Acceso a los registros de trazabilidad y accesos realizados en el aplicativo de recursos humanos del ICS

Resolució 277/2026, de 19 de febrer

Número d’expedient de la Reclamació: 405/2025 Administració reclamada: Institut Català de la Salut (ICS) Informació reclamada: Accessos del reclamant a l’aplicatiu de recursos humans de l’ICS. Sentit de la resolució: Desestimació Resum: S’ha traslladat a aquesta Comissió una reclamació que demanava a l’ICS els accessos del reclamant a l’aplicatiu de recursos humans d’aquesta institució sanitària, que s’havia presentat davant les autoritats de control sobre protecció de dades i que l’APDCAT ha considerat que correspon la competència per a resoldre-la a la GAIP, per tractar-se d’una petició d’accés a la informació publica en els termes previstos a la LTAIPBG. Es constata que part d’allò demanat pel reclamant fa referència a dades pròpies, especialment els accessos que fa referència als realitzats pel propi reclamant a l’aplicatiu de recursos humans i la rellevància d’aquesta informació als efectes de que li puguin ser reconeguts determinats drets professionals en un procediment d’estabilització que ha donat lloc a una controvèrsia entre el reclamant i l’ICS. L’APDCAT ha considerat que no hi ha d’haver inconvenient en reconèixer el dret del reclamant a conèixer les informacions que li són pròpies, com ara els accessos a la base de dades de recursos humans d’acord amb allò previst a l’article 15 del RGPD i aquesta Comissió coincideix en aquesta apreciació que no hauria d’impedir que l’ICS facilités la informació demanada en aquests termes. D’altra banda, pel que respecta a la possibilitat que el reclamant també estigui demanant l’accés a dades de tercers, ja que es refereix en la seva petició a les traçabilitats dels accessos a l la base de dades de recursos humans, és el que ha motivat veritablement que l’APDCAT hagi traslladat la reclamació a la GAIP, que constata la invocació de la presencia d’un límit atès que s’ha interposat un recurs contenciós administratiu en el qual el reclamant ha sol·licitat que es requereixi a l’ICS que aporti la traçabilitat de la plataforma SGRH de tot l’any 2024. D’acord amb tot l’exposat, aquesta Comissió considera que atesa la coincidència detectada entre allò demanat a l’ICS, després reclamat a l’APDCAT que ha derivat a la GAIP i la petició formulada al Tribunal en el recurs plantejat que coincideix amb l’objecte d’aquesta reclamació, escau per un principi de prudència o economia processal, desestimar la reclamació, especialment pel que es refereix a l’accés a dades de tercers. Paraules clau: Entitat. Generalitat. Salut. APDCAT. Derivació. Recursos Humans. Accessos a l’aplicatiu. Dades personals. Dades de tercers. Límits. Tutela judicial. Desestimació. Ponent: Maria del Mar Pérez Velasco

Antecedents

El 14 de març de 2025 entra a la GAIP una tramesa de l’Autoritat Catalana de Protecció de Dades (APDCAT) de la Resolució d’inadmissió i trasllat a la Comissió de Garantia del Dret d’Accés a la Informació Pública del procediment de tutela de drets núm. PT 190/2024, que es va presentar davant l’APDCAT. S’afirma que la reclamació no té com a objecte accedir a informació que formi part del dret d'accés regulat en aquesta normativa, sinó a un altre tipus d'informació a la qual seria d’aplicació la Llei 19/2014, de 29 de desembre, de transparència, accés a la informació pública i bon govern.

La Resolució d’inadmissió i de trasllat de l’APDCAT de 6 de març de 2025 descriu el següent:

“El 30 d’octubre de 2024 va tenir entrada a l’APDCAT una reclamació, per trasllat de l’Agencia Española de Protección de Datos (AEPD), per la presumpta desatenció del dret d’accés a la traçabilitat de la plataforma SGRH dels últims 12 mesos de la persona reclamant, que havia exercit prèviament davant de l’Institut Català de la Salut (ICS). La persona reclamant feia constar que: “Se le ha solicitado que nos dé una trazabilidad de la página web donde se debe acceder para solicitar registro de un proceso elección concurso-oposición. La página web, obsoleta, con diversos errores y únicamente accesible con Internet Explorer (ya sin posibilidad de instalación y debiéndose usar el método de compatibilidad), no nos ha dado ninguna trazabilidad. Ni fechas de la solicitud pedida (Febrero 2024), ni a que registros, pantallas, ni desde que IP, NADA. No hay registro ni se cumple normativa LOPD,”.

L’1 d’agost de 2024 el reclamant havia sol·licitat del responsable del tractament de l’ICS, la el següent:

-Petició genèrica adreçada de “Conèixer les dades d’accés, registres i traçabilitat d’un aplicatiu de RRHH de l’ICS”.

