Tratamiento y Protección de Datos Personales

ESPACIO WEB SOBRE PROTECCIÓN DE DATOS DE LA SECRETARÍA GENERAL

BUENAS PRÁCTICAS EN TRANSPARENCIA Y PROTECCIÓN DE DATOS

Extracto del documento Guía de Buenas Prácticas en Materia de Protección de Datos de la C.R.U.E.

1. ESTUDIANTES

1.1. ACCESO AL CONTENIDO DE LOS EXÁMENES

Las respuestas por escrito dadas en un examen y las eventuales anotaciones del examinador referentes a esas respuestas son datos personales, por lo que el estudiante que ha efectuado el examen tiene derecho de acceso a la citada información (art. 15 RGPD).

1.2. PUBLICACIÓN DE LOS LISTADOS CON LAS CALIFICACIONES DE LOS ESTUDIANTES

Aun no tratándose los procedimientos de evaluación de procedimientos de concurrencia competitiva, las calificaciones obtenidas van a tener incidencia en el otorgamiento de las matrículas de honor limitadas a un número de estudiantes, así como también en la concesión de premios extraordinarios, por lo que también podría apreciarse un interés legítimo de los alumnos del grupo en el conocimiento de las calificaciones de sus compañeros.

Publicación en la intranet institucional

Se debe utilizar, como medio preferente, la intranet o plataformas docentes oficiales de cada institución universitaria para proceder a la publicación de las calificaciones, estando limitado el acceso a los profesores y compañeros del grupo.

Publicación en tablones físicos

En el caso de que la publicación en la intranet no garantice el conocimiento por todos los estudiantes de sus calificaciones y de las de los compañeros de grupo, podrá realizarse en el tablón de anuncios físico del centro o departamento, siempre que se atienda a las siguientes pautas:

a) No se encuentren en las zonas comunes de los centros (pasillos, etc.).

b) Se garantice que el acceso a los mismos queda restringido a dichas personas.

c) Se adopten las medidas necesarias para evitar su público conocimiento por quienes carecen de interés en el mismo.

Se procurará preservar la documentación a través de tablones cerrados con llave y, si no es posible, se monitorizará la información personal publicada evitando que la documentación pueda ser retirada por personas no autorizadas.

Normas comunes para ambos modos de publicación (electrónica y física)

En cualquier caso, se deberá atender al principio de minimización, por lo que se harán públicos solos los datos que sean estrictamente necesarios para el ejercicio de la finalidad que se pretende (el conocimiento por los interesados de las calificaciones obtenidas), sin incluir mención al DNI o documento equivalente, salvo que hubiera coincidencia de estudiantes con los mismos nombres y apellidos o exista norma que exija la publicación del número del documento de identificación, en cuyo caso se actuará de conformidad con las previsiones contenidas en la Orientación para la aplicación provisional de la Disposición Adicional Séptima de la LO 3/2018.

En cuanto al tiempo en el que deberá mantenerse dicha publicación, en el caso de las calificaciones provisionales lo será mientras transcurre el plazo para presentar reclamaciones, y respecto a las calificaciones definitivas durante el tiempo imprescindible que garantice su conocimiento por todos los interesados.

Buena práctica: si se utiliza cualquier otro medio para comunicar las calificaciones (entre ellos, sistemas de mensajería instantánea, dispositivos electrónicos) hay que adoptar las debidas precauciones que garanticen la integridad y confidencialidad. En este sentido, no se aconseja comunicar las calificaciones por teléfono, por el riesgo potencial que conlleva una posible usurpación de la identidad, salvo que haya suficientes garantías de verificación de que la persona con la que se está comunicando es quién dice ser.
Buena práctica: incluir un texto explicativo en los listados y actas indicando que el destinatario de la in-formación no puede difundir o usar los datos personales de los que ha tomado conocimiento sin estar au-torizado previamente por el titular de los datos personales, siendo a todos los efectos responsable en ca-so de incumplimiento.
Buena práctica: que las unidades de tecnologías de la información y comunicación de las universidades desarrollen medidas que permitan el acceso universal de los usuarios a sistemas de consulta por intranet corporativa con el objeto de que en la regulación normativa de cada institución universitaria se elimine la opción de publicación en tablones físicos.

1.3. PUBLICACIÓN DE LISTADOS CON DATOS PERSONALES DE LOS ESTUDIANTES

Resulta aconsejable la publicación en la intranet institucional, al minimizar el riesgo potencial de acceso por parte de personas no autorizadas, si se utilizan adecuados protocolos de seguridad. Solo ha de tener acceso a la documentación con datos personales las personas afectadas (por ejemplo, los solicitantes de una línea de investigación del TFM). Por lo demás, se atenderá a las recomendaciones indicadas en el epígrafe 1.6.

