciones, dictándose resolución estimatoria en un 50% y desestimatoria en un 12% de los casos. 13% 13% Algunas reclamaciones de tutela han sido también inadmitidas por no haber ejercitado previamente la solicitud ante la administración correspondiente y otras por ser competencia de la AEPD. En algunos casos, las reclamaciones no corresponden al ejercicio del derecho de acceso a los propios datos personales, regulado en el artículo 15 de la LOPD y cuya tutela compete a la Agencia, sino que versan sobre el derecho de los ciudadanos a acceder a la información pública contenida en los a archivos y registros administrativos, regulado en los artículos 35 y 37 de la Ley 30/1992, según redacción dada por la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Se recogen a continuación las tutelas resueltas en el año 2014: ET13-016: Ejercicio del derecho de acceso ante un Ayuntamiento. Estimación formal por haberse atendido la solicitud fuera del plazo legalmente establecido. 12% 12% 50% Estimadas Desestimadas Competencia AEPD Inadmitidas Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 1
2 ET13-017: Ejercicio del derecho de cancelación ante un Ayuntamiento. Desestimada porque se cancelaron en plazo los datos solicitados, y la resolución no pudo ser notificada en plazo por causa imputable al reclamante, al quedar en lista de espera y no pasar a recoger la notificación. ET13-018: Ejercicio del derecho de acceso a su historia clínica. Estimación formal por haberse atendido la solicitud fuera del plazo legalmente establecido, ya que no acredita que hubiera notificado antes. ET13-019: Ejercicio del derecho de cancelación ante un Departamento de la Administración General de la CAPV. Diligencia de cierre ya que no presenta documentación esencial para la tramitación de la misma, pese a haber sido reiteradamente requerido para ello. ET13-020: Ejercicio del derecho de cancelación de datos publicados en el Boletín Oficial ante una Delegación Territorial de la Administración General de la CAPV. Estimación formal por haberse atendido la solicitud fuera del plazo legalmente establecido. ET13-021: Ejercicio del derecho de cancelación de datos publicados en el Boletín Oficial ante una Delegación Territorial de la Administración General de la CAPV. Estimación formal por haberse atendido la solicitud fuera del plazo legalmente establecido. ET14-001: Solicita que se retire un link. Se cierra el expediente con archivo, por falta de acreditación del requisito de haber solicitado previamente la cancelación al responsable del fichero. ET14-002: Ejercicio del derecho de acceso ante un Instituto Foral. Inadmitida. Confunde el ejercicio del derecho de acceso de la LOPD con el derecho de acceso de la Ley 30/92. ET14-004: Ejercicio del derecho de cancelación ante un Departamento de la Administración General de la CAPV. Estimatoria. ET14-005: Ejercicio del derecho de cancelación ante una Entidad privada. Remisión a la AEPD por ser de su competencia. ET14-006: Ejercicio del derecho de cancelación ante un Ayuntamiento. Estimación formal por haberse atendido la solicitud fuera del plazo legalmente establecido. ET14-007: Ejercicio del derecho de cancelación ante un Ayuntamiento. Estimatoria. ET14-008: Ejercicio del derecho de cancelación ante la Administración General de la CAPV. Desestimación por no acreditar la solicitud previa ante el responsable del fichero. ET14-009: Ejercicio del derecho de acceso a la historia clínica. Estimación porque el ejercicio de este derecho es independiente del establecido en la Ley 30/92 y otras leyes especiales (art del Reglamento de desarrollo de la LOPD). Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 2
3 2. DENUNCIAS Se trata de reclamaciones presentadas por personas físicas o jurídicas en relación a actuaciones de las Administraciones e Instituciones Públicas Vascas que podrían ser contrarias a la normativa de protección de datos personales y como tales constitutivas de alguna de las infracciones tipificadas en la Ley. Durante el año 2014 se han recibido en la AVPD 43 nuevas denuncias, y se han resuelto un total de 38, manteniéndose estable el número de denuncias respecto a las presentadas el año anterior. Denuncias archivadas más significativas DN13-028: Publicación de datos relativos a la incoación de un procedimiento sancionador en el BOTH de Gipuzkoa por parte de un Ayuntamiento. Notificación a través de Boletín Oficial amparada en la Ley 30/92 y por tanto en la LOPD (no requiere consentimiento). DN13-030: Cesión, por parte de la policía municipal de un Ayuntamiento, del número de teléfono de un taxista para la prestación de un servicio. Datos excluidos de la LOPD, al corresponderse únicamente con el teléfono profesional dado voluntariamente por el mismo, artículo 2.2 del Reglamento de Desarrollo de la LOPD. DN13-031: Publicación de datos en tablón de anuncios municipal. Se archiva por que el ayuntamiento se limita a publicar en su tablón de edictos la notificación remitida por otro ayuntamiento, en