Exposava que: “com usuari tinc el deure de conèixer els accessos que s’han realitzat amb el meu login a l’aplicatiu de SGRH de l’ICS, on figuren dades de caràcter personal, formatius i més informació personal. Per tant exposo al Delegat que em faci arribar les dades d’accés a l’aplicatiu que s’ha realitzat i consultat (una traçabilitat)”. I sol·licitava: “Al delegat responsable de l’aplicatiu SGRH de l’ICS que em faci arribar les dades d’accés, traçabilitat i seguiment del què s’ha realitzat dels últims 12 mesos”.

El 2 d’agost de 2024 presenta sol·licitud de l’exercici del dret d’accés a les dades personals en l’àmbit de salut, en la què demanava a l’ICS: “traçabilitat de la plataforma SGRH dels últims 12 mesos.

En data 07 de gener de 2025, l’entitat reclamada va presentar les al·legacions següents:

“En resposta a la mateixa, des de l’Institut Català de la Salut, considerem que el dret

d’accés recollit al Reglament General de Protecció de Dades (RGPD) no contempla la

possibilitat d’accés a les dades personals dels professionals, com son en aquest cas els professionals que han accedit a l’aplicatiu SGRH. A més cal diferenciar, l’accés a la història clínica de l’accés a un aplicatiu de recursos humans. Considerem que no és el mateix l’accés a la història clínica del pacient la qual pot tenir un reforç per part de la llei d’autonomia del pacient i que considera el dret del pacient en termes amplis motiu que pot ampliar el que disposa l’article 15 del RGPD, però que això no ha de ser vist de forma amplia per a la resta de peticions doncs deixaria a la nostra entitat en una situació de vulnerabilitat envers d’altres entitats privades que no es veurien en la obligació d’atendre aquest tipus de peticions al no entrar dins del que disposa l’anomenat article 15 del RGPD.”

A la vista de tot això, la resolució de l’APDCAT de 6 de març de 2025 considera que :

“En aquest cas, tanmateix, l’objecte de reclamació no és el dret d’accés regulat a l’article 15 de l’RGPD, atès que la persona afectada no pretén accedir a informació sobre les seves dades personals, sinó a la traçabilitat de les seves dades personals i això podria implicar l’accés a dades de terceres persones, les quals hagin accedit a les dades personals de la persona reclamant.

Escau fer referència a que l’accés a la traçabilitat de l’aplicatiu de recursos humans no

està comprès dins de l’àmbit de competència de l’Autoritat, com sí ho és l’accés a la

traçabilitat de les històries clíniques d’acord amb el criteri aprovat entre l’APDCAT i la

GAIP.

A continuació es fa referència al criteri d’interpretació sobre l’aplicació de les normes reguladores i la tramitació de les reclamacions d’accés de les persones a la traçabilitat de la seva història clínica aprovat per l’APDCAT i la GAIP.

S’afegeix que “atès que l’article 141.1.a de la Llei 40/2015, d’1 d’octubre, de règim jurídic del sector públic, preveu que les administracions públiques estan obligades a respectar l’exercici legítim de les competències de les altres administracions, es considera procedent traslladar aquesta reclamació a la GAIP.”

Per tot això, es resol la inadmissió de la reclamació de tutela formulada per la persona reclamant contra l’Institut Català de la Salut i es dona trasllat d’aquesta reclamació a la GAIP.

El 23 de maig de 2025 la GAIP comunica el trasllat de la reclamació a l’Institut Català de la Salut i es demana a l'empara dels articles 33.4 i 34.1 del Reglament de la GAIP, que dins del termini de quinze dies, es faci arribar a aquesta Comissió un informe sobre els antecedents i posicionament en relació amb aquesta Reclamació; l'expedient de la tramitació de la sol·licitud d'accés a la informació pública, i la identificació de les terceres persones que resultin afectades per la informació l'accés, si n’hi ha.

El 27 de maig de 2025 la GAIP admet provisionalment la Reclamació, informa al reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada, mentre duri la Reclamació.

El 18 de juny de 2025 la GAIP rep informe de l’Institut Català de la Salut que, en síntesi, manifesta:

-L’ICS no disposa de cap expedient administratiu de SAIP i només disposa de la sol·licitud d’accés a dades personals pròpies del peticionari que s’annexa a la reclamació.

Insisteix en que es tracta de dues sol·licituds formulades en dies consecutius en formularis que no eren els específics de SAIP i destaca la posterior presentació pel reclamant a través del tramitador específic ARSOPOL.