1.4. DATOS DE CONTACTO

La solicitud, por parte de un profesor, de acceso a los datos de contacto de un estudiante que no pertenece al grupo de su clase (entre ellos, correo electrónico, teléfono) requiere del previo consentimiento del afectado.

.

2. IMÁGENES

2.1. TRATAMIENTO DE IMÁGENES CON FINES EDUCATIVOS, INSTITUCIONALES O CULTURALES

Elaboración de videotutoriales por los estudiantes y posterior publicación en el blog de la Universidad

La elaboración y ulterior publicación de los videotutoriales se ha de fundamentar en el previo consentimiento otorgado por los estudiantes o personas que aparezcan en los videos, salvo que se trate de personas que ejerzan un cargo público o una profesión de notoriedad o proyección pública y la imagen se capte durante un acto público o en lugares abiertos al público (art. 8.2.a Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, en adelante LO 1/1982).

Exposición o estand con fotos captadas en actos y eventos de la universidad

La divulgación de las fotos (si en ellas aparecen datos personales) es una comunicación de datos, para la que sería necesario el previo consentimiento de las personas fotografiadas, salvo que ejerzan un cargo público o una profesión de notoriedad o proyección pública y la imagen se capte durante un acto público o en lugares abiertos al público (art. 8.2.a LO 1/1982).

Utilización de imágenes de los miembros de la comunidad universitaria o de terceras personas en acciones promocionales de la Universidad, en memorias, guías, revistas, proyectos de innovación docente con fines de difusión de la metodología en entornos académicos o científicos externos, entre otros

Para la divulgación de las imágenes se requiere el previo consentimiento de los afectados, salvo que resulte de aplicación cualquier otra base de legitimación.

Publicación de fotos de antiguos alumnos de una determinada promoción

Se requiere el previo consentimiento de los afectados, salvo que resulte de aplicación cualquier otra base de legitimación.

Grabación de la sesión de una clase en vídeo

En el supuesto de que sea el estudiante el que pretende la grabación será necesario el previo consentimiento de los afectados, incluido el profesor.

Si es el profesor el que está interesado en la grabación será posible, sin previo consentimiento de los asistentes a la clase, si se trata de una grabación que efectúe el docente exclusivamente en el ejercicio de la función educativa en cuyo caso sería de aplicación el artículo 6.1.e) RGPD (tendría su legitimidad legal en la actividad y formación docente prevista en la Ley Orgánica de Universidades), y sin ulterior utilización para otros fines (entre ellas, su divulgación). Las imágenes solo deberán estar accesibles para los estudiantes participantes en dicha actividad y el profesor correspondiente. Si la citada grabación pudiera afectar al derecho al honor, a la imagen o a la intimidad personal de cualquiera de los asistentes, se requeriría su previo consentimiento.

Buena práctica: divulgar a través de las listas institucionales los requisitos para poder proceder a la grabación sin consentimiento expreso y de las responsabilidades en materia de protección de datos que pueden asumirse en caso de incumplimiento, o colocar paneles o carteles informativos en la entrada de las aulas explicando dichos requisitos.

Grabación de las imágenes de los alumnos durante la realización de los exámenes

Con carácter general, no sería una medida proporcionada y adecuada para la finalidad perseguida, pudiéndose valorarse otros medios menos intrusivos para la privacidad de las personas si la finalidad es disuadir a los estudiantes de determinadas conductas durante la realización de los exámenes o hacer un mejor y adecuado seguimiento de su evaluación.

Uso de imágenes realizadas en actividades académicas, culturales, deportivas, entre otras, correspondientes a actos organizados por la Universidad y su posterior difusión en el canal de noticias de la página web de la Universidad o en las redes sociales institucionales

El hecho de que la realización de las fotos o la grabación de los vídeos se produzcan durante un acto público no legitima para excluir el previo consentimiento inequívoco de las personas grabadas o fotografiadas, salvo que:

1. Se trate exclusivamente de captar la imagen de los asistentes de forma accesoria y sin posterior divulgación, o

2. Se tomen en un acto de interés histórico, científico o cultural relevante (art. 8.1 de la LO 1/1982).

Buenas prácticas:
Informar a la entrada del evento de la finalidad de la grabación de imágenes de los asistentes (mediante carteles o paneles informativos, folletos, entre otros).
Si se cursa invitación se debe advertir de que la Universidad tomará fotografías y/o grabará vídeos.
Los fotógrafos oficiales deberían de llevar una acreditación que los distinga como tales. Si la captación y uso de imágenes va a ser particularmente intensiva se recomienda repartir algún tipo de distintivo (chapa, pegatina, entre otros) de color entre los asistentes que permita a los fotógrafos evitar a