La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
Tenint en compte la normativa aplicable, es pot considerar que hi ha base jurídica suficient per a la publicació i difusió de les qualificacions acadèmiques del col·lectiu d’estudiants universitaris (ex. art. 6.1, apartats e) i f) RGPD), sens perjudici del necessari compliment de la resta de principis i garanties de la normativa de protecció de dades. Atès el principi de minimització caldria difondre únicament les dades necessàries per donar compliment a la finalitat pretesa, tenint en compte els paràmetres i orientacions derivades de la disposició addicional setena de l’LOPDGDD.
L’accés dels òrgans de representació dels treballadors públics a informació retributiva d’aquestes persones de manera individualitzada vindrà condicionat per les previsions normatives aplicables i les circumstàncies concurrents en el cas concret. Els membres del Comitè de treballadors de la Universitat que formen part de la Comissió negociadora del Pla d’Igualtat han de poder accedir a la informació del Registre retributiu, que s’ha d’ajustar als termes de l’article 28.2 de l’ET, malgrat comptar amb categories professionals amb un nombre reduït de persones treballadores, restant aquells obligats a respectar la confidencialitat sobre la informació obtinguda, així com el principi de finalitat.
Les opinions de l’alumnat sobre el professorat, recollides en el camp de text lliure de les enquestes d’avaluació de l’actuació docent del professorat, tenen la consideració de dades personals dels professorat avaluat. L’accés als informes individuals d’avaluació del professorat per part de la resta de professorat que imparteix la mateixa assignatura en altres titulacions de la mateixa universitat s’ha de considerar un tractament excessiu en relació amb les finalitats d’avaluació i millora de l’actuació docent. La comunicació es podria efectuar amb la prèvia anonimització.
La persona denunciant, professor d'universitat, va denunciar la universitat per considerar que la seva coordinadora d'estudis havia vulnerat el seu deure de confidencialitat quan revelà el contingut d'uns missatges de WhatsApp davant un presumpte assetjament sexual per part d'aquest professor envers una alumna a qui havia enviat aquests missatges. La denúncia s'arxiva per considerar que: 1) la comunicació de dades personals derivada de les reunions mantingudes per la coordinadora d'estudis amb la Degana i la cap de Departament, estava emparada per la base jurídica prevista a l'art. 6.1.c) del RGPD (la coordinadora estava obligada ex lege a atendre i assessorar l'alumna, i a comunicar els fets a la Degana de la Facultat i a la cap del Departament), i també per la base jurídica prevista a l'art. 6.1.e) RGPD (la coordinadora va comunicar les dades personals en l'exercici de les funcions de direcció i de control d'un ensenyament que coordinava); i 2) l'aportació i posterior accés als missatges per part dels membres de la comissió universitària estava emparada per les mateixes bases jurídiques, perquè la comunicació estava emparada en un protocol d'actuació aprovat per la universitat (art. 6.1.c RGPD), i perquè la coordinadora actuava en exercici de les funcions de prevenció de l'assetjament sexual en el seu àmbit d'actuació (art. 6.1.e RGPD).
La doctora d'un hospital que atenia la persona denunciant durant un tractament mèdic, va enviar un informe mèdic a la cap de la persona denunciant, a petició d'aquesta, qui va sol·licitar l'enviament d'aquest informe amb la finalitat d'acreditar el motiu i la durada prevista de la seva baixa mèdica, a l'efecte que pogués cobrar el 100% del sou. La persona denunciant sosté que va sol·licitar que s'enviés un informe indicatiu només d'aquells dos extrems (motiu i durada de la baixa), i l'Hospital no ha acreditat que disposés del consentiment previ exprés per enviar les altres dades de salut que figuren en l'informe remès, i que no guardaven cap relació amb la causa i durada del tractament referit, la qual cosa constitueix una infracció molt greu.
Tenint en compte els principis de limitació de la finalitat i de minimització (art. 5.1, apartats b) i c) RGPD), hi ha habilitació suficient (art. 6.1.c) RGPD i LTC), per comunicar al comitè d’empresa la identitat (nom i cognoms) i, si escau, la categoria professional dels treballadors de la Fundació, que consten segons la informació disponible en el cens laboral, als efectes de poder calcular i contrastar el crèdit d’hores mensuals atribuïdes als representants dels treballadors.
La difusió de determinades dades personals dels investigadors, a què es refereix la consulta, a través del Portal del qual formen part els responsables, s’ajusta al principi de finalitat, sempre que el corresponent encàrrec del tractament amb el CSUC estableixi la finalitat per a la qual el CSUC tractarà les dades dels investigadors, en concret, donar-ne difusió a través del Portal. Des de la perspectiva del principi de minimització la difusió d’aquesta informació a través del Portal del CSUC s’ajustaria al dit principi, ja que es tracta de dades de contacte i informació relativa a la producció acadèmica i científica a la que es refereix la normativa estudiada, que en preveu la difusió en els termes apuntats. La difusió d’informació sobre els investigadors en format reutilitzable no resultaria contrària a la normativa de protecció de dades -amb l’excepció del correu electrònic-, ja que pot donar compliment a la finalitat legítima que justifica el tractament de les dades.