-Que la resolució l’APDCAT confon el contingut de la pretensió accionada davant l’ICS (“conocer los accesos que se han realizado COM MI LOGIN -DNI- al aplicativo SGRH del, ICS, donde figuran datos de carácter personal, formativos y más información personal”), amb el que seria pròpiament una petició de traçabilitat interna que busca la identificació nominativa del empleats del responsable del tractament d’un fitxer de dades personals que han accedit a dit fitxer (contingut típic de les peticions de traçabilitat interna de la història clínica, probablement d’aquí ve la confusió). El SGRH és un aplicatiu de gestió del personal de l’ICS que conté exclusivament les dades personals identificatives i laborals de cada usuari/treballador i que la informació a la que volia accedir el reclamant era la identificació/traçabilitat dels seus propis accessos al SGRH durant el període en el qual els aprovats en la convocatòria d’estabilització havien de triar destinació accedint a dit aplicatiu. Per tant el reclamant volia accedir exclusivament a dades personals pròpies i en

aquest cas cal aplicar l’article 24.3 de la LTAIPBG, en relació amb l’apartat segon de la Disposició Add. 1à de la mateixa LTAIPBG, que exclou la intervenció de la GAIP per no tractar-se de cap exercici del dret d’accés a la informació pública, sinó d’accés a dades personals pròpies.

-Si haguessin hagut tercers usuaris del SGRH que haguessin accedit (podrien ser-ho els gestors de recursos humans de l’ICS en exerci legítim de les seves funcions com a empleats del responsable del tractament de dit fitxer) a les dades del reclamant en el SGRH, ho haurien fet amb el seu propi login i DNI (com passa amb la traçabilitat interna de les històries clíniques), no pas amb el login i DNI del reclamant (a no ser que s’hagués produït una suplantació de identitat mitjançant la usurpació del login i DNI del reclamant circumstància aquesta que en cap moment el reclamant planteja).

-El reclamant demana acreditar (per obtenir prèviament, fora de la fase de prova del procés judicial en curs i esquivant el criteri judicial de pertinença de dita prova) que ell va accedir a l’aplicatiu SGRH en uns determinats dies i hores i que sí va triar destinació en el procés selectiu d’estabilització que havia superat, actuació que l’ICS considera que mai es va produir. Es destaca la controvèrsia entre l’ICS i el reclamant sobre l’existència d’un suposat error de l‘aplicatiu SGRH, que no hauria gravat l’accés telemàtic del reclamant que manifesta va fer per triar destinació en el procés selectiu d’estabilització en el qual participava i que es palesa en el recurs d’alçada que s’adjunta, contra la qual el reclamant ha interposat RCA davant el TSJC. S’invoca l’existència de límits legals derivats del procediment judicial en curs, s’adjunta documentació del recurs en el qual demana també la traçabilitat del SGRH de tot l’any 2024. Aquesta circumstància afectaria en termes de igualtat d’armes (dret de defensa i a la tutela judicial efectiva de les parts) en el procediment judicial en curs.

- les normes reguladores i la tramitació de les reclamacions d’accés de les persones a la traçabilitat de la seva història clínica. Palesen la seva disconformitat amb la motivació exposada per l’APDCAT per concloure la seva incompetència i derivar la reclamació a la GAIP basada en l’aplicació del criteri interpretatiu aprovats per la GAIP i l’APDCAT en data 30/07/2024 sobre l’aplicació de les normes reguladores i la tramitació de les reclamacions d’accés de les persones a la traçabilitat de la seva història clínica.

-Si es considerés pertinent l’accés a la identificació dels tercers que van accedir a les dades personals del reclamant contingudes en el SGRH (en cas que tècnicament es poguessin identificar aquests accessos) les persones que els haguessin pogut fer ostentarien la condició de terceres persones afectades i la GAIP les hauria de citar a

termini per tal que poguessin formular al·legacions abans de resoldre la reclamació. També caldria comptar amb l’informe de l’APDCAT sobre el fons d’aquesta pretensió.

- Viabilitat tècnica d’obtenir les dades sol·licitades. Atès que la veritable pretensió de la persona reclamant, a parer de l’ICS, és tant sols accedir a les dades identificatives (data i hora) dels seus propis accessos al SGRH en un determinat període, caldrà determinar si tècnicament és possible obtenir aquesta informació, motiu pel qual procedirem a sol·licitar als responsables tècnics d’aquella aplicació de recursos humans de l’ICS que informin sobre la viabilitat tècnica tant d’aquella pretensió, com la d’obtenir els accessos de tercers, a fi i efecte de poder informar a la GAIP en relació amb aquests dos extrems al més aviat possible.

El 29 de juliol de 2025 la GAIP demana informe a l’APDCAT i li trasllada les consideracions formulades per l’ICS en aquesta reclamació.

