L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La persona denunciant exposava que un veí, marit d'una infermera que treballava en l'entitat denunciada, era coneixedor de les seves dades de salut perquè la seva dona hauria accedit al seu historial mèdic. Basava la seva sospita en unes paraules que van creuar arran d'una discussió entre la filla de la persona denunciant i el marit de l'esmentada infermera.
Segons l'entitat denunciada, l'auditoria d'accessos per cerca de pacient no va donar cap registre d'accés a la persona denunciant i tampoc no constava en els seus registres cap activitat assistencial realitzada a la persona denunciant. Aquesta darrera afirmació va ser avalada per l la mateixa persona denunciant que afirmava que mai no s'havia visitat en la Clínica denunciada. D'altra banda, l'expressió que hauria fet sospitar d'un accés indegut a les seves dades de salut, no es refereix a cap diagnòstic o dada de salut concreta.
L’Ajuntament només podria captar imatges de persones físiques a través de càmeres de videovigilància en les illes de contenidors de residus del municipi en el supòsit que el sistema s’instal·lés en espais delimitats i tancats, que no siguin via pública, sobre la base de l’article 22 de l’LOPDGDD i les competències del municipi en matèria de residus.
La normativa de protecció de dades no impediria l’accés del representant sindical al llistat del personal de la Guardia Urbana identificant aquest amb el seu número d’identificació professional (TIP) i el lloc on presta servei.
L'Ajuntament havia delegat en l'ORGT les competències de gestió i recaptació d'un impost municipal.
La persona denunciant va interposar un recurs de reposició contra la liquidació de l'impost.
L'ORGT va demanar a l'Ajuntament l'expedició del volant padronal de la persona denunciant, el qual tenia per finalitat comprovar si es complien els requisits que donaven dret a l'exempció de l'impost per transmissió de l'habitatge en el marc d'un recurs de reposició presentat per la persona denunciant. La base jurídica que legitima aquesta activitat de tractament no és el consentiment de la persona afectada, sinó que el tractament és necessari per exercir les competències atribuïdes a l'Ajuntament i que ha delegat en l'ORGT.
Posteriorment, la persona denunciant va interposar un recurs contenciós administratiu contra la resolució de l'ORGT i en el marc del procediment judicial es va aportar l'expedient administratiu que contenia el volant padronal. La base jurídica que empara aquest tractament és que el tractament és necessari per complir una obligació legal aplicable al responsable del tractament.
El centre sanitari va incorporar a la història clínica de la persona denunciant el resultat d'una prova efectuada a una tercera persona, fet que constitueix una vulneració del principi de confidencialitat.
La utilització d'una adreça inexacta en què havia estat empadronada amb anterioritat la persona denunciant, amb la finalitat de notificar-li uns actes administratius, contravé el principi d'exactitud.
Quan els membres d'un sindicat es disposaven a celebrar una assemblea a la Sala de Plens de l'Ajuntament, van trobar sobre una taula uns documents amb dades personals d'agents de la policia local de nova incorporació. Aquests documents estaven sense custodiar i hi contenien la fotografia, el número de TIP i el nom i cognoms dels agents.
La persona interessada pot exercir el dret de limitació quan el responsable ja no necessita les dades personals per a les finalitats del tractament, però la persona interessada les necessita per formular, exercir o defensar reclamacions. En el present cas, se sol·licitava la conservació d'unes imatges captades pel sistema de videovigilància que podrien permetre podrien provar uns fets presumptament delictius. Quan les dades hagin estat suprimides en el moment en què s'exerceix el dret, la resposta pot limitar-se a exposar aquesta circumstància i a informar de la impossibilitat material d'exercir el dret.
S'estima la reclamació, atès que l'Ajuntament no ha donat resposta a la sol·licitud d'accés a l'expedient que presentà la persona reclamant, sol·licitud que tindria el seu encaix en l'exercici del dret d'accés de l'art. 15 RGPD, atès que la sol·licitud només es refereix a dades personals de la persona sol·licitant (art. 24.3 LTC).
La base jurídica que empara el tractament de dades consistent en la comunicació d'informació de l'Escola amb els pares no és el consentiment, sinó que el tractament és necessari per al compliment d'una missió en interès públic o en l'exercici de poders públics conferits al responsable del tractament.
El responsable del tractament, la Direcció de l'escola, és qui decideix els fins i els mitjans del tractament i, en base a això, pot contractar amb una persona o entitat el servei de comunicació amb les famílies. S'haurà d'assegurar que contracta amb un encarregat que ofereixi les garanties suficients per aplicar mesures tècniques i organitzatives apropiades, de manera que es garanteixi la protecció dels drets de les persones afectades.