La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
La identificació dels participants en els procediments de selecció de personal s’efectuarà mitjançant el nom i cognoms de l’afectat afegint quatre xifres numèriques aleatòries del número del document nacional d’identitat, el número d’identitat d’estranger, el passaport o un document equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
La Mancomunitat pot efectuar els tractaments de les dades personals que siguin pertinents i adequades a les finalitats per a les quals s’han obtingut en exercici de les seves competències i, d’acord amb les bases jurídiques en què es fonamentin. Quan la finalitat de la publicació tingui els efectes de notificació, la identificació de la persona afectada s’ha de fer mitjançant el nombre complet del seu document nacional d’identitat, número d’identitat d’estranger, passaport o document equivalent. Quan la finalitat de la publicació dels actes administratius sigui donar publicitat general al mateix i també quan a aquesta finalitat s’hi afegeixi la notificació a les persones afectades, la identificació de les persones afectades s’ha de fer mitjançant el nom i cognoms afegint quatre xifres numèriques aleatòries del seu document nacional d’identitat o equivalent. Per a la determinació d’aquestes quatre xifres, com a criteri provisional mentre no hi hagi un desplegament reglamentari d’aquest aspecte que permeti aplicar les previsions d’aquest paràgraf amb unes plenes garanties per al dret a la protecció de dades, aquesta Autoritat considera que es pot garantir el dret aplicant l’orientació que, de forma conjunta, han adoptat l’Agencia Española de Protección de Datos, l’Agencia Vasca de Protección de Datos, el Consejo de Transparència y Protección de Datos de Andalucia i aquesta Autoritat. Aquesta orientació es pot consultar al web de l’Autoritat en el següent enllaç: http://apdcat.gencat.cat/web/.content/01-autoritat/normativa/documentos/VAR-9-2019-orientacio-disposicio-addicional-7-cat.pdf.
La normativa de protecció de dades no impediria l’accés de la reclamant a la informació sol·licitada sobre les inspeccions i expedients sancionadors realitzats en el districte, tret de la informació sobre la ubicació o adreça dels locals o habitatges on s’hagin realitzat les actuacions, o altra informació que permeti identificar per vies indirectes les persones físiques titulars dels mateixos (inclosos els empresaris individuals). La normativa de protecció de dades tampoc impedeix l’accés a les dades identificatives (nom, cognoms i càrrec) de les persones que han intervingut com a instructores dels expedients sancionadors tramitats.
L’AFA per tal d’adequar-se a la normativa de protecció de dades ha de complir tots els principis i les obligacions a les quals es refereix en termes generals aquest informe i qualsevol altra de les establertes al Reglament (UE) 2016/679, del Parlament i del Consell Europeu, de 27 d’abril de 2016, General de Protecció de Dades i a la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i Garantida dels Drets Digitals.
El dret d’accés a l’HC que exerciten persones vinculades amb un pacient mort (art. 3.1 LOPDGDD), no inclou l’obligació de comunicar la identitat de les persones concretes que, com a personal propi del responsable del tractament, hagin pogut accedir a l’HC del difunt. Això, sens perjudici que més enllà del contingut del dret d’accés, el centre sanitari pugui facilitar aquesta informació de manera voluntària.
S'estima la reclamació perquè la DGP no va notificar ni intentar notificar la resolució de la sol·licitud en el termini previst a l'efecte, ni ho ha fet tampoc més tard, malgrat haver-ho intentat fora de termini. Quant al fons, la pròpia DGP va estimar la sol·licitud.
S'estima la reclamació de tutela del dret d'accés, perquè malgrat que el responsable del tractament va donar resposta en termini a la sol·licitud d'accés, no hauria facilitat l'accés a totes les dades sol·licitades i que eren objecte de tractament.
S'estima la reclamació, però només pel que fa a la sol·licitud d'accés a la història clínica compartida, i es desestima quant a la sol·licitud d'informació sobre les persones que hi han accedit, els logs d'accés, l'hora dels accessos i resta d'informació sol·licitada, ja que aquesta no forma part del dret d'accés.
S'estima la reclamació per raons formals, ja que el Departament de salut no ha contestat la sol·licitud d'accés formulada per la persona reclamant, i quant al fons, s'estima la reclamació únicament pel que fa a la sol·licitud d'accés a les comunicacions efectuades a l'HC3 (les entitats des de les quals es va accedir a la seva HC3 i la data de l'accés), doncs no forma part del dret d'accés la informació referent a la identitat de les persones que han accedit a la història clínica de l'aquí reclamant, siguin usuaris del mateix centre o d'un altre, ni, en general, el registre d'accessos.