L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
Quatre professionals sanitaris que presten els seus serveis a l'Equip d'Atenció Primària Penitenciària de Lledoners, que depèn de l'Institut Català de la Salut, van denunciar que el Sr. A va accedir a les seves històries clíniques (HC) indegudament, per fer una petició de prova PCR arran d'un brot de covid-19 a la infermeria del centre. Així mateix, també denunciaven que després el Sr. A va comunicar els resultats de les PCR a un grup de WhatsApp. En relació amb això, escau arxivar els fets, atès que l'ICS ha argumentat que la persona que va accedir a les HC de les persones denunciants ho va fer en l'exercici de les seves funcions. Així mateix, també ha argumentat que, amb motiu de la covid-19, els EAP van assumir les tasques de programar PCR al personal sanitari, fet que justifica els accessos denunciats. I, pel que fa a la comunicació dels resultats de les PCR per WhatsApp, l'Autoritat ha avaluat la proporcionalitat que exigeix la doctrina constitucional i ha conclòs que, ateses les circumstàncies d'excepcionalitat, el dret a la protecció de dades personals dels denunciants havia de decaure, davant la necessitat de salvaguardar la salut pública i prevenir més contagis.
S'estima la reclamació, atès que la Direcció General de la Policia del Departament d'Interior (DGP) no va respondre en termini la sol·licitud de la persona reclamant. No cal efectuar un pronunciament sobre el fons, atès que la DGP ha estimat la sol·licitud de supressió. Es requereix a la DGP que acrediti que ha notificat la resolució a la persona reclamant.
La conservació de les imatges captades amb fins de seguretat més enllà del termini màxim d’un mes establert per a la seva supressió, als efectes d’emprar-les per a d’altres finalitats, requeriria de la concurrència d’una altra base jurídica diferent a la que legitima el seu tractament en origen, com s’apunta en aquest informe. En aquells casos en què es pugui considerar lícit el tractament ulterior de les imatges, no resultaria procedent la seva supressió ni, per tant, el seu bloqueig mentre resultin necessàries per assolir la finalitat pretesa, sens perjudici de limitar-ne l’accés a les persones que ho requereixin en atenció a les seves funcions.
La normativa de protecció de dades limitaria l’accés a les dades dels registres dels radars de punt relatives a la identificació dels vehicles tot i que es podria facilitar aquesta informació amb la prèvia psedonimització d’aquestes dades sempre que es pugui garantir de manera raonable d’acord amb la finalitat de l’accés i mitjans disponibles la no reversió del procés sense esforços desproporcionats.
La normativa de protecció de dades limitaria l’accés a les dades dels registres dels radars de punt relatives a la identificació dels vehicles tot i que es podria facilitar aquesta informació amb la prèvia psedonimització d’aquestes dades sempre que es pugui garantir de manera raonable d’acord amb la finalitat de l’accés i mitjans disponibles la no reversió del procés sense esforços desproporcionats.
La normativa de protecció de dades no impedeix l’accés de la persona reclamant a la informació que consti a l’expedient reclamat que no faci referència a categories especials de dades, en concret a la sol·licitud de participació així com a la declaració dels mèrits i la seva valoració pel tribunal qualificador i el resultat del procés de selecció. Tampoc impediria accedir a les dades merament identificatives com el nom i el cognom i el càrrec de les persones que han intervingut en la tramitació de l’expedient.
En el cas que es verifiqui que la persona sol·licitant de la informació és membre del comitè d’empresa o delegada sindical, la normativa de protecció de dades no impediria comunicar-li la informació individualitzada que sol·licita, amb indicació de la identitat (nom i cognoms) de les persones treballadores subrogades de les llars d’infants de l’ajuntament reclamat, que ocupin llocs de treball de direcció o d’especial responsabilitat. Pel que fa a la resta de persones treballadores únicament es podrà facilitar la informació sobre les retribucions corresponents a l’antiguitat, de manera desagregada per sexe i distribuïda per grups professionals o llocs de treball d’igual valor, sense que es pugui identificar a aquestes persones de manera individualitzada ni facilitar la informació relativa a l’antiguitat abans de la subrogació ni a l’antiguitat reconeguda per l’ajuntament.
S'imputen dues infraccions:
1.Vulneració principi minimització. En el marc d'un procés d'adjudicació d'HPO, concretament en el tràmit de presentació de sol·licituds per participar en el sorteig d'adjudicació, l'Ajuntament sol·licitava una còpia del DNI quan aquesta no era necessària.
2. Manca contracte encarregat. Les dades de les persones que presenten davant l'Ajuntament les seves sol·licitud per participar en el sorteig són comunicades a una empresa externa (la cooperativa que farà els habitatges), sense la cobertura d'un contracte d'encarregat del tractament.
Vulneració del principi de licitud i de la limitació del termini de conservació. S'imputa licitud perquè es publiquen dos documents amb els resultats del procés selectiu en què consten els DNI complets dels aspirants. Segons la normativa (disposició addicional setena de la LOPDGDD), s'han de publicar els noms i cognoms més 4 xifres aleatòries del DNI.
A més, també es publiquen les signatures manuscrites de les persones signants dels documents.
Pel que fa al termini de conservació, l'Ajuntament manté publicades les llistes amb les dades personals de les persones aspirants que finalment no han estat seleccionades, mesos després de la celebració del procés selectiu.
No es disposa de cap element que permeti acreditar que s'ha comès una filtració de dades confidencials als mitjans de comunicació, ni cap altra infracció de la normativa de protecció de dades.