L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
S'estima la reclamació perquè el reclamant va sol·licitar l'accés a una determinada informació indicant expressament que fos mitjançant "visualització en pantalla", i el Departament DS li va entregar impressions de pantalla. La normativa vigent (RGPD, LOPDGDD i Real decret 1720/2007) preveuen que l'interessat pugui escollir el mitjà com rebre la informació, i en aquest cas, no es va respectar el canal escollit.
L'entitat va respondre en termini la sol·licitud de supressió d'història clínica formulada per la reclamant. En quant al fons, les raons esgrimides per l'entitat per no procedir a la supressió de la documentació clínica s'ajustarien a allò que prescriu la normativa de protecció de dades i la legislació sanitària.
D’acord amb la normativa de protecció de dades de caràcter personal, no resulta justificat l’accés de la persona reclamant al contingut íntegre dels expedients sol·licitats, atesa la naturalesa de la informació personal dels expedients i les persones afectades. Això, sens perjudici que es pugui facilitar informació anonimitzada o pseudonimitzada que permeti contrastar i verificar els càlculs que s’han fet en cada cas, sense permetre la identificació o reidentificació de les persones afectades.
L’exigència del certificat COVID en els termes exposats i que han estat autoritzats pel Tribunal Superior de Justícia de Catalunya, no es pot considerar contrària a la normativa de protecció de dades personals. Igualment, quan sigui exigible aquest certificat, l’exigència d’exhibició de l’anvers del DNI als efectes de verificar la identitat resulta compatible i proporcionat d’acord amb la normativa de protecció de dades personals.
La comunicació d’informació sobre els formadors per impartir l’acció formativa a empreses i entitats organitzadores, limitada a les dades identificatives, de contacte i de capacitació o experiència, seria lícita i s’ajustaria al principi de minimització de dades, per resultar necessàries tant per a l’execució del contracte com per al compliment d’obligacions legals. A més, les autoritats competents poden requerir la informació vinculada a l’acció formativa necessària per controlar l’execució i l’aplicació de la bonificació per part de les empreses. Amb la informació de la qual es disposa, no sembla però justificada la comunicació d’informació relativa a les dades relatives a l’usuari i contrasenya d’accés a l’aula virtual assignades als alumnes de l’activitat formativa, ni les relatives a la situació professional del personal formador o responsable de l’activitat.
L'Ajuntament no va efectuar una anàlisi de riscos per determinar les mesures de seguretat aplicables per garantir la seguretat de les dades personals vinculades a 12.500 consultes al SIP que es van auditar, als efectes de verificar si s'havien realitzat en l'exercici de les funcions encomanades a dos agents de la Guàrdia Urbana.
S'arxiva allò referent al lliurament d'informes amb dades de terceres persones; a les actuacions realitzades pel cap de la GU mentre estava de baixa; a la comunicació de la incoació dels expedients disciplinaris a la CUP i a les persones afectades pels accessos al SIP; a la comunicació de la incoació dels expedients disciplinaris als representants sindicals; a la petició de l'auditoria d'accessos al SIP per part del cap de la GU; i a l'encriptació del correu a través del qual se sol·licità l'auditoria d'accessos al SIP.
Des del punt de vista de la normativa de protecció de dades, es pot facilitar a la persona reclamant les sol·licituds dels expedients de la PAC reclamats relatius a les finques de la seva propietat a les quals es refereix la reclamació, excloent la informació relativa a les parcel·les declarades que siguin titularitat de terceres persones. També es pot facilitar informació sobre l’import global de l’ajut atorgat respecte aquestes declaracions i, en cas que se’n disposi, de l’import corresponent a les finques declarades que siguin propietat del reclamant.
La normativa de protecció de dades personals i, en conseqüència, els límits previstos als articles 23 i 24 de l’LTC és aplicable a qualsevol dada personal en poder de l’Ajuntament, amb independència que formi part d’un expedient administratiu o no. El dret d’accés reconegut a la normativa de protecció de dades, inclou el dret a ser informat respecte a si s’estan tractant les seves dades personals i, en cas afirmatiu, rebre informació dels aspectes a què fa referència l’article 15 de l’RGPD (les finalitats, les categories de dades, els destinataris als quals es comunicaran, el termini previst de conservació de les dades, els drets relatius a la protecció de les seves dades que pot exercir, quan s’escaigui la informació sobre l’origen de les dades, sobre l’existència de decisions automatitzades i les garanties en cas de transferències internacionals) i, si escau el dret a obtenir-ne una còpia. D’aquesta informació cal ometre les anotacions que el personal professional hagi fet a l’expedient la revelació de les quals pugui ser perjudicial per a l’atenció de la persona usuària del servei o aquelles altres dades que puguin afectar negativament els drets i llibertats d’altres, o algun dels límits establerts a partir del que estableix l’article 23 RGPD.
Des del punt de vista de la normativa de protecció de dades, es pot facilitar la informació relativa a les dates d’alta i baixa de col·legiació, però caldria denegar l’accés a la informació sobre els motius de la baixa de col·legiació dels advocats a què fa referència la reclamació.
Pel que fa als càrrecs de confiança i el personal eventual de l’Ajuntament, atesa la tipologia i característiques d’aquestes places, resulta justificat des de la perspectiva de la protecció de dades, facilitar informació individualitzada pels conceptes retributius als que es refereix el reclamant, juntament amb la seva identificació, nivell i càrrec que ocupen. Pel que fa a la resta de persones treballadores de l’Ajuntament (personal laboral i funcionari), la normativa de protecció de dades no impedeix facilitar la informació sobre les retribucions bàsiques i complementàries de cada lloc de treball, sense identificar les persones que l’ocupen.