L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La persona es queixava que s'havia accedit indegudament a la seva història clínica. L'ICS ho reconeix i manifesta que ha adoptat mesures per evitar que es produeixin més accessos indeguts. Es dicta resolució definitiva imputant vulneració del principi de confidencialitat.
L'entitat no havia comunicat a l'Autoritat Catalana de Protecció de Dades la designació d'un delegat/ada de protecció de dades que, d'acord amb l'article 37.1 de l'RGPD, és de designació obligatòria per l'entitat. Aquesta obligació prevista a l'RGPD era plenament aplicable, i exigible a l'entitat, des del mes de maig de 2018.
Es resol sancionar FMB S.A degut a què la manca d'implementació de mesures tècniques i organitzatives apropiades, li ha impedit localitzar l'expedient personal de la persona que va prestar serveis a l'empresa denunciada. Aquest fet, vulnera l'article 32.1 RGPD que disposa l'obligació del responsable del tractament de garantir la disponibilitat i seguretat de les dades personals.
Es resol arxivar la present denúncia atès que els accessos a la història clínica de la persona denunciant es van efectuar des d'un Centre d'Atenció Primària, per part d'un professional que tenia assignades tasques administratives i de gestió estadística, en el marc del Pla Nacional Estadístic (2021-2024). Al respecte, escau concloure que el referit accés resta emparat per l'article 6.1 e) RGPD relatiu a l'exercici de poders públics, en consonància amb la Llei 12/1989, de 9 de maig, de la Funció Estadística Pública.
La persona reclamant no pot accedir al nom de les persones físiques titulars d’una llicència d’activitat d’habitatge d’ús turístic associada al número d’inscripció en el Registre de Turisme de Catalunya, però sí se li podria lliurar informació anonimitzada amb un nivell d’agregació territorial que garanteixi la no identificació de les persones afectades.
Prenent en consideració els termes en què es formula la reclamació i els elements que concorren, la normativa de protecció de dades no impedeix l’accés de la persona reclamant a la informació relativa a les entitats en les quals l’alumnat ha realitzat les pràctiques universitàries.
Des del punt de vista de la normativa de protecció de dades no hi ha d’haver impediment en facilitar a la persona reclamant la informació relativa a les quantitats percebudes per cada un dels regidors i alcalde de l'Ajuntament des de juny de 2019 fins a l'octubre de 2022 desglossades per anys i per conceptes.
Es declara extemporània la resolució de la DGP, atès que el dret de supressió es va resoldre i notificar superat el termini d'1 mes establert a l'efecte, sense entrar en altres consideracions respecte el fons, ja que la DGP ha resolt suprimir les dades de la persona reclamant.
S'estima parcialment la reclamació en constatar, pel que fa a la sol·licitud sobre traçabilitat, que no calia informar sobre la identitat de les persones físiques que van accedir a la HC; i pel que fa a la còpia de la HC, que si bé l'ICS li havia lliurat còpia del curs clínic, li mancava lliurar un informe mèdic, així com comunicar al reclamant que no disposaven de la resta de documentació mèdica citada en la documentació lliurada.