La Autoridad Catalana de Protección de Datos (APDCAT) emite informes o dictámenes con un posicionamiento sobre un tema concreto, en respuesta a peticiones de información o consultas formuladas.
Además, emite resoluciones en respuesta a las reclamaciones de tutela de derechos formuladas por las personas afectadas. También emite resoluciones sancionadoras cuando se constata un incumplimiento de la normativa. Asimismo, otorga autorizaciones cuando no es necesario informar a los titulares de los datos personales sobre la recogida de los mismos o para el mantenimiento íntegro de determinados datos.
En cumplimiento de la normativa, la APDCAT anonimiza las resoluciones publicadas y modifica o suprime algunas referencias de los dictámenes e informes para preservar la identidad de las personas o entidades que formulan las consultas.
Es resol declarar que l'Ajuntament ha comès les infraccions de l'article 5.1. de l’RGPD, apartats c i d, referides als principis de minimització i de limitació del termini de conservació. Ha mantingut accessibles a internet dues actes de les sessions plenàries municipals dels dies 14/04/2014 i 24/11/2017, més enllà del temps necessari. Aquestes actes contenien dades personals excessives per a la finalitat pretesa.
La reclamant va exercir el seu dret de supressió davant el Departament de Salut, que la va respondre extemporàniament. En la seva resposta, el Departament de Salut va informar la reclamant que, per suprimir el diagnòstic concret de la seva història clínica, s'havia d'adreçar al professional que l’havia introduït a la seva història clínica. En aquest cas, el diagnòstic l’havia introduït un centre d'atenció primària de l'ICS. No obstant això, no consta que la reclamant hagi exercit el seu dret de supressió davant l'ICS (que és el responsable del tractament de les dades que vol suprimir).
Es resol declarar que l'Ajuntament de Riudaura ha infringit l'article 13 RGPD, atès que en la implantació d'un nou sistema de gestió de residus va recollir dades personals dels usuaris del servei i no ha pogut acreditar que hagués informat prèviament. Així mateix, es declara que l'entitat ha vulnerat l'obligació de disposar d'un delegat de protecció de dades personals, atès que en data 11/12/2023 la corporació no tenia cap persona que fes aquestes funcions.
La persona reclamant es queixava que l'ajuntament no havia atès el seu dret d'accés a dades personals (art. 15.1 i 2 RGPD) i també demanava una còpia de la documentació on constessin aquestes dades (art. 15.3 RGPD). S'estima la reclamació i es requereix a l'ajuntament que, com a responsable del tractament, faci efectiu l'exercici del dret d'accés facilitant-li la informació prevista als apartats 1r i 2n de l'article 15 de l'RGPD i la resta de documentació que no li ha estat lliurada.
El reclamant es queixava que l'AOC no havia suprimit les dades que contenia El Meu Espai i el remetia a reclamar la supressió directament a cadascuna de les entitats responsables del tractament. Es desestima la reclamació, perquè l'AOC va resoldre adequadament la sol·licitud del reclamant ja que, pel que fa a les dades de les quals era responsable del tractament, no les podia suprimir si en la data de la sol·licitud no existien. Pel que fa a les dades respecte de les quals actuava com a encarregat del tractament, va indicar al reclamant que havia de formular la reclamació davant de cada entitat individualment; tot i això, finalment l’AOC va derivar la sol·licitud a cadascuna de les entitats.
S'estima parcialment la reclamació, atès que la Direcció General de la Policia del Departament d'Interior no va respondre en termini la sol·licitud de la persona reclamant. No cal efectuar un pronunciament sobre el fons, atès que la DGP ha estimat la sol·licitud de supressió.
Es resol declarar la infracció comesa per la vulneració del principi de confidencialitat, per haver difós les dades personals de 120 persones designades membres d'una mesa electoral en les eleccions generals del 23/07/2023. Les dades exposades són: nom i cognoms i el DNI complet. L'ajuntament va publicar per error l'acta esmentada en dues versions, anonimitzada i sense anonimitzar.
Es resol declarar la infracció per la vulneració del principi de confidencialitat, per haver difós les dades personals de 180 persones designades membres d'una mesa electoral en les eleccions municipals del 28/05/2023. Les dades exposades són: nom i cognoms, DNI, adreça i nivell d'estudis. L'ajuntament les va publicar sense anonimitzar, per error en la transcripció de la informació que ofereix el programa IDA-celec, que gestiona el sorteig dels membres de mesa.
S'acorda arxivar la queixa sobre el tractament de les dades de salut per part del Departament de Salut -en cooperació amb el Ministeri de Sanitat- dins del marc del projecte de la xarxa europea de dades de salut. El Departament està legitimat per elaborar i publicar el document PS a l'espai privat de la Meva Salut. Es tracta d’un resum de la història clínica compartida, que té com a origen l'HC3 (art.6.1.c, art. 6.1.d i 6.1.e de l'RGPD), i que es presta amb finalitats assistencials (art. 9.2.h RGPD). L'entitat també ha previst un sistema perquè les persones interessades que ho desitgin puguin evitar que els professionals sanitaris europeus puguin accedir al seu document PS.
La persona reclamant demanava que en un futur als informes mèdics no hi apareguessin patologies anteriors i que només hi constessin les dades de les patologies del moment de l'assistència mèdica concreta. S'estima parcialment la reclamació, atès que l'ICS no va respondre la sol·licitud en el termini legalment previst. Quant al fons es desestima, perquè la informació de patologies anteriors és necessària perquè els professionals de la salut puguin prestar una atenció sanitària d'acord amb els termes previstos a la normativa sanitària.