La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
La publicació de les dades identificatives de les persones responsables dels sistemes interns d’informació previstos a la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informen sobre infraccions normatives i de lluita contra la corrupció, pot tenir com a base jurídica l’article 9.1. b) de la LTC en relació amb l’article 6.1.c) del RGPD, en la mesura que es consideri el seu caràcter d’òrgan administratiu en els termes de la normativa de règim jurídic de les administracions públiques.
En qualsevol cas, es pot argumentar que existeix un interès públic que justificaria la publicació d'aquesta informació, d'acord amb l'article 8.1.m) de la LTC, que en relació amb l'article 6.1.e) del RGPD, constituiria una base jurídica vàlida per al tractament d'aquestes dades personals. D'acord amb el principi de minimització de dades, la publicació ha de limitar-se exclusivament a les dades estrictament necessàries, com són el nom i cognoms, el càrrec o lloc ocupat, el cos i l'escala, les funcions desenvolupades, així com les dades de contacte professional, el telèfon i les adreces, postal i electrònica, de contacte professional.
L'Ajuntament va publicar, en obert, a la seva seu electrònica, diversos anuncis que contenen les dades personals dels participants d'un procés selectiu d'agents de la policia local. 1) S'imputa una vulneració del principi de licitud, perquè l'Ajuntament va publicar les qualificacions obtingudes per les persones que no van superar el procés selectiu, identificades amb el nom i cognoms i les quatre xifres del DNI, sense comptar amb cap base jurídica que legitimés la publicació o difusió d'aquesta informació. 2) S'imputa la vulneració del principi de minimització de dades, perquè l'Ajuntament va publicar l'edat dels aspirants, que no era una dada necessària per a la finalitat del tractament. 3) S'imputa la vulneració del principi de limitació del termini de conservació, perquè l'Ajuntament mantenia publicats diversos anuncis que contenen la informació personal dels participants del procés selectiu, quan ja no calia per complir la finalitat del tractament. 4) S'imputa a l'Ajuntament l'incompliment del deure de subscriure un contracte d'encàrrec del tractament.
En el marc d'una SAIP relativa a la denúncia del II Acord de la Mesa Sectorial de Negociació de Sanitat sobre les condicions de treball del personal estatutari, l'ICS va revelar a tres entitats sindicals la identitat (nom i cognoms) de la persona que va efectuar l'esmentada SAIP en nom propi, com a persona física, i que s'havia oposat expressament a aquesta comunicació. Es declara que s’ha comès la infracció prevista a l'article 83.5.a en relació amb l'article 5.1.c, ambdós de l'RGPD, per la vulneració del principi de minimització.