L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La publicació de les dades identificatives de les persones responsables dels sistemes interns d’informació previstos a la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informen sobre infraccions normatives i de lluita contra la corrupció, pot tenir com a base jurídica l’article 9.1. b) de la LTC en relació amb l’article 6.1.c) del RGPD, en la mesura que es consideri el seu caràcter d’òrgan administratiu en els termes de la normativa de règim jurídic de les administracions públiques.
En qualsevol cas, es pot argumentar que existeix un interès públic que justificaria la publicació d'aquesta informació, d'acord amb l'article 8.1.m) de la LTC, que en relació amb l'article 6.1.e) del RGPD, constituiria una base jurídica vàlida per al tractament d'aquestes dades personals. D'acord amb el principi de minimització de dades, la publicació ha de limitar-se exclusivament a les dades estrictament necessàries, com són el nom i cognoms, el càrrec o lloc ocupat, el cos i l'escala, les funcions desenvolupades, així com les dades de contacte professional, el telèfon i les adreces, postal i electrònica, de contacte professional.
L'Ajuntament va publicar, en obert, a la seva seu electrònica, diversos anuncis que contenen les dades personals dels participants d'un procés selectiu d'agents de la policia local. 1) S'imputa una vulneració del principi de licitud, perquè l'Ajuntament va publicar les qualificacions obtingudes per les persones que no van superar el procés selectiu, identificades amb el nom i cognoms i les quatre xifres del DNI, sense comptar amb cap base jurídica que legitimés la publicació o difusió d'aquesta informació. 2) S'imputa la vulneració del principi de minimització de dades, perquè l'Ajuntament va publicar l'edat dels aspirants, que no era una dada necessària per a la finalitat del tractament. 3) S'imputa la vulneració del principi de limitació del termini de conservació, perquè l'Ajuntament mantenia publicats diversos anuncis que contenen la informació personal dels participants del procés selectiu, quan ja no calia per complir la finalitat del tractament. 4) S'imputa a l'Ajuntament l'incompliment del deure de subscriure un contracte d'encàrrec del tractament.
En el marc d'una SAIP relativa a la denúncia del II Acord de la Mesa Sectorial de Negociació de Sanitat sobre les condicions de treball del personal estatutari, l'ICS va revelar a tres entitats sindicals la identitat (nom i cognoms) de la persona que va efectuar l'esmentada SAIP en nom propi, com a persona física, i que s'havia oposat expressament a aquesta comunicació. Es declara que s’ha comès la infracció prevista a l'article 83.5.a en relació amb l'article 5.1.c, ambdós de l'RGPD, per la vulneració del principi de minimització.
La persona reclamant demanava la supressió de les seves dades personals que consten a la publicació de la llista definitiva de persones aspirants excloses d'un procés selectiu. Escau estimar la reclamació, perquè el Departament no va resoldre i notificar en forma i en termini la sol·licitud. Escau requerir al Departament que retiri la publicació de la llista definitiva de persones aspirants excloses, a l'efecte de satisfer el dret de supressió exercit i complir el principi de limitació del termini de conservació (art. 5.1.e RGPD).