L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
El responsable del Consorci no ha acreditat haver donat resposta a la sol·licitud d'accés efectuada a l'empara de l'art. 15 RGPD. Amb independència que a la sol·licitud del dret d'accés formulada no s'hagués invocat de forma expressa l'art. 15 RGPD, la petició de la persona reclamant és clara, en el sentit que demana accés a dades personals seves i/o del seu fill respecte de qui ostenta la representació legal.
La Mancomunitat pot efectuar els tractaments de les dades personals que siguin pertinents i adequades a les finalitats per a les quals s’han obtingut en exercici de les seves competències i, d’acord amb les bases jurídiques en què es fonamentin. Quan la finalitat de la publicació tingui els efectes de notificació, la identificació de la persona afectada s’ha de fer mitjançant el nombre complet del seu document nacional d’identitat, número d’identitat d’estranger, passaport o document equivalent. Quan la finalitat de la publicació dels actes administratius sigui donar publicitat general al mateix i també quan a aquesta finalitat s’hi afegeixi la notificació a les persones afectades, la identificació de les persones afectades s’ha de fer mitjançant el nom i cognoms afegint quatre xifres numèriques aleatòries del seu document nacional d’identitat o equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
La identificació dels participants en els procediments de selecció de personal s’efectuarà mitjançant el nom i cognoms de l’afectat afegint quatre xifres numèriques aleatòries del número del document nacional d’identitat, el número d’identitat d’estranger, el passaport o un document equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
Atès que les actuacions derivades del Protocol no han finalitzat i fins que no es decideixin les mesures a prendre com a resultat de les investigacions, l’accés del reclamant a les seves dades personals pot veure’s limitat si s’aprecia que concorre el supòsit de l’article 21.1.b) l’LTC. Un cop concloses les actuacions previstes en el protocol, i d’acord amb l’article 15 de l’RGPD, la persona reclamant té dret a accedir a tota la informació que sobre la seva persona figuri en la informació aportada o generada en el transcurs de les actuacions. No obstant això, l’accés a la identitat dels treballadors que puguin haver facilitat informació sobre el reclamant podria veure’s limitat en funció de les circumstàncies que puguin al·legar aquestes persones respecte a aquesta qüestió. Més enllà d’això i amb la informació de que es disposa no sembla que pugui estar justificat l’accés a la informació personal de terceres persones afectades que pugui constar en la documentació de l’expedient. Tot això sens perjudici que pugui facilitar-se al reclamant un llistat amb les actuacions realitzades als efectes de comprovar si s’ha actuat o no de conformitat amb el que preveu el Protocol per a aquests casos.
L’AFA per tal d’adequar-se a la normativa de protecció de dades ha de complir tots els principis i les obligacions a les quals es refereix en termes generals aquest informe i qualsevol altra de les establertes al Reglament (UE) 2016/679, del Parlament i del Consell Europeu, de 27 d’abril de 2016, General de Protecció de Dades i a la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i Garantida dels Drets Digitals.
La normativa de protecció de dades no impediria l’accés de la reclamant a la informació sol·licitada sobre les inspeccions i expedients sancionadors realitzats en el districte, tret de la informació sobre la ubicació o adreça dels locals o habitatges on s’hagin realitzat les actuacions, o altra informació que permeti identificar per vies indirectes les persones físiques titulars dels mateixos (inclosos els empresaris individuals). La normativa de protecció de dades tampoc impedeix l’accés a les dades identificatives (nom, cognoms i càrrec) de les persones que han intervingut com a instructores dels expedients sancionadors tramitats.
El dret d’accés a l’HC que exerciten persones vinculades amb un pacient mort (art. 3.1 LOPDGDD), no inclou l’obligació de comunicar la identitat de les persones concretes que, com a personal propi del responsable del tractament, hagin pogut accedir a l’HC del difunt. Això, sens perjudici que més enllà del contingut del dret d’accés, el centre sanitari pugui facilitar aquesta informació de manera voluntària.
S'estima la reclamació, i es reconeix el dret de la persona reclamant a que es despubliqui un informe mèdic que figura incorporat a la seva història clínica compartida. Tot i que el CatSalut havia estimat la seva sol·licitud, no l'ha executat completament ja que dels 4 informes controvertits, n'hi ha un que no s'ha despublicat. Els motius que esgrimeix el CatSalut per justificar la no despublicació dels informes mèdics controvertits, no sembla que justifiquin la demora, atès l'estat de la tecnologia i els coneixements informàtics actual.