L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La persona reclamant demanava accedir a la traçabilitat de les seves dades, del CAP de Sants. Considerava que l'ICS no havia satisfet el seu dret, atès que li havia lliurat informacions contradictòries, no l'havia informat sobre la identitat de les persones que havien consultat les seves dades i no li havia facilitat la data d'extracció de la informació. L'Autoritat resol estimar parcialment la reclamació i requerir l'ICS perquè li faciliti la traçabilitat completa i perquè informi la reclamant sobre si hi ha hagut comunicacions a terceres persones, fora de l'àmbit del responsable del tractament. En darrer terme, respecte de la identitat de les persones que han accedit a les dades dins l'àmbit del responsable del tractament, s'argumenta que el dret d'accés de l'article 15.c RGPD no empara el dret de les persones interessades d'accedir a aquesta informació.
L'Ajuntament no va implementar les mesures tècniques i organitzatives adequades per impedir, des del disseny i per defecte, la possibilitat que si dues persones entren simultàniament al sistema, cadascuna amb el seu certificat electrònic, s'accedeixi a la pantalla inicial de la carpeta ciutadana de l'altra persona. A conseqüència d'això, es va infringir el deure de confidencialitat, en quedar exposades les dades d'una altra persona usuària. Concurs medial d'infraccions (mesures de seguretat i confidencialitat). Es declara la infracció del principi de confidencialitat.
S'acorda iniciar un procediment sancionador contra l'ajuntament, perquè té publicada a la seu electrònica l'audioacta completa del Ple municipal, durant el qual un regidor va fer unes manifestacions que tractaven de dades personals relatives a un expedient disciplinari obert contra el cap de la Policia local.
Es declara que l'Ajuntament ha comès 3 infraccions: 1) Una infracció per fer ús d'algunes galetes que tracten dades personals, sense haver-ne informat prèviament; 2) Una altra infracció per fer ús de galetes no necessàries, sense haver recollit el consentiment; i 3) Una tercera infracció per no publicar al web tota la informació del RAT.
D'altra banda, a l'acord d'iniciació es van arxivar els fets denunciats relatius a: 1) Manca de política de privacitat: es va arxivar perquè la informació figurava publicada al web, tot i que amb un terme diferent, però vàlid; 2) Manca d'avís legal: es va arxivar perquè, en aquest apartat d'un web, no s'inclou la informació que requereix la normativa de protecció de dades; i 3) Omissió de la informació del RAT en el portal de transparència: es va arxivar, atès que la norma només obliga a fer-ho públic per mitjans electrònics; 4) Omissió de la informació referent al delegat de protecció de dades: es va arxivar atès que no cal publicar-hi el nom i cognoms.
El denunciant es queixa que, en el marc d'un procés de selecció de personal funcionari, la DGFP va traslladar dades personals a una tercera empresa. La DGFP acredita que es tracta d'un encarregat de tractament i que, per tant, no és una comunicació de dades.
Aquesta denúncia està vinculada a una reclamació d'exercici del dret d'accés presentada davant d'aquesta Autoritat, que tenia per objecte obtenir una còpia de la història clínica del reclamant. A la vegada, presenta una denúncia contra l'ICS per haver esborrat dos informes mèdics de la seva HC3. En fase d'informació prèvia aquesta Autoritat confirma que un d'aquests informes figura a l'HC3, però amb una data posterior, atès que l'ICS va modificar l'informe, a petició del mateix denunciant. La data del segon informe que reclama no es correspon amb cap assistència mèdica, sinó amb la data d'un correu electrònic de l'ICS en què responia una petició de rectificació. S'arxiva la denúncia.
S’arxiva la denúncia per la revelació d'informació sobre una menor a terceres persones durant una reunió, perquè tots els assistents coneixien aquesta informació abans de la reunió i no es disposa de cap element que permeti acreditar que l'institut ha vulnerat la normativa de protecció de dades. En relació amb l'eventual accés, visualització i descàrrega del contingut emmagatzemat al telèfon mòbil de la menor, tampoc hi ha cap element que permeti acreditar que l'institut ha comès una infracció de la normativa de protecció de dades. Per tant, escau aplicar el principi de presumpció d'innocència i arxivar els fets denunciats.
El denunciant es queixa que al Facebook d'un grup municipal s'ha publicat la notícia que s’ha interposat un recurs contra l'acord d'aprovació d'un conveni, i que aquesta notícia s'acompanya amb una imatge del conveni impugnat on consten els noms i cognoms de les parts signants. S'acorda arxivar la denúncia, perquè la normativa de transparència preveu que els convenis es publiquin amb la identificació de les parts i, per tant, aquestes dades ja eren públiques. D'altra banda, es trasllada a l'AEPD la part dels fets relatius a una eventual republicació d'aquesta mateixa notícia al Facebook personal de dos regidors del grup municipal.
El denunciant es queixa que al Facebook d'un grup municipal s'ha publicat la notícia que s'ha interposat un recurs contra l'acord d'aprovació d'un conveni, i que aquesta notícia s'acompanya amb una imatge del conveni impugnat on consten els noms i cognoms de les parts signants. S'acorda arxivar la denúncia, perquè la normativa de transparència preveu que els convenis es publiquin amb la identificació de les parts i, per tant, aquestes dades ja eren públiques. D'altra banda, es trasllada a l'AEPD la part dels fets relatius a una eventual republicació d'aquesta mateixa notícia al Facebook personal de dos regidors del grup municipal.
El tractament de dades personals denunciat, referit a la publicació de la identitat de les persones que van sol·licitar HPO, està emparat per l'article 6 RGPD, apartats c i e, atesa la necessitat de complir una missió realitzada en interès públic o en l'exercici de poders públics conferits a l'Ajuntament de Terrassa. Específicament, es compleix el mandat previst per la Llei 18/2007, del dret a l'habitatge, que preveu la competència municipal per crear un registre de sol·licitants d'HPO. També el Reglament del registre de sol·licitants d'HPO de Terrassa, que preveu que els acords -tant provisionals com definitius- s'han de publicar.