L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La normativa de protecció de dades no impedeix comunicar a la persona reclamant la informació que sol·licita, relativa als accessos a la seva història clínica, inclosa la identitat dels professionals, rang i categoria professional, que hi han accedit.
L'entitat reclamada no ha acreditat que hagi respost la sol·licitud de rectificació exercida per la persona reclamant.
S'amonesta l'Ajuntament de Sant Boi de Llobregat com a responsable d'una infracció prevista a l'article 83.5.a en relació amb l'article 5.1.f, ambdós de l'RGPD, per l'enviament d'un correu electrònic a nombroses persones sense utilitzar l'eina de còpia oculta.
La persona denunciant posava de manifest que des del CAP Centelles es va accedir a la seva HC3 en quatre ocasions, durant els mesos de maig de 2022, malgrat no haver estat visitada en aquell centre sanitari. En resposta, el DPD de l'entitat denunciada ha confirmat ser l'autor material dels accessos i els ha justificat argumentant que eren necessaris per tal de poder donar resposta a un requeriment d'informació que aquesta Autoritat va notificar a l'esmentada entitat, en el marc d'una altra denúncia presentada per la mateixa persona denunciant. En relació amb això, durant la fase d'informació prèvia s'ha pogut constatar que, els accessos que va dur a terme el delegat de protecció de dades personals a l'HC3 de la denunciant estaven justificats, atès que es van dur a terme en l'exercici de les seves funcions, i per donar resposta a un requeriment d'aquesta Autoritat. Per tot això, escau l'arxivament de les presents actuacions.
S'imputa a la Residència les següents infraccions: vulneració del principi de licitud per publicar imatges a les xarxes socials sense disposar d'un consentiment vàlid a tal efecte, vulneració de l'obligació prevista a l'article 30 de l'RGPD i vulneració del deure d'informació previst a l'article 13 de l'RGPD. Per contra, s'arxiven la resta de conductes també denunciades, en concret la queixa relativa a la manca d'elaboració d'una AIPD, atès que la Residència va iniciar l'activitat abans de l'entrada en vigor de l'RGPD, i en la mesura que no van quedar acreditats canvis substancials en els tractaments duts a terme per la Residència, i la queixa relativa al fet que els servidors del web de la Residència es trobarien fora de la Unió Europea, atès que s'ha pogut constatar que aquests es troben dins l'àmbit europeu.
Escau amonestar l'Ajuntament per 1) captar imatges de la via pública a través del sistema de càmeres de videovigilància situades a unes illes de contenidors que no es trobaven tancades ni delimitades; i 2) tractar les imatges captades per aquest sistema de videovigilància situat a la via pública, per exercir la potestat sancionadora contra veïns del municipi. S'aprecia un concurs medial entre ambdues infraccions, però només escau sancionar la infracció principal, que és la vulneració del principi de licitud pel que fa a la instal·lació d'un sistema de videovigilància a la via pública.
S'estima la reclamació per la desatenció del dret de supressió de dades contingudes en carpetes compartides en l'àmbit laboral, a les quals la persona reclamant ara no té accés, i que inclouen correus electrònics de caràcter personal.
Escau estimar la reclamació, atès que l'ICS no va respondre en termini la sol·licitud de la persona reclamant. Respecte del fons, no escau efectuar cap pronunciament ni requerir cap actuació, ja que l'ICS ha acreditat que ha entregat la documentació a la persona reclamant en els termes sol·licitats, és a dir, ha fet efectiu el dret exercit per la persona reclamant, tot i que extemporàniament.
La persona reclamant es queixava que la DGP no havia respost a les seves peticions de supressió de dades (4 en total) dins del termini del mes previst legalment a l'efecte. S'estima la reclamació presentada contra la DGP, atès que no va respondre en termini les seves 4 sol·licituds, no es fa cap pronunciament respecte el fons de la reclamació, atès que la DGP va resoldre estimar les sol·licituds de supressió presentades per la persona reclamant.
Escau amonestar l'Ajuntament, atès que aquest no informava degudament sobre el tractament d'imatges captades per les càmeres de videovigilància instal·lades en els punts de control d'accés a zones de trànsit restringit, ja que, a part de la informació que consta als cartells informatius, en la informació complementària que estava disponible a la pàgina web del consistori, l'Ajuntament no informava sobre el dret a presentar una reclamació davant aquesta Autoritat, i per tant, l'Ajuntament no informava de tots els extrems previstos a l'article 13 de l'RGPD.