L’Autoritat Catalana de Protecció de Dades (APDCAT) emet informes o dictàmens amb un posicionament sobre un tema concret, en resposta a peticions d’informació o consultes formulades.
A més, emet resolucions en resposta a les reclamacions de tutela de drets formulades per les persones afectades. També resolucions sancionadores quan constata un incompliment de la normativa. Així mateix, atorga autoritzacions quan no cal informar els titulars de les dades personals sobre la recollida d’aquestes o per al manteniment íntegre de determinades dades.
En compliment de la normativa, l’APDCAT anonimitza les resolucions publicades, i modifica o suprimeix algunes referències dels dictàmens i informes per preservar la identitat de les persones o entitats que formulen les consultes.
No resulta justificat l’accés de la persona reclamant a la informació sobre la puntuació obtinguda per les persones no seleccionades en relació amb els mèrits al·legats i/o les proves que hagin pogut realitzar en els processos de provisió provisional, atès que no s’han vist afavorides per la decisió presa per l’òrgan competent.
Es declara la infracció greu consistent en la vulneració del deure secret per difondre a una Comissaria MMEE un llistat en què s'identificava fins a 66 MMEE amb el seu nom i cognoms i TIP, i en què s'indicava el nombre d'indisposicions de cadascú, entre el 2007 i el 2015.
El tractament de les dades identificatives dels alumnes matriculats a PFI per part dels serveis territorials d’un Departament de la Generalitat amb la finalitat de fer un seguiment de l’itinerari dels alumnes que han abandonat els estudis obligatoris mentre duri aquesta situació pot considerar-se compatible amb la finalitat inicial per a la qual es van recollir les dades. La comunicació d’aquesta mateixa informació des del Departament a un Consorci d’Educació constitueix una cessió o comunicació de dades a tercers habilitada a l’empara de l’article 6.1.e) RGPD, en relació amb l’article 160 de la Llei 12/2009, de 10 de juliol, d’educació i de l’article 123. i) de la Carta Municipal de Barcelona.
La comunicació de les imatges de què disposa la Policia Local de l’Ajuntament vers un altre cos policial quan, malgrat no aportar un manament judicial, les sol·licita en exercici de les seves funcions de Policia Judicial constitueix una cessió habilitada tant per l’article 11.2.d) de l’LOPD com per la LOPJ. Aquesta comunicació, en exercici de les seves competències en matèria de seguretat ciutadana, també quedaria habilitada tant per la LOV com per l’article 21 de l’LOPD. En tot cas, la sol·licitud ha d’ajustar-se als principis de limitació de la finalitat i minimització de dades, requisit que, per la informació de què es disposa, es dóna en el cas examinat.
Des de l’òptica de la legislació de protecció de dades de caràcter personal, la persona reclamant té dret a accedir a tota la informació que sobre la seva persona figura en l’expedient tramitat per la Inspecció Territorial de Treball de Barcelona, inclosos els informes mèdics sobre la seva persona i els correus electrònics que contenen opinions i manifestacions en relació a la reclamant i, la identitat de les persones que les varen efectuar, sense perjudici de tenir en compte, si escau, el dret d’oposició d’aquestes persones d’acord amb l’article 24.3 de l’LTC i 15 de l’LOPD. L’accés a dades personals de tercers persones que constin a l’expedient es regirà pels criteris establerts en els articles 23 i 24 de l’LTC, d’acord amb els quals es podrà donar accés a la informació relativa a les persones que han intervingut en la tramitació de l’expedient, per la seva condició de personal al servei de l’administració pública, d’acord amb l’article 24.1 de l’LTC, i caldrà denegar l’accés a les dades de la persona denunciada d’acord amb l’article 23 de l’LTC.
Per la informació oferta per les mateixes empreses gestores de les solucions de SMI analitzades, i dels informes i estudis que s’han pogut consultar, es desprèn que les aplicacions analitzades compleixen certs aspectes dels previstos a la Resolució 280/XI del Parlament de Catalunya, si bé en alguns aspectes, com a mínim pel que fa a la informació que s’ofereix al respecte, podria ser clarament millorable. L’anàlisi dels diferents aspectes feta respecte les tres solucions analitzades (Whatsapp, Telegram i Nepcom), en el marc de l’anàlisi general que ja s’havia fet en el Dictamen CNS 55/2016, pot ser un element a tenir en compte a l’hora d’escollir una determinada aplicació per part de les administracions públiques catalanes. Un pronunciament més precís sobre el compliment o incompliment per part d’alguna d’aquestes entitats, requeriria dur a terme un procés d’investigació o auditoria sobre aquestes entitats, que, en tot cas no correspondria fer a aquesta Autoritat sinó a l’Agència Espanyola de Protecció de Dades.
L’Ajuntament ha de tenir en compte les garanties que ofereix un determinat canal per al tractament de la informació de les persones afectades i l’existència o no d’altres canals alternatius. Casos 1, 2 i 3: L’Ajuntament ha de donar compliment als principis i garanties de la normativa de protecció de dades, entre d’altres, ha de disposar del consentiment de tots els participants dels Grups, llevat que compti amb una altra base jurídica i donar-los informació sobre el tractament de les dades (art. 13 RGPD) i les conseqüències que es poden derivar de la utilització d’aquest canal. Entre d’altres qüestions, es valora positivament l’elaboració d’una “clàusula de polítiques de bon ús”. Cas 4: Atesa la informació disponible, no es pot determinar si el Grup té una finalitat exclusivament personal o domèstica i, en conseqüència, si es troba o no subjecte a la normativa de protecció de dades personals. En qualsevol cas, per la informació facilitada, no seria responsabilitat de l’Ajuntament.
La comunicació per part del consell comarcal de les dades identificatives dels usuaris del servei de teleassistència, així com dels imports pagats pel servei de teleassistència durant l’any 2017, el cost del servei i, l’existència de subvenció o no per part del consell comarcal, als ajuntaments de la comarca, es pot considerar un tractament legítim d’acord amb l’article 21 de l’LOPD, així com d’acord amb l’article 6.1.e) de l’RGPD. Essent legítima la comunicació als ajuntaments, sense consentiment de l’interessat, de les dades econòmiques esmentades no es considera necessària la subscripció d’un conveni amb aquesta única finalitat. Els ajuntaments poden accedir a les dades de domicili del Padró Municipal d’Habitants dels usuaris del servei amb la finalitat d’informar sobre els ajuts al servei, atès que es tracta d’informació personal necessària per a l’exercici de les competències que té encomanades.
És possible designar com a DPD d’un ens local un òrgan o una persona al servei de la Diputació, sempre que es garanteixi la no concurrència de cap conflicte d’interès. En el cas examinat, atès que la Diputació du a terme la gestió informatitzada del Padró per compte de l’Ajuntament, seria convenient que la designació de DPD s’individualitzés en un òrgan o un treballador de la Diputació diferent a qui participi en la presa de decisions sobre les matèries delegades o en la implementació de les mesures per tractar-les. L’obligació de publicar les dades de contacte sobre el DPD podria assolir-se difonent un número de telèfon directe, una adreça postal i una adreça electrònica, sense incloure-hi necessàriament nom i cognoms.
Si bé l’RGPD permet designar una persona jurídica com a responsable del tractament, en relació amb els tractaments de dades efectuats pels ajuntaments, resultaria més adequat fer constar com a tal un òrgan administratiu.