L’11 de febrer de 2026 la GAIP rep informe de l’APDCAT que aclareix els antecedents d’aquesta reclamació i puntualitza que “ la petició d’informació per part del reclamant estaria relacionada amb la tramitació que hauria fet aquesta persona en relació amb la seva participació en un procés selectiu, i que l’interessat vol disposar d’informació sobre les dates de la sol·licitud que, per la informació disponible, considera que va tramitar correctament, registres, comprovants, o en definitiva d’informació que li permeti contrastar o acreditar que, en el seu moment, i com a part del procés selectiu en què participava, va fer els tràmits necessaris per aportar documentació o acreditar mèrits o requisits i que, si es va produir algun error, no era atribuïble al propi interessat.”

“En aquest context, per tal d’analitzar el dret d’accés a la informació pretesa, és rellevant el fet que una part de l’objecte de la reclamació, fins i tot, podríem dir, la part principal, es podria referir, certament, a informació de la pròpia persona reclamant. En particular, podem entendre que la informació referida a aquells accessos que el propi reclamant hagués fet (o intentat) a través del seu login (DNI), i l’accés, si escau, a dades personals del propi afectat, constituirien un accés a la pròpia informació personal (art. 4.1 RGPD), que s’hauria de considerar com un exercici del dret d’accés configurat a l’article 15 RGPD, al qual ens remetem. En qualsevol cas, ja podem avançar que l’accés a la pròpia informació del reclamant estaria emparada per l’aplicació de l’article 15 RGPD. ”

Es recorda que des de la perspectiva de la legislació de transparència, l’article 24.3 LTAIPBG disposa que:

“3. Les sol·licituds d’accés a la informació pública que es refereixin només a dades personals del sol·licitant s’han de resoldre d’acord amb la regulació del dret d’accés que

estableix la legislació de protecció de dades de caràcter personal.” Així, aquesta previsió normativa estableix clarament que el dret d’accés per aquesta via resta condicionat a què només estiguin afectades dades personals de la persona sol·licitant, requisit que, com exposarem en aquest informe, aquesta Autoritat considera que no es compleix.”

Es considera que si la informació que es reclama pot incloure dades de terceres persones, com seria el cas a criteri d’aquesta Autoritat, la possibilitat d’accedir a aquesta informació s’ha d’analitzar d’acord amb la regulació del dret d’accés que estableix la normativa de transparència, i no des de la perspectiva exclusiva de l’article 15 RGPD. Així, en línia amb el que ja va determinar la resolució de la directora d’aquesta Autoritat, de 6 de març de 2025, cal reiterar que en el cas examinat no podem descartar, a la llum de la informació de què disposem, que la petició del reclamant comporti, si bé complementàriament, un accés a dades de terceres persones, de manera que ja no resultaria aplicable l’article 24.3 LTC.

I és així, d’entrada, pels termes en què el propi reclamant formulava la seva primera sol·licitud d’1 d’agost de 2024, adreçada a l’administració reclamada, en la que demanava a aquesta, com a responsable del tractament, entre d’altres, conèixer “desde qué IP” s’havia accedit a la seva informació (o, podem entendre, s’havia dut a terme alguna gestió o accés l’aplicatiu), cosa que exclouria, al menys en part, la consideració que l’interessat demanava informació, exclusivament, dels seus propis accessos a l’aplicatiu, ja que si fos així no sol·licitaria conèixer possibles accessos des de IPs sense determinar.”

“A més, el propi reclamant demana a l’administració reclamada “que me haga llegar los datos de acceso, trazabilidad y seguimiento de lo que se ha realizado de los últimos 12 meses”.

“Per tant, vistos els termes de la pròpia petició de l’interessat, és clar que podrien quedar afectades dades de terceres persones (els professionals que hagin accedit a l’aplicatiu en el període reclamat) cosa que porta, als efectes que interessen en aquest informe, a excloure l’aplicació de la previsió de l’article 24.3 LTC.”

De les consideracions palesades a l’informe de l’APDCAT es conclou que “En la mesura que la informació que es reclama pugui incloure dades de terceres persones, com seria el cas a criteri d’aquesta Autoritat, la possibilitat d’accedir a aquesta informació s’ha d’analitzar d’acord amb la regulació del dret d’accés que estableix la normativa de transparència (art. 24 LTC), i no des de la perspectiva exclusiva de l’article 15 RGPD.

La normativa de protecció de dades no impediria comunicar a la persona reclamant accés a la seva pròpia informació (art. 15 RGPD), o informació de si es va produir algun error tècnic

en relació amb els tràmits duts a terme pel propi interessat, sense associar aquesta informació a cap dada personal.”

Fonaments jurídics

1. Competència de la GAIP i contingut i abast general del dret d’accés a la informació pública

D’acord amb l’article 39.1 LTAIPBG i 29 del RGAIP aquesta Comissió és competent per tramitar i resoldre aquesta Reclamació. L’article 2.b i c LTAIPBG defineixen la informació pública i preveuen el dret d’accés a les persones per a sol·licitar i obtenir-la que d’acord amb l’article 18.1 LTAIPBG, tant a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda.