cumplimiento del artículo 59.5 de la Ley 30/92. DN13-042: Se denuncia la revelación de datos personales en el acta de la sesión del Consejo de Gobierno de una Universidad. Se archiva porque la información facilitada en la sesión del Consejo de Gobierno, a la que se refiere la denuncia, no puede suponer una intromisión ilegítima en el derecho a la protección de datos de carácter personal, sino el ejercicio del derecho a informar, por parte de un miembro de un órgano colegiado al resto de sus componentes, sobre la actividad desarrollada por uno de sus miembros en el ejercicio de la representación de intereses generales que ostenta. DN14-001: Cesión de datos sanitarios a un familiar sin consentimiento del paciente, por parte del Instituto Foral de Bienestar Social. El paciente carecía de capacidad, por lo que fue facilitado al familiar conforme al artículo 5 de la Ley 41/2002 de autonomía del paciente y 25.7 del Decreto Vasco 38/2012, de 13 de marzo. DN14-003: La conducta denunciada es el acceso a los datos del denunciante, contenidos en un expediente de actuación abierto para determinar la idoneidad del mismo para la impartición de docencia como personal docente interino, una vez iniciada la relación de servicios. Se archiva porque una de las fuentes normativas de la relación laboral, en la que se encuadra el procedimiento en cuyo seno se produce la cesión denunciada, es el reglamento para la gestión de la lista de candidatas y candidatos a sustituciones de personal docente de la Universidad. Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 3
4 Este reglamento prevé la cesión de datos denunciada, por lo que cabría considerar que la comunicación de los datos resulta necesaria para determinar la idoneidad del trabajador y, en definitiva, para el mantenimiento de la relación contractual, no cabiendo, en principio, que el afectado pueda oponerse a la misma. Además, no se facilitó más información que la estrictamente necesaria para permitir al citado Comité realizar las alegaciones que considere oportunas en defensa de los intereses del trabajador. DN14-007: Se denuncia la cesión del escrito presentado por un representante sindical a los aspirantes de un proceso selectivo de funcionarios, y se archiva porque lo que ha trascendido son datos del denunciante vinculados con su actuación cómo representante electo de los trabajadores, y dentro del entorno laboral y de representación que ostenta, por lo que el acceso por terceros funcionarios de la misma organización- a los datos de carácter personal que se denuncia, no vulnera la normativa de protección de datos. DN14-008: Cesión de datos salud sin consentimiento de los titulares de los datos, a una empresa de venta de productos médicos. Falta de prueba de los hechos denunciados. DN14-010: Publicación en el tablón de anuncios sindical de la policía local de un Ayuntamiento, de datos personales de un afiliado por parte de la Sección Sindical. Remisión a la AEPD por ser de su competencia. DN14-012: Se denuncia la cesión y tratamiento de datos de un trabajador, sin su consentimiento. Se constata que los datos habían sido recabados de fuentes accesibles al público y, por tanto, no requerían de consentimiento, conforme al artículo 11.2 b) de la LOPD. DN14-015: Instalación de cámaras de videovigilancia en propiedad privada grabando vía pública. Remisión a la AEPD por ser de su competencia. DN14-017: Denuncia dirigida a diferentes empresas privadas de seguridad por uso de cámaras de videovigilancia. Remisión a la AEPD por ser de su competencia. DN14-018: Cesión de datos por parte de un Ayuntamiento a una empresa privada para el cobro de sanciones de tráfico. Se archiva porque existía un encargo de tratamiento acorde con el artículo 12 de la LOPD. DN14-024: Cámaras de videovigilancia instaladas en un establecimiento sin el cartel informativo. Remisión a la AEPD por ser de su competencia. DN14-025: Se denuncia la publicación en internet, sin filtro alguno, de la lista provisional de aspirantes admitidos y excluidos en la convocatoria de un proceso selectivo. Se archiva porque la base sexta de la convocatoria preveía la publicación de la lista provisional en el tablón de anuncios del Ayuntamiento y en su página web. Además, la base quinta disponía que la participación en el proceso selectivo suponía la aceptación, por parte de los aspirantes, del tratamiento de los datos personales contenidos en la solicitud para las publicaciones en tablones de anuncios, páginas web y otros medios de difusión de resultados parciales y definitivos del proceso selectivo. Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 4
