La AVPD detecta seis infracciones «muy graves» en la Administración
La Agencia Vasca de Protección de Datos abrió el año pasado 22 procedimientos contra instituciones de la CAV por posibles infracciones en esta materia. Del total de casos incoados, constató que hubo infracción en dieciocho, y seis fueron calificados como «muy graves». Osakidetza y el Departamento de Seguridad figuran entre los denunciados.
La Agencia Vasca de Protección de Datos (AVPD) ha hecho pública la Memoria del pasado ejercicio, en el que este organismo recibió más de 800 peticiones de asesoramiento, la mayoría de ellas, un 59%, por parte de ciudadanos y ciudadanas, mientras que el 36% corresponde a demandas de información por parte de diversas instituciones.
En el extenso informe, entregado al Ejecutivo de Lakua y al Parlamento, llama la atención el apartado dedicado a los procedimientos abiertos a las administraciones por conductas que podrían ser constitutivas de infracción en materia de protección de datos de carácter personal. Estos procedimientos se regulan en el artículo 24 de la Ley 2/2004 de la Cámara de Gasteiz y pueden acabar siendo archivados o, al contrario, con una declaración de infracción y el requerimiento de adopción de las pertinentes medidas correctoras. Según la Memoria de la AVPD, el año pasado se incoaron 22 nuevos procedimientos, de los que fueron resueltos 21. Tres de ellos acabaron siendo archivados, sin embargo, en seis casos se detectaron infracciones «muy graves», además de cinco «graves» y otros siete «leves».
Sin medidas correctoras
Uno de los casos muy graves se refiere a una denuncia ejercida contra Etxebide por la publicación de datos personales, entre ellos algunos considerados «sensibles». El Servicio Vasco de Vivienda habría infringido los artículos 11 y 7 de la Ley Orgánica de Protección de datos (LOPD), al difundir detalles de carácter personal, entre ellos algunos especialmente protegidos, fuera de los supuestos en los que la ley lo permite. Resulta llamativo, en este caso, que a pesar de ser sancionado por una infracción muy grave, Etxebide no ha comunicado a la AVPD las medidas correctoras que presuntamente habría adoptado.
Y no ocurre sólo con Etxebide: el Departamento de Educación también ha optado por no informar sobre las medidas adoptadas ante otra infracción de carácter muy grave, en su caso por publicar en la web del Instituto de Formación Profesional a Distancia listas con nombre y apellidos, el número del DNI y si la persona en concreto tenía o no alguna minusvalía, vulnerando los artículos 11 y 7.3 de la LOPD.
El Departamento de Seguridad
Otra de las instituciones sancionadas por una infracción muy grave es el Departamento de Seguridad, algo paradójico, pues se le presupone una función de defensa y garantía de los derechos. La AVPD observa una vulneración del deber de secreto por la difusión de la reseña policial de una persona. Pero no queda ahí, pues esa Consejería también fue censurada por una infracción de igual gravedad por llevar a cabo un tratamiento de datos basados en información que debía haber sido cancelada.
Osakidetza es otra de las instituciones señaladas como autora de dos infracciones muy graves, en ambos casos por el incumplimiento de un mandato previo de la propia AVPD para que cancelara información de carácter personal y datos relativos a la salud de los denunciantes.
Como infracción muy grave es calificada también la publicación en abierto de los datos indentifitativos y profesionales de la plantilla municipal del Ayuntamiento de Ermua, sin el consentimiento de los afectados.
El derecho a la privacidad es cada vez más asumido por la sociedad
La labor de la AVPD en 2017 ha venido marcada por el Reglamento 2016/679 del Parlamento y el Consejo Europeo, que es aplicable desde el pasado 25 de mayo y que persigue armonizar la normativa de protección de datos en toda la UE, además de adaptar la normativa a los retos de la evolución tecnológica. Por ello, aparte de su trabajo ordinario, la AVPD ha dedicado tiempo y esfuerzo en informar a las instituciones sobre las obligaciones que impone el nuevo Reglamento, que además obliga a adaptar el marco jurídico de los estados y también la Ley Vasca de 2004.
Este cambio en el ámbito normativo de la protección de datos se enmarca en un contexto en el que la ciudadanía, también la vasca, tiene cada vez más interiorizado su derecho a la intimidad y la privacidad. Así lo constata la Memoria de la AVPD, donde se señala que «son numerosísimas las cuestiones planteadas en relación al derecho de acceso a la información personal, así como la demanda de ayuda para ejercitar correctamente los derechos de cancelación y oposición en el entorno de internet», el llamado derecho al olvido.
Por otra parte, la AVPD llama la atención sobre la tendencia creciente del uso de dispositivos de videovigilancia, tanto en el sector público como el privado, incluso para finalidades sin amparo legal. El tratamiento de imágenes de menores y el uso de datos biométricos son asimismo citados entre las consultas planteadas a ese organismo en el pasado ejercicio.I.B.