L’article 20 LTAIPBG preveu els requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública, que l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. Els articles 21 i 22 LTAIPBG estableixen que aquests límits no són d’aplicació automàtica i absoluta i han de ser aplicats d’acord amb criteris de proporcionalitat i temporalitat i han d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació.

2. Determinació de l’objecte: accés a dades pròpies del reclamant i aplicació del RGPD

Aquesta Comissió té coneixement de l’assumpte que ara s’examina, tal com refereixen els antecedents, com a conseqüència d’una derivació de l’APDCAT que va rebre una reclamació sobre la qual considera que no és competent, per no consistir pròpiament en l’àmbit d’aplicació del RGPD i que inadmet i trasllada a la GAIP. Per tant, es tracta d’una reclamació que no s’ha presentat per l’afectat directament, ja que ho va fer davant les autoritats de control de dades personals i que finalment s’ha traslladat a aquesta Comissió.

La informació que es demana consisteix en els accessos realitzats a l’aplicatiu de recursos humans de l’ICS. No hi ha coincidència entre l’ICS reclamat i l’APDCAT, que trasllada la reclamació, en determinar si aquests accessos que es demanen fan referència a aquells realitzats pel propi reclamant i per tant està demanant informació respecte de dades pròpies, i només es referirien a la seva persona, o si també s’inclouen en la petició informació sobre dades de tercers. Aquesta darrera consideració és important ja que, precisament en considerar que s’inclouen a la petició dades de tercers, segons el parer de l’APDCAT, és el que ha comportat que es considerés incompetent i derivés la reclamació a la GAIP.

Als efectes de concretar si els accessos demanats es refereixen únicament a dades personals pròpies del reclamant o si, a més, també s’afegeixen a la petició les dades de tercers persones que hagin accedit a les seves dades de l’aplicatiu de RRHH de l’ICS, els antecedents mostren el que es refereix a continuació.

El reclamant va formular una petició d’informació genèrica a l’ICS, on sol·licitava “Conèixer les dades d’accés, registres i traçabilitat d’un aplicatiu de RRHH de l’ICS”. D’aquesta exposició no es desprèn, d’entrada, de qui son les dades que es demanen. A la petició va explicar que “com usuari tinc el deure de conèixer els accessos que s’han realitzat amb el meu login a l’aplicatiu de SGRH de l’ICS, on figuren dades de caràcter personal, formatius i més informació personal. Per tant exposo al Delegat que em faci arribar les dades d’accés a l’aplicatiu que s’ha realitzat i consultat (una traçabilitat)”. I finalment també sol·licitava: “Al delegat responsable de l’aplicatiu SGRH de l’ICS que em faci arribar les dades d’accés, traçabilitat i seguiment del què s’ha realitzat dels últims 12 mesos”. D’acord amb aquesta explicació, sembla que la informació que es demana es refereix a les dades del reclamant, exclusivament.

L’endemà d’aquesta petició, el reclamant adreça a l’ICS una sol·licitud de l’exercici del dret d’accés a les dades personals en l’àmbit de salut, en la qual demana: “traçabilitat de la plataforma SGRH dels últims 12 mesos.” Aquesta segona petició es podria considerar que conté una variació, respecte de la primera, ja que no refereix amb precisió si es tracta dels seus propis accessos.

Malgrat que no hi hauria d’haver dubte de que, en qualsevol cas, el reclamant ha demanat els seus propis accessos a la plataforma o aplicatiu SGRH, dels pronunciaments de l’ICS i APDCAT reflectits als antecedents es desprèn una discrepància sobre l’abast d’aquesta petició. L’APDCAT entén que es tracta d’un accés sobre dades de tercers i l’ICS ho desmenteix i considera que només es demana informació sobre l’accés a dades pròpies, tot i que tampoc ha facilitat aquesta informació pròpia al reclamant.

Així doncs, efectivament, l’APDCAT considera que, en aquest cas, l’objecte de reclamació no és refereix al dret d’accés regulat a l’article 15 de l’RGPD, atès que la persona afectada no pretén accedir a informació sobre les seves pròpies dades personals, sinó que es refereix a la traçabilitat respecte de les seves dades personals, concepte aquest consubstancial al coneixement per part de tercers a les seves dades. Per aquest motiu es conclou que es tracta d’una reclamació compresa dins de l’àmbit de competència de la Comissió. Aquesta conclusió es desprèn d’una equiparació amb les consideracions que es van formular respecte dels accessos a la traçabilitat de les històries clíniques i que van donar lloc a l’aprovació del criteri entre l’APDCAT i la GAIP (Resolució de derivació de la reclamació de 6 de març de 2025).