5 Por otra parte, según informa el Ayuntamiento, la denunciante no recurrió las bases de la convocatoria y en la solicitud, firmada por la misma y aportada por el Ayuntamiento a este expediente, se lee: la firmante consiente que sus datos personales sean objeto de tratamiento y publicación. DN14-031: Se denunciaba que, junto a una demanda judicial, la parte demandante del proceso aportaba un documento que pertenecía a un expediente disciplinario que le fue incoado al denunciante. Asimismo, el denunciante señalaba que por esas fechas no tenía copia de dicho expediente. Se archiva porque el resultado de la información recabada no se considera suficiente para destruir la presunción de inocencia, toda vez que no se ha podido acreditar, ni siquiera de manera indiciaria, que el documento incorporado a la demanda haya sido facilitado por el Ayuntamiento, careciendo de validez las manifestaciones realizadas por el denunciante, por tratarse de meras sospechas que no han podido acreditarse. DN14-033: Se denunciaba que el Ayuntamiento había comunicado a una conductora, denunciada por una supuesta infracción de tráfico, la incoación de un expediente disciplinario contra su persona. El artículo 30 del Decreto 170/1994 establece que de iniciarse el procedimiento como consecuencia de denuncia, deberá comunicarse dicho acuerdo al firmante de la misma. Se archiva porque el elemento objetivo de la infracción que se denuncia exige que se produzca un resultado; esto es, que se vulnere la confidencialidad de los datos, y, según se desprende del expediente remitido, la comunicación de datos denunciada no llegó a producirse, ya que el acuerdo fue devuelto a su procedencia. 3. PROCEDIMIENTOS DE INFRACCIÓN DE LAS ADMINISTRACIONES PÚBLICAS Son los procedimientos que se incoan a las Administraciones Públicas de esta Comunidad Autónoma, cuando existen indicios de que su conducta pudiera ser constitutiva de infracción en materia de protección de datos de carácter personal. Se regulan en el artículo 24 de la Ley del Parlamento Vasco 2/2004, de 25 de febrero, y finalizan con el archivo o, en su caso, declaración de infracción. En el año 2014 se han incoado 16 nuevos procedimientos de infracción, y se han resuelto un total de 19, de las cuales se han archivado tres, y declarado una infracción muy grave, nueve infracciones graves y seis leves. La infracción que más se ha declarado este año ha sido la vulneración del deber de secreto (artículo 10 LOPD). Otra infracción también muy repetida se refiere a la conculcación del principio de calidad de los datos (artículo 4 LOPD). También se ha impuesto una infracción por el incumplimiento del deber de información (artículo 5 LOPD). PI (DN11-014): Cesión de datos a un tercero sin consentimiento. Archivo. Prescripción por presentación de la denuncia una vez transcurrido el plazo de prescripción de la infracción. PI (DN12-031): Instalación de cámaras de videovigilancia para el control del tráfico en el exterior de los autobuses urbanos y en paneles informativos de paradas de autobús. El ayuntamiento, como responsable del sistema de Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 5
6 videovigilancia instalado, que permite la grabación de personas identificables innecesaria para el control de tráfico, vulnera el principio de calidad de los datos que consagra el artículo 4.1 LOPD. Esta infracción está tipificada como grave en el artículo 22.3 c) de la Ley Vasca 2/2004, de 25 de febrero. PI (DN y RR14-002): Publicación en el tablón público electrónico (de libre acceso para cualquier persona a través de Internet) y en el tablón electrónico sindical (intranet), de un comunicado en el que se revelaba la apertura de un expediente disciplinario al denunciante. En este caso la posible colisión entre el derecho a la protección de datos de carácter personal y el derecho a la libertad sindical ha sido ponderado por la AEPD, concluyendo que en lo actuado por los sindicatos denunciados primaria el derecho a la libertad de información sindical, sobre el derecho a la protección de datos, por lo que no procedería entender la existencia de infracción de la LOPD. Se archiva porque de la instrucción del expediente no se concluye que se haya producido una "alteración, pérdida, tratamiento o acceso no autorizado" a los datos incluidos en la publicación, ya que si el acceso por terceros a los datos de carácter personal del denunciante no vulneraba la normativa de protección de datos, no es posible que se hubiera producido una vulneración de las medidas de seguridad que hubiera permitido un indebido acceso a dichos datos del denunciante. PI (DN13-006): Publicación en página web de datos de discapacidad de la denunciante. Vulneración del deber de secreto, infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 22.3 c) de la Ley 2/2004, de 25 de febrero. PI (DN13-037): Se denuncia que en el diario El Correo se publica una noticia sobre la apertura de un expediente disciplinario al denunciante. Se declara que se ha infringido el deber de secreto del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificado como infracción grave en el artículo 22.3 f) de la Ley del Parlamento Vasco 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos. PI (DN13-035): Al realizar una búsqueda en Google con el nombre del denunciante como criterio, resultan accesibles los datos personales del mismo contenidos en una Orden Foral. Se declara que la Diputación ha infringido lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, infracción del deber de secreto, tipificada como grave en el artículo 22.3 f) de la Ley del Parlamento Vasco 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos. PI (DN13-043): Publicación en página web de listados de convocatoria a puestos de trabajo. La publicación en un entorno abierto de las listas de candidatos de las listas a sustituciones con el nombre, apellidos y DNI de los participantes, vulnera el deber de secreto del artículo 10 LOPD, infracción tipificada como leve en el artículo 22.2 e) de la Ley 2/2004, de 25 de febrero. Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 6
