L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
L'Ajuntament va difondre en una reunió veïnal un informe policial relatiu a unes actuacions de vigilància efectuades per diversos agents de la Guàrdia urbana arran de queixes veïnals per actes d'incivisme al barri, en el qual figuraven el nom i cognoms de les veïnes que havien efectuat les queixes i/o denúncies, sense el seu consentiment ni habilitació legal, i tot i l'oposició manifesta d'una de les veïnes, de qui també va difondre indirectament l'adreça del seu domicili particular, fets que constitueixen una comunicació il·legítima, i consegüentment una infracció greu.
S'imputen 2 infraccions: 1) manca de contracte d'encarregat a l'Ajuntament en el sí de la contractació d'una empresa externa per tal que realitzés una anàlisi de riscos psicosocials a la plantilla de la Policia Local. Per a la realització d'aquest estudi es van recollir dades de caràcter personal d'alguna de les persones treballadores que van contestar un formulari d'avaluació (en concret, d'aquelles que estaven de baixa) ja que aquestes van remetre el full de respostes a l'empresa tot identificant-se. i 2) manca d'informació a l'Ajuntament perquè en relació amb les persones de qui es van recollir les seves dades personals, no es va donar compliment al seu dret a informació. En l'AI s'havia arxivat el tractament deslleial de dades en relació al tractament de les dades personals de la persona denunciant: les persones de qui es tractaven les seves dades van renunciar expressament a l'anonimat que garantia l'estudi, en la mesura que fou la mateixa persona denunciant qui va renunciar al mateix en remetre a l'empresa la resposta al qüestionari identificant-se amb el seu nom, cognoms, adreça correu electrònic.
L'accés a histories clíniques, sense que ho justifiqui una raó assistencial, suposa una infracció a la normativa de protecció de dades.
Les contrasenyes han de ser confidencials. El responsable del tractament, ha de poder determinar de forma inequívoca la persona concreta qui accedeix als recursos del sistema que conté dades de caràcter personal.
L'enviament d'informació per part del consorci sobre les seves activitats, encaixaria en el concepte de "missió en interès públic" previst com a base jurídica que legitima el tractament ( art.6.1.e) RGPD). Ara bé, això no habilitaria qualsevol tipus de tractament de dades fet pel consorci per enviar informació per mail, sinó només respecte d'aquelles persones que prèviament s'haguessin donat d'alta en algun servei, o que haguessin prestat el consentiment, moments en els que calia haver informat sobre aquesta finalitat d'enviament de publicitat per mail. En el present cas no constava acreditat que s'hagués donat tal informació, però es pot considerar que la finalitat de donar informació d'activitats culturals és compatible amb la finalitat de donar-se d'alta del carnet de biblioteques ( art. 6.4 RGPD).
Escau l'arxiu quan els fets denunciants no constitueixen infracció o no consten acreditats. En virtut del principi de limitació del termini de conservació, és procedent la supressió quan la conservació de les dades no és necessària per assolir la finalitat perseguida.
Escau l'arxiu quan els fets denunciants no constitueixen infracció o no consten acreditats. En virtut del principi de limitació del termini de conservació, és procedent la supressió quan la conservació de les dades no és necessària per assolir la finalitat perseguida.
A la vista de la normativa de protecció de dades de caràcter personal, no resulta justificat l’accés per part del centre escolar a la relació de les persones beneficiàries de les subvencions per a l’adquisició de material escolar dels alumnes escolaritzats en centres finançats amb fons públics del municipi, més enllà d’aquells supòsits en què l’accés tingui com a base jurídica el consentiment dels beneficiaris. Tot això sens perjudici que es pugui lliurar al centre escolar informació anonimitzada respecte dels beneficiaris de les subvencions.
L’exercici de drets d’autodeterminació informativa pels pares o representants legals del menor major de 14 anys no requereix d’autorització d’aquest menor, i no és incompatible ni exclou l’exercici pel propi menor, ja que ambdues possibilitats estan previstes en la normativa d’aplicació en el moment d’emetre aquest informe. Això, sens perjudici que, en determinats casos, i atesa la normativa aplicable, l’interès superior del menor pugui fonamentar la limitació de l’exercici dels drets d’autodeterminació informativa per part dels titulars de la potestat parental.
Atès que les actuacions derivades del Protocol no han finalitzat i fins que no es decideixin les mesures a prendre com a resultat de les investigacions, l’accés del reclamant a les seves dades personals pot veure’s limitat si s’aprecia que concorre el supòsit de l’article 21.1.b) l’LTC. Un cop concloses les actuacions previstes en el protocol, i d’acord amb l’article 15 de l’RGPD, la persona reclamant té dret a accedir a tota la informació que sobre la seva persona figuri en la informació aportada o generada en el transcurs de les actuacions. No obstant això, l’accés a la identitat dels treballadors que puguin haver facilitat informació sobre el reclamant podria veure’s limitat en funció de les circumstàncies que puguin al·legar aquestes persones respecte a aquesta qüestió. Més enllà d’això i amb la informació de que es disposa no sembla que pugui estar justificat l’accés a la informació personal de terceres persones afectades que pugui constar en la documentació de l’expedient. Tot això sens perjudici que pugui facilitar-se al reclamant un llistat amb les actuacions realitzades als efectes de comprovar si s’ha actuat o no de conformitat amb el que preveu el Protocol per a aquests casos.