L’Administració reclamada, l’ICS, posa de relleu que l’APDCAT hauria “confós el contingut de la pretensió accionada davant l’ICS (“conocer los accessos que se han realizado COM MI LOGIN -DNI- al aplicativo SGRH del, ICS, donde figuran datos de carácter personal, formativos y más información personal”), amb el que seria pròpiament una petició de traçabilitat interna que busca la identificació nominativa dels empleats del responsable del tractament d’un fitxer de dades personals que han accedit a dit fitxer (contingut típic de les peticions de traçabilitat interna de la història clínica, probablement d’aquí ve la confusió).” D’acord amb això, la petició d’informació es referiria, exclusivament, a conèixer els accessos fets al SGRH “amb el seu LOGIN i DNI”, per part del reclamant i així, acreditar l’hora i data d’aquests accessos propis, “no pas esbrinar i identificar a possibles tercers que haguessin accedit a les seves dades en el SGRH”.

Entén també l’ICS que si “haguessin hagut tercers usuaris del SGRH que haguessin accedit i que podrien ser els gestors de recursos humans de l’ICS, en exercici legítim de les seves funcions com a empleats del responsable del tractament de dit fitxer, a les dades del reclamant en el SGRH, ho haurien fet amb el seu propi login i DNI (com passa amb la traçabilitat interna de les històries clíniques), no pas amb el login i DNI del reclamant (a no ser que s’hagués produït una suplantació de identitat mitjançant la usurpació del login i DNI del reclamant , circumstància aquesta que en cap moment el reclamant planteja).” També es diu que “ el reclamant mai ha volgut identificar a cap tercer que hagués pogut accedir a les seves dades en el SGRH, sinó acreditar (per obtenir prèviament, fora de la fase de prova del procés judicial en curs i esquivant el criteri judicial de pertinença de dita prova) que ell va accedir a l’aplicatiu SGRH en uns determinats dies i hores i que sí va triar destinació en el procés selectiu d’estabilització que havia superat, actuació que l’ICS considera que mai es va produir.”

Al seu torn l’APDCAT entén que “la normativa de protecció de dades no impediria comunicar a la persona reclamant l’accés a la seva pròpia informació (art. 15 RGPD), o informació de si es va produir algun error tècnic en relació amb els tràmits duts a terme pel propi interessat, sense associar aquesta informació a cap dada personal.”

En definitiva, de tot l’exposat es pot concloure que si la petició del reclamant es referia a les dades pròpies dels seus accessos a SGRH els darrers dotze mesos, és a dir, els accessos fets per ell mateix amb el seu LOGIN a les dades del SGRH, aquesta petició no ha de comportar cap obstacle respecte de la facilitació d’aquesta informació. Així ho ha apreciat l’APDCAT, com s’ha dit, i malgrat no s’hagi reconegut en el seu moment per aquesta autoritat de control de dades personals, res ha d’impedir que se li doni accés per l’ICS, aspecte que aquesta Comissió considera que ja es podria assolir.

Així ho va interpretar l’ICS, que considera que només es pot referir a dades pròpies del reclamant i conclou que no es demanen dades dels professionals que hagin pogut accedir. Al seu informe diu “des de l’Institut Català de la Salut, considerem que el dret d’accés recollit al Reglament General de Protecció de Dades (RGPD) no contempla la possibilitat d’accés a les dades personals dels professionals, com son en aquest cas els professionals que han accedit a l’aplicatiu SGRH. A més cal diferenciar, l’accés a la història clínica de l’accés a un aplicatiu de recursos humans.” ( Informe de l’ICS el 7 de gener de 2025).

Pel que respecta a l’advertiment de l’Administració reclamada de la manca d’utilització del formulari específic de Sol·licitud d’Accés a la Informació Pública (SAIP), i que això, “en aplicació del que estableix l’article 66.6 de la Llei 39/2015 de LPACAP, és d’obligada utilització, obligació “formal” establerta en norma estatal bàsica amb rang de llei que hauria de vincular a la GAIP com ho fa a la resta de la Generalitat, d’acord amb els criteris fixats per la Direcció de Serveis Consultius i Coordinació Jurídica del Gabinet Jurídic”, aquesta Comissió constata que l’origen d’aquesta reclamació es deu a una demanda d’informació que no es va atendre i que va propiciar el reclam de la seva atenció davant les autoritats de control de protecció de dades. Ha estat l’APDCAT qui trasllada pel coneixement de la GAIP, per entendre que és de la seva competència l’assumpte ara examinat. En aquest context de derivació que, a més, ha donat lloc a reconèixer per totes les Administracions que han intervingut, inclòs el propi ICS, que efectivament, el reclamant està demanat l’accés a dades que són pròpies, els seus accessos al SGRH, no és adequada, i fins i tot es pot considerar desproporcionada, una consideració merament formal respecte del formulari en que el reclamant va iniciar aquest periple per no atendre una petició d’informació que li concerneix.

