La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
Als efectes de la normativa de protecció de dades, no sembla que un tercer, que no té la condició de persona afectada (art. 4.1 RGPD), hagi de tenir accés a informació sobre el tractament de dades que du a terme un responsable, en uns termes més amplis o amb major grau de detall del que podria tenir una persona que sí té aquesta condició. Entre d’altres, sobre l’accés a informació elaborada pel DPD i informació sobre procediments, protocols i instruccions de gestió de dades personals, no es desprèn de la normativa una obligació específica de donar accés a la documentació elaborada pel DPD ni, per extensió, a altra documentació relativa a procediments o protocols de gestió en matèria de protecció de dades, tenint en compte que la reclamant no seria persona afectada als efectes de la normativa de protecció de dades. Sobre l’accés a la informació relativa a les TID, tenint en compte la naturalesa, funcions i estructura organitzativa de l’entitat, aquesta podria indicar quines garanties o instruments dels previstos a l’RGPD (arts. 44 i seg.) habiliten les TID en funció del país de destinació, sense que sembli necessari ni exigible concretar amb major detall aquesta qüestió.
S'estima parcialment la reclamació, atès que la Direcció General de la Policia del Departament d'Interior no va respondre en termini les sol·licituds de la persona reclamant. No cal efectuar un pronunciament sobre el fons, atès que la DGP ha estimat les sol·licituds de supressió.
L'ajuntament va publicar a la seva pàgina web, durant quatre dies, un llistat que contenia les dades personals (nom i cognoms, categoria o càrrec, lloc de treball, grup, nivell destí i retribucions) de la plantilla de personal, en total 1.076 persones. A més, aquest llistat incloïa la signatura electrònica d'una persona, de manera que se'n visualitzava el DNI complet, juntament amb el seu nom i cognoms. Aquesta publicació es va produir a causa d'una errada humana. Es declara que l'entitat ha comès una infracció per la vulneració del deure de confidencialitat, tipificada a l'article 83.5.a, en relació amb l'article 5.1.f, ambdós de l'RGPD.
S'estima parcialment la reclamació, atès que la Direcció General de la Policia del Departament d'Interior no va respondre en termini les sol·licituds de la persona reclamant. No cal efectuar un pronunciament sobre el fons, atès que la DGP ha estimat les sol·licituds de supressió.
L'Ajuntament denunciat va implantar un sistema de recollida de residus per mitjà de contenidors intel·ligents, que la part denunciant considera que vulnera la normativa de protecció de dades personals. Tanmateix, d'acord amb la legislació sectorial en matèria de residus, els municipis han de prioritzar els models de recollida més eficients -com ara l'ús de contenidors intel·ligents. No es disposa de cap element o indici que permeti constatar que amb l'esmentat servei s’infringeix l'RGPD o l'LOPDGDD, per la qual cosa s'arxiven les actuacions d'inspecció realitzades.
La persona reclamant va presentar la reclamació per la desatenció de la sol·licitud d'accés en la qual demanava la informació que l'Hospital Universitari Santa Maria havia enviat a una empresa asseguradora. Durant la tramitació de la reclamació, ha quedat acreditat que la persona reclamant ha accedit a la informació que l'Hospital va enviar a una entitat asseguradora arran de la seva visita a urgències en data 29/05/2024. Per això, correspon estimar parcialment la reclamació, per haver-li lliurat aquesta informació un cop ja havia transcorregut el termini legal d'un mes. Tanmateix, no cal entrar a valorar el fons. atès que s'ha satisfet el dret d'accés de la persona reclamant.
El denunciant es queixava que l'empresa on treballa ha filtrat la seva identitat a una tercera persona, treballadora de Securitas Direct. Tanmateix, aquesta empresa és la que presta el servei de seguretat i vigilància de l'empresa on treballa el denunciant, com a adjudicatària d'un contracte públic aquest servei. En aquest context, en què les dues persones implicades comparteixen un mateix lloc de feina en torns horaris diferents, es va produir un altercat i la treballadora de Securitas va denunciar els fets davant la policia. Es dicta resolució d'arxivament, atès que ho va fer en exercici de les seves funcions, d'acord amb el plec de condicions tècniques del contracte i amb l'article 262 LECr.
La denunciant es queixa que s'ha accedit a la seva història clínica des de dos centres en què mai s'ha visitat. Durant la fase d'informació prèvia, ha quedat constatat que un dels accessos està justificat, perquè es va dur a terme per respondre una sol·licitud presentada per la denunciant. Així mateix, es va constatar que els altres quatre accessos es van realitzar sense justificació. Es dicta resolució definitiva per vulneració del principi de confidencialitat, amb arxivament d'un dels accessos denunciats pel motiu exposat.
El reclamant es queixava que l'entitat no havia atès la seva sol·licitud d'exercici del dret de supressió del número de telèfon mòbil particular i d'oposició a rebre trucades o missatges de feina en aquest telèfon. Es resol estimar la reclamació, perquè l'entitat no ha acreditat que hagi respost la sol·licitud del reclamant en temps i forma, ni tampoc amb posterioritat. No hi ha pronunciament sobre el fons, perquè en les seves al·legacions l'entitat reconeix que va atendre per via telefònica els drets exercits, si bé no va notificar-ho formalment al reclamant.
La publicació de les dades identificatives de les persones responsables dels sistemes interns d’informació previstos a la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informen sobre infraccions normatives i de lluita contra la corrupció, pot tenir com a base jurídica l’article 9.1. b) de la LTC en relació amb l’article 6.1.c) del RGPD, en la mesura que es consideri el seu caràcter d’òrgan administratiu en els termes de la normativa de règim jurídic de les administracions públiques.
En qualsevol cas, es pot argumentar que existeix un interès públic que justificaria la publicació d'aquesta informació, d'acord amb l'article 8.1.m) de la LTC, que en relació amb l'article 6.1.e) del RGPD, constituiria una base jurídica vàlida per al tractament d'aquestes dades personals. D'acord amb el principi de minimització de dades, la publicació ha de limitar-se exclusivament a les dades estrictament necessàries, com són el nom i cognoms, el càrrec o lloc ocupat, el cos i l'escala, les funcions desenvolupades, així com les dades de contacte professional, el telèfon i les adreces, postal i electrònica, de contacte professional.