La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
S'estima la reclamació per motius formals, ja que la DGP no va donar resposta dins el termini de deu dies legalment establert (LOPD). Quant al fons, es declara que la DPG ha satisfet el dret, si bé aquest pronunciament està condicionat a l'acreditació davant l'Autoritat de les notificacions de les resolucions a la persona reclamant.
L'Ajuntament va enviar un correu electrònic sense còpia oculta a tots els participants no guanyadors d'un sorteig d'entrades, de manera que totes les persones van poder accedir a l'adreça de correu de la resta de participants no seleccionats, vulnerant el principi de confidencialitat (art.5.1.f. RGPD).
No garantir ni l'exactitud, ni la confidencialitat de les dades vinculades als contractes de subministrament d'aigua, és constitutiu d'infracció. En el marc de la gestió del canvi de titularitat d'un determinat contracte es va vincular aquest a la persona denunciant, que era aliena al mateix. Aquesta circumstància va comportar que la persona denunciant pogués accedir, a través de l'oficina virtual, a informació vinculada a aquell contracte referides a la persona efectivament titular del contracte. L'entitat va esmenar l'error tan bon punt la persona denunciant ho va posar en el seu coneixement.
Cal garantir la seguretat de les dades en les comunicacions efectuades en l'àmbit professional.
L'ajuntament va sol·licitar un seguit de dades a la persona que va sol·licitar inscriure's a una curs impartit per l'escola d'adults municipal, sense informar de tots els extrems de l'art. 13 l'RGPD. Les dades sol·licitades eren excessives per la finalitat a la qual es destinaven.
Es considera desproporcionat iniciar un procediment sancionador per uns fets respecte els quals la persona denunciant va dirigir voluntàriament una reclamació prèvia al delegat de protecció de dades (DPD) d'acord amb el previst a l'art. 37 LOPDGDD, quan la intervenció del DPD permet que quedi plenament garantit el dret a la protecció de dades de la persona denunciant. En el present cas, per un error en l'assignació de permisos d'accés a una determinada carpeta de la xarxa informàtica, persones no autoritzades podien accedir al seu contingut. La intervenció del DPD va permetre garantir que només pogués accedir a la dita carpeta la persona autoritzada, corregint-se així els efectes de la infracció.
És procedent l'arxiu quan l'eventual vulneració del principi de confidencialitat no s'arriba a consumar. En el present cas, gràcies a l'actuació diligent de la tercera persona a qui Correus lliurà la notificació, qui la va retornar en aquell moment, no es va vulnerar la confidencialitat atès que aquesta no va accedir al contingut de la notificació.
S'arxiva la denúncia ja que, en primer lloc, no s'observen accessos indeguts a història clínica; i, en segon lloc, tampoc hi ha cap indici de que s'hagi produït cap filtració de la informació continguda en la història clínica. Presumpció d'innocència.
S'arxiva per manca de prova una denúncia formulada contra un Ajuntament, en la que s'assenyalava que una empleada del servei de gestió del padró d'habitants havia comunicat il·legítimament a una veïna dades policials de la persona denunciant i la seva família. L'Ajuntament ha negat tots els fets denunciats, i la persona denunciant no ha aportat cap prova indiciària. A més, es dona la particularitat que l'empleada de l'Ajuntament no tenia accés a la base de dades policial on figurarien les dades presumptament comunicades, i que aquesta base de dades pertany a un altre cos policial (PG-MMEE), i els fets fan referència a la participació d'un tercer cos policial (Policia Nacional), per la qual cosa no es pot descartar que la comunicació s'hagués produït per part d'un membre d'un d'aquests altres cossos policials.
El tractament de les dades de les persones que tenen prohibida l'entrada en un centre penitenciari, es fonamenta en el compliment d'una missió en interès públic o l'exercici de poders públics. Escau l'arxiu quan el responsable del tractament ha implementat les mesures de seguretat per evitar que terceres persones no autoritzades puguin accedir al contingut de les resolucions de denegació d'accés al centre penitenciari.