D’altra banda, aquesta Comissió aprofita per recordar a l’ICS que la GAIP, malgrat la seva ubicació en l’estructura actual de la Generalitat, això no ha de desvirtuar que pel compliment de les seves funcions es reconeix la plena independència orgànica i funcional, sense submissió a instruccions jeràrquiques de cap mena tal com s’explicita a l’ article 39 LTAIPBG. Aquesta Comissió lamenta que s’hagi d’insistir en aquesta consideració essencial respecte de la seva naturalesa i funció de garantia del dret d’accés a la informació pública, ateses les al·legacions formulades sobre la subjecció a criteris propis de l’Administració sobre les conseqüències d’incomplir l’obligació d’utilitzar models o formularis específics.

De tot l’exposat, aquesta Comissió constata la coincidència palesada a les manifestacions de l’Administració reclamada, l’ICS i l’APDCAT, de considerar que si l’accés demanat pel reclamant es refereix a les seves pròpies dades personals, és a dir, si es demanen accessos que el reclamant va realitzar al sistema de recursos humans durant el període dels 12 últims mesos, a partir de la data en que es va formular la petició, efectivament en aquest cas, escau

reconèixer el seu dret d’accés en virtut d’allò previst a l’article 15 del RGPD. Davant d’aquesta consideració que aquesta Comissió també comparteix, no es veu l’inconvenient en que es reconegui l’accés demanat i així es faciliti per part de l’Administració reclamada.

3. Dret d’accés a la informació pública: Informació sobre els accessos de tercers a dades pròpies i límits

Pel que respecta a la petició dels accessos realitzats per terceres persones a les dades del reclamant en el SGRH, en principi, com s’ha vist als antecedents i en el fonament jurídic anterior, ja s’ha destacat que no hi ha acord sobre si aquesta referència s’inclou en la petició del reclamant. Aquest fet és rellevant per a l’Administració reclamada, que considera que excediria de l’objecte de la seva sol·licitud. Per la seva banda, l’APDCAT atenent a aquest contingut ha entès que la reclamació és competència de la GAIP per excedir el seu àmbit competencial de control.

En els termes amb que s’ha formulat la petició com s’ha dit, l’APDCAT, considera que també s’afegeixen els accessos de terceres persones, sobretot amb la referència a “conèixer possibles accessos des de IPs sense determinar”.

En aquest cas, la possibilitat de la identificació de les persones que haguessin pogut accedir a la informació del reclamant es podria considerar que és informació pública en els termes previstos a l’article 2.b LTAIPBG quan estableix que és “informació elaborada per l’Administració i la que aquesta té en el seu poder com a conseqüència de la seva activitat o de l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei”. Cal tenir en compte que l’article 53.1 DTAIP inclou “qualssevol dades o documents que les administracions públiques han elaborat, posseeixen, o poden legítimament exigir a terceres persones com a conseqüència de la seva activitat o de l'exercici de les seves funcions”.

Així, aquesta Comissió atén les manifestacions formulades per l’Administració reclamada, que ha manifestat que “si haguessin hagut tercers usuaris del SGRH que haguessin accedit (podrien ser-ho els gestors de recursos humans de l’ICS en exercí legítim de les seves funcions com a empleats del responsable del tractament de dit fitxer) a les dades del reclamant en el SGRH, ho haurien fet amb el seu propi login i DNI (com passa amb la traçabilitat interna de les històries clíniques), no pas amb el login i DNI del reclamant, (a no ser que s’hagués produït una suplantació de identitat mitjançant la usurpació del login i DNI del reclamant, circumstància aquesta que en cap moment el reclamant planteja).” Efectivament, tal i com es menciona a l’informe de l’ICS de 18 de juny de 2025, el reclamant no cerca la identificació de tercers que hagin pogut accedir a les seves dades en el SGRH, sinó acreditar els seus propis accessos al

SGRG, i l’eventual existència d’un “suposat error de la aplicatiu SGRH, que no hauria gravat l’accés telemàtic propi que manifesta va fer per triar destinació en el procés selectiu d’estabilització en el qual participava”. De les circumstancies descrites tal com es detallen als antecedents acreditarien que la informació demanada es circumscriu a la informació sobre l’accés del propi reclamant i no pas a terceres persones.

No obstant això, per al cas que també es poguessin incloure en la petició del reclamant els accessos de tercers, tal com ha entès l’APDCAT, aquestes dades de les terceres persones (els professionals que hagin accedit a l’aplicatiu en el període reclamat) donarien lloc a que s’hagués de ponderar la seva accessibilitat d’acord amb les previsions de l’article 24.3 LTIPBG.

D’altra banda, dels antecedents es desprèn també la possibilitat apuntada per l’APDCAT que la petició d’informació sobre la traçabilitat dels accessos que s’hagin dut a terme a través de l’aplicatiu de l’administració reclamada a les dades de la persona interessada, doni lloc a l’accés d’altra informació, que no sigui la merament identificativa (nom, cognoms i càrrec dels professionals afectats) i que es faciliti informació complementària relativa a les circumstàncies en què s’han produït aquests accessos (data i hora en què s’han produït, a través de quina IP i/o en base a quins permisos, motiu de l’accés, fins i tot informació sobre algun possible accés indegut, o sobre les gestions dutes a terme a partir d’aquest accés, si fos el cas, com ara una gestió errònia de la documentació aportada pel reclamant, etc), aspectes que veritablement interessen al reclamant, i que podrien donar lloc a facilitar una informació que en conjunt, es corresponguin amb un accés inclòs a la legislació de transparència.

La ponderació respecte de la valoració de l’accés demanat d’acord amb l’article 24.2 LTAIPBG, en concret, a la finalitat de l’accés a la informació sol·licitada en aquest cas, es recorda que tal com es preveu a l’article 18.2 de l’LTAIPBG no és condicionat a la concurrència d’un interès personal, no resta subjecte a motivació i no requereix la invocació de cap norma”, conèixer la motivació i finalitat per la qual la persona reclamant demana obtenir la informació, quan aquesta inclou dades personals, pot ser un element rellevant a tenir en compte.

Com adverteix l’informe de l’APDCAT, la normativa de protecció de dades tampoc no impediria, en el cas examinat, comunicar a la persona reclamant informació sobre la traçabilitat dels accessos a la seva informació personal, i sobre la gestió que s’hagi dut a terme de la seva documentació, en el context del procés selectiu en què hauria participat. A més, tenint en compte que la informació podria ser necessària per a exercir determinades accions o reclamacions per part de l’afectat, o per emprendre accions legals, es pot considerar que en el cas analitzat concorre aquest interès legítim, i que la ponderació hauria de ser favorable a l’accés a la informació reclamada per part de l’afectat.

I precisament, en relació amb aquesta darrera referència, l’ICS invoca per a justificar la denegació de l’accés demanat, la concurrència d’una limitació com és l’existència d’un procediment judicial en curs que impediria atendre la petició formulada pel reclamant. A aquests efectes adjunta documentació que acreditaria que la persona reclamant ha demanat en un procediment judicial en curs, una pràctica de la prova coincident amb la informació reclamada en via administrativa, en quant demana també la traçabilitat del SGRH de tot l’any 2024 de la demanda presentada el 7 d’abril de 2025. Entén l’ICS que “correspondria suspendre la tramitació d’aquesta reclamació fins que el TSJC es pronunciï en relació amb la mateixa informació sol·licitada en tram de prova en el recurs ordinari 1129/2025”.

La formulació àmplia en el reconeixement i en la regulació legal del dret d’accés a la informació comporta l’obligació d’interpretar de forma estricta i restrictiva les limitacions d’aquest dret previstes a l’article 21 LTAIPBG sense incórrer en l’aplicació de limitacions que suposin una restricció injustificada i desproporcionada del dret d’accés a la informació. Aquesta Comissió constata que efectivament el reclamant en el plantejament de l’esmentat recurs contenciós administratiu ha demanat al tribunal en l’escrit de demanda “que se requiera a l’ICS para que aporte a las presentes actuaciones la trazabilidad de la plataforma SGRH de todo el año 2024”.

Aquesta Comissió recorda que respecte de l’al·legació de limitacions i, específicament, respecte de l’ara invocada sobre l’afectació del principi d’igualtat de les parts en els processos judicials o la tutela judicial efectiva prevista a l’article 21.1 d) LTAIPBG no procedeix la seva invocació genèrica i cal acreditar el dany que sobre el bé jurídic protegit pel límit invocat es produiria.

Aquesta Comissió només pot constatar d’aquesta al·legació la coincidència del que ha demanat el reclamant davant les autoritats de control de protecció de dades i el que ha proposat com a prova davant del tribunal al qual ha plantejat la demanada en defensa dels seus drets professionals.

D’acord amb tot l’exposat, aquesta Comissió considera que atesa la coincidència detectada entre allò demanat a l’ICS, després reclamat a l’APDCAT que ha derivat a la GAIP i la petició formulada al Tribunal en el recurs plantejat que coincideix amb l’objecte d’aquesta reclamació, escau per un principi de prudència o economia processal, desestimar la reclamació, especialment pel que es refereix a l’accés a dades de tercers.

4. Publicitat de les resolucions de la GAIP

L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals.

Resolució

Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 19 de febrer de 2026, resol per unanimitat:

1. Desestimar la Reclamació 405/2025 d’acord amb les consideracions fetes als fonaments jurídics 2 i 3.

2. Declarar finalitzat el procediment relatiu a la Reclamació 405/2025 i disposar la publicació d’aquesta resolució al web de la GAIP.

Iolanda Pineda Balló Presidenta

Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.