L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La persona denunciant es queixava que quan va anar a la seva farmàcia habitual per tal que li dispensessin un medicament mitjançant la seva recepta electrònica, l'establiment no li va poder proporcionar ja que, segons li van dir, constava que una altra farmàcia ja se l'havia dispensat, el que segons la denunciant no era cert. La denunciant es queixa que, a la vista de l'anterior, aquesta altra farmàcia hauria accedit indegudament a les seves dades relatives a la recepta electrònica.
El CatSalut és el responsable del "registre de prestació farmacèutica", però en les actuacions no s'ha detectat cap indici que permeti inferir una vulneració de la normativa per part d'aquesta entitat, ja que al CatSalut no li és possible determinar a priori si els accessos que una farmàcia fa aquest registre obeeix a una efectiva dispensació farmacèutica. És per això que s'arxiven les actuacions pel que fa al CatSalut.
Es trasllada a l'AEPD pel que fa als eventuals accessos indeguts duts a terme per la Farmàcia
La comunicació de dades dels empleats al SEPE per tramitar la prestació per desocupació es fonamenta en altres bases jurídiques diferents a la del consentiment. En el context laboral hi ha un desequilibri de poder, atesa la dependència que resulta de la relació entre l'ocupador i el treballador, que pot comportar que el consentiment prestat pel treballador no sigui lliure.
L'accés a un ordinador assignat a una persona empleada, que és alhora el servidor de l'entitat, als efectes d'instal·lar el programari corresponent i permetre la tramitació dels assumptes, no contravé la normativa de protecció de dades. En el present cas, no hi ha cap indici que s'hagués accedit a informació estrictament privada que la persona denunciant pogués conservar en el dit ordinador.
Quan la finalitat de videovigilància és el control del trànsit, el cartell es pot limitar a informar de l'existència de la càmera. No és exigible informar sobre la identitat de l'encarregat del tractament, quan es fa efectiu el dret d'informació. Resulta aplicable aquí el principi de presumpció d'innocència en allò referent al tractament inexacte del nom de la persona denunciant (qui se l'havia modificat), quan no es pot descartar que la persona denunciant hagués sol·licitat la rectificació del seu nom que figurava en els registres de l'organisme autònom Prefectura Central de Trànsit amb posterioritat als fets denunciats.
S'arxiva la denúncia relativa a la manca de licitud, perquè el comunicat que va enviar l'Ajuntament a les famílies de la llar d'infants municipal, és una actuació situada en una fase d'informació prèvia oberta per l'entitat a la cerca de testimonis i que es trobaria legitimada en base a l'interès superior del menor i en l'exercici de les funcions d'investigació prèvies a l'obertura d'expedients disciplinaris. També s'arxiva la vulneració del principi de confidencialitat en base al principi de presumpció innocència.
Les mesures de seguretat, que s'han de determinar tenint en compte els riscos derivats de la pèrdua o l'accés no autoritzat a les dades (entre d'altres), s'han d'aplicar de manera efectiva. En el present cas, la seguretat de les dades es va veure compromesa quan un empleat de l'entitat imputada va deixar el carro que contenia la correspondència al vestíbul d'un determinat edifici mentre intentava la pràctica de notificacions als pisos superiors.
En el cas que ens ocupa, resulta adequat a la normativa de protecció de dades personals donar accés a tot l’expedient, sempre que en virtut de l’aplicació del principi de minimització de dades, s’ometin de l’accés dades identificatives (número de DNI o signatura de la persona denunciada), dades de contacte o bé altres dades personals derivades dels escrits presentats per la persona denunciada que no siguin rellevants a efectes del control de l’actuació municipal.
Els municipis que no tinguin policia local, ni cos de vigilants ni hagin subscrit un conveni en aplicació de l’article 12.1.cinquè.c) de la Llei 10/1994, d'11 de juliol, de la policia de la Generalitat Mossos d'Esquadra, no poden instal·lar càmeres de videovigilància amb la finalitat de control del trànsit. Els municipis que tinguin cos de vigilants poden instal·lar càmeres de videovigilància amb la finalitat de control del trànsit limitat a les funcions atribuïdes als vigilants per la seva normativa específica. En el cas de municipis que hagin subscrit un conveni en aplicació de l’article 12.1.c) de la Llei 10/1994, d'11 de juliol, de la policia de la Generalitat Mossos d'Esquadra de Catalunya, poden instal·lar càmeres de videovigilància per al control del trànsit en els termes que l’esmentat conveni estableixi. La instal·lació i us de càmeres de vigilància per al control, regulació, vigilància i disciplina del trànsit, s’ha d’adequar al que estableix a la disposició addicional vuitena de la Llei Orgànica 4/1997, de 4 de agosto, per la qual es regula la utilització de videocàmeres per les Forces i Cossos de Seguretat en llocs públics, desplegada a Catalunya per la disposició addicional segona del Decret 134/1999, de 18 de maig, de regulació de la videovigilància per part de la policia de la generalitat i de les policies locals de Catalunya, així com al RGPD i l’LOPDGDD i la Instrucció 1/2009, en especial els aspectes analitzats al fonament jurídic VI d’aquest dictamen.