L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
La identificació dels participants en els procediments de selecció de personal s’efectuarà mitjançant el nom i cognoms de l’afectat afegint quatre xifres numèriques aleatòries del número del document nacional d’identitat, el número d’identitat d’estranger, el passaport o un document equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
La Mancomunitat pot efectuar els tractaments de les dades personals que siguin pertinents i adequades a les finalitats per a les quals s’han obtingut en exercici de les seves competències i, d’acord amb les bases jurídiques en què es fonamentin. Quan la finalitat de la publicació tingui els efectes de notificació, la identificació de la persona afectada s’ha de fer mitjançant el nombre complet del seu document nacional d’identitat, número d’identitat d’estranger, passaport o document equivalent. Quan la finalitat de la publicació dels actes administratius sigui donar publicitat general al mateix i també quan a aquesta finalitat s’hi afegeixi la notificació a les persones afectades, la identificació de les persones afectades s’ha de fer mitjançant el nom i cognoms afegint quatre xifres numèriques aleatòries del seu document nacional d’identitat o equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
La normativa de protecció de dades no impediria l’accés de la reclamant a la informació sol·licitada sobre les inspeccions i expedients sancionadors realitzats en el districte, tret de la informació sobre la ubicació o adreça dels locals o habitatges on s’hagin realitzat les actuacions, o altra informació que permeti identificar per vies indirectes les persones físiques titulars dels mateixos (inclosos els empresaris individuals). La normativa de protecció de dades tampoc impedeix l’accés a les dades identificatives (nom, cognoms i càrrec) de les persones que han intervingut com a instructores dels expedients sancionadors tramitats.
L’AFA per tal d’adequar-se a la normativa de protecció de dades ha de complir tots els principis i les obligacions a les quals es refereix en termes generals aquest informe i qualsevol altra de les establertes al Reglament (UE) 2016/679, del Parlament i del Consell Europeu, de 27 d’abril de 2016, General de Protecció de Dades i a la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i Garantida dels Drets Digitals.
El dret d’accés a l’HC que exerciten persones vinculades amb un pacient mort (art. 3.1 LOPDGDD), no inclou l’obligació de comunicar la identitat de les persones concretes que, com a personal propi del responsable del tractament, hagin pogut accedir a l’HC del difunt. Això, sens perjudici que més enllà del contingut del dret d’accés, el centre sanitari pugui facilitar aquesta informació de manera voluntària.
S'estima la reclamació perquè la DGP no va notificar ni intentar notificar la resolució de la sol·licitud en el termini previst a l'efecte, ni ho ha fet tampoc més tard, malgrat haver-ho intentat fora de termini. Quant al fons, la pròpia DGP va estimar la sol·licitud.
S'estima la reclamació de tutela del dret d'accés, perquè malgrat que el responsable del tractament va donar resposta en termini a la sol·licitud d'accés, no hauria facilitat l'accés a totes les dades sol·licitades i que eren objecte de tractament.
S'estima la reclamació, però només pel que fa a la sol·licitud d'accés a la història clínica compartida, i es desestima quant a la sol·licitud d'informació sobre les persones que hi han accedit, els logs d'accés, l'hora dels accessos i resta d'informació sol·licitada, ja que aquesta no forma part del dret d'accés.
S'estima la reclamació per raons formals, ja que el Departament de salut no ha contestat la sol·licitud d'accés formulada per la persona reclamant, i quant al fons, s'estima la reclamació únicament pel que fa a la sol·licitud d'accés a les comunicacions efectuades a l'HC3 (les entitats des de les quals es va accedir a la seva HC3 i la data de l'accés), doncs no forma part del dret d'accés la informació referent a la identitat de les persones que han accedit a la història clínica de l'aquí reclamant, siguin usuaris del mateix centre o d'un altre, ni, en general, el registre d'accessos.