7 PI (DN13-031): Publicación en tablón de anuncios municipal de una notificación relativa a una infracción de tráfico ya abonada por el denunciante. Vulnera el deber de secreto del artículo 10 LOPD y constituye una infracción grave del artículo 22.3 f) de la Ley 2/2004, de 25 de febrero. PI (DN13-046): Acceso a los datos del denunciante contenidos en una sentencia, sin su consentimiento, al haberse colgado en un panel informativo ubicado en un área común de acceso para cualquier funcionario adscrito a la policía local. Infracción del deber de secreto del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como infracción grave en el artículo 22.3.c) de la Ley del Parlamento Vasco 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos. PI (DN13-019): Cesión por parte de la Delegación Territorial, de documentación obrante en expediente de conflicto laboral. Vulneración del principio de calidad de los datos, infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 22.3 c) de la Ley 2/2004, de 25 de febrero. PI (DN13-045): No inclusión en expediente sancionador de tráfico, por parte del área de Seguridad de un Ayuntamiento, de la cláusula informativa en la recogida de datos. Vulneración del principio de información, infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 22.2 d) de la Ley 2/2004, de 25 de febrero. PI (DN13-029): Publicación, por parte de una Federación Vasca, en la página web, de datos personales de federados. Vulneración del deber de secreto, infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 22.2 e) de la Ley 2/2004, de 25 de febrero. PI (DN13-036): Publicación sin consentimiento, por parte de un Ayuntamiento, de datos personales relativos a la solicitud de ocupación de vía pública. Vulneración del deber de secreto, infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 22.2 e) de la Ley 2/2004, de 25 de febrero. PI (DN14-006): Acceso a los datos del denunciante contenidos en una sentencia, sin su consentimiento, al haberse dado traslado de la misma a los sindicatos. Se declara que se ha infringido lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, infracción tipificada como leve en el artículo 22.2.e) de la Ley del Parlamento Vasco 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos. PI (DN14-004): Notificación por parte de un Departamento de la Diputación Foral, de providencia de apremio en domicilio distinto al del denunciante y su posterior publicación en Boletín sin existir, por ello, amparo legal. Vulneración del deber de secreto, infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 22.3 f) de la Ley 2/2004, de 25 de febrero. PI (DN14-002): Uso y difusión de carta remitida por un particular a una Junta Administrativa, sin su consentimiento. Vulneración del deber de secreto, Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 7
8 infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 22.2 e) de la Ley 2/2004, de 25 de febrero. PI (DN13-034): Acceso y utilización indebida de historia clínica. Vulneración del principio de calidad de los datos, infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 22.3 c) de la Ley 2/2004, de 25 de febrero. PI (DN14-016): Cesión de datos de afiliados, sin consentimiento. Vulneración del deber de secreto, infracción del artículo 10 de la LOPD, tipificada como muy grave en el artículo 22.4 h) de la Ley 2/2004, de 25 de febrero. 4. PROCEDIMIENTOS SANCIONADORES Son los procedimientos que se incoan los encargados de los tratamientos de datos personales por cuenta de los responsables de los ficheros, cuando en el ejercicio del encargo realizado por las Administraciones Públicas vulneran la normativa de protección de datos de carácter personal. En el año 2014 se tramitó un único procedimiento sancionador contra una sociedad anónima encargada del tratamiento de datos por cuenta de un ayuntamiento. PS (DN12-031): Instalación de un sistema de videovigilancia para el control del tráfico que excede de los términos de la encomienda. El sistema de videovigilancia implantado va más allá de lo encomendado, permitiendo un tratamiento de datos excesivo para la finalidad pretendida. Infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo c) de la Ley 2/2004, de 25 de febrero. Función de control 2014 (Documento extraído de la Memoria de la AVPD 2014) 8