L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
A partir del dia 25 de maig de 2018 no és exigible la creació dels fitxers de titularitat pública mitjançant una disposició de caràcter general, sinó que serà suficient amb la inclusió del tractament en el registre d’activitats del tractament que ha de portar cada responsable i encarregat del tractament.
Atès que la comunicació de dades dels fitxers d’història clínica seria conseqüència d’una modificació en la forma de gestió dels serveis de salut mental i addicions, per la qual una entitat municipal se subrogaria en la posició de l’altra, seria necessari, fins que no resulti plenament aplicable l’RGPD, notificar al Registre de Protecció de Dades de Catalunya la modificació del responsable d’aquests fitxers i informar-ne les persones afectades. Això, sens perjudici del compliment de la resta de principis i obligacions establertes a la legislació de protecció de dades.
Les entitats que conformen el sector públic de la Generalitat de Catalunya són, cadascuna d’elles, responsables dels tractaments de les dades personals de què disposen. La responsabilitat de l’Agència Tributària de Catalunya i de la Direcció General de Protecció Social en el tractament d’aquestes dades dependrà de la manera en què s’articuli la seva comunicació, si bé, per la informació de què es disposa, aquestes podrien adoptar la postura d’encarregades del tractament, sempre que es formalitzi el corresponent contracte d’encàrrec. En aquest dictamen també s’analitza el compliment d’algunes de les obligacions imposades per la normativa de protecció de dades (obtenció del consentiment, deure d’informació, creació de fitxers i resolució dels procediments d’exercici de drets).