L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La publicació de les dades identificatives de les persones responsables dels sistemes interns d’informació previstos a la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informen sobre infraccions normatives i de lluita contra la corrupció, pot tenir com a base jurídica l’article 9.1. b) de la LTC en relació amb l’article 6.1.c) del RGPD, en la mesura que es consideri el seu caràcter d’òrgan administratiu en els termes de la normativa de règim jurídic de les administracions públiques.
En qualsevol cas, es pot argumentar que existeix un interès públic que justificaria la publicació d'aquesta informació, d'acord amb l'article 8.1.m) de la LTC, que en relació amb l'article 6.1.e) del RGPD, constituiria una base jurídica vàlida per al tractament d'aquestes dades personals. D'acord amb el principi de minimització de dades, la publicació ha de limitar-se exclusivament a les dades estrictament necessàries, com són el nom i cognoms, el càrrec o lloc ocupat, el cos i l'escala, les funcions desenvolupades, així com les dades de contacte professional, el telèfon i les adreces, postal i electrònica, de contacte professional.
L'Ajuntament va publicar, en obert, a la seva seu electrònica, diversos anuncis que contenen les dades personals dels participants d'un procés selectiu d'agents de la policia local. 1) S'imputa una vulneració del principi de licitud, perquè l'Ajuntament va publicar les qualificacions obtingudes per les persones que no van superar el procés selectiu, identificades amb el nom i cognoms i les quatre xifres del DNI, sense comptar amb cap base jurídica que legitimés la publicació o difusió d'aquesta informació. 2) S'imputa la vulneració del principi de minimització de dades, perquè l'Ajuntament va publicar l'edat dels aspirants, que no era una dada necessària per a la finalitat del tractament. 3) S'imputa la vulneració del principi de limitació del termini de conservació, perquè l'Ajuntament mantenia publicats diversos anuncis que contenen la informació personal dels participants del procés selectiu, quan ja no calia per complir la finalitat del tractament. 4) S'imputa a l'Ajuntament l'incompliment del deure de subscriure un contracte d'encàrrec del tractament.
En el marc d'una SAIP relativa a la denúncia del II Acord de la Mesa Sectorial de Negociació de Sanitat sobre les condicions de treball del personal estatutari, l'ICS va revelar a tres entitats sindicals la identitat (nom i cognoms) de la persona que va efectuar l'esmentada SAIP en nom propi, com a persona física, i que s'havia oposat expressament a aquesta comunicació. Es declara que s’ha comès la infracció prevista a l'article 83.5.a en relació amb l'article 5.1.c, ambdós de l'RGPD, per la vulneració del principi de minimització.
La persona reclamant demanava la supressió de les seves dades personals que consten a la publicació de la llista definitiva de persones aspirants excloses d'un procés selectiu. Escau estimar la reclamació, perquè el Departament no va resoldre i notificar en forma i en termini la sol·licitud. Escau requerir al Departament que retiri la publicació de la llista definitiva de persones aspirants excloses, a l'efecte de satisfer el dret de supressió exercit i complir el principi de limitació del termini de conservació (art. 5.1.e RGPD).
En aquesta consulta l’Autoritat ha tingut ocasió d’examinar si la publicació del nom i cognoms i els quatre números del document nacional d’identitat o document equivalent de les persones admeses en cada prova o exercici dels processos de selecció, prevista a l’article 21.2 de l’RLTC, es pot basar en una obligació legal o bé en una missió realitzada en interès públic o en l’exercici de poders públics, tenint en compte que l’article 9.1.e) de la LTC estableix únicament que l’Administració ha de fer pública la informació relativa a les convocatòries i els resultats del processos selectius de provisió i promoció del personal i no fa cap referència, en canvi, a la publicació de les dades de les persones admeses en cadascuna de les fases del processos de selecció.
L’anàlisi feta porta a considerar que el desenvolupament de la LTC efectuat per l’article 21 del RLTC, pel que fa a la incorporació a la publicitat activa la informació relativa a les persones admeses en cada prova o exercici del procés resultaria ser congruent amb la regulació de la transparència establerta per la LTC i la normativa sectorial aplicable, sempre que, des del punt de vista de la normativa de protecció de dades s’efectuï una interpretació respectuosa amb els principis de minimització i de limitació del termini de conservació de les dades personals.
En base a aquestes consideracions l’Autoritat conclou que el tractament a que fa referència la consulta és un tractament lícit emparat en la normativa de funció pública i procediment administratiu, així com a la normativa de transparència en relació amb els articles 6.1.c) i 6.1.e) del RGPD. Ara bé, aquesta publicitat s’ha d’efectuar en el marc de cada procés de selecció d’acord amb el que estableixin les bases del procés de selecció i durant els terminis de publicació derivats del principi de limitació del termini de tractament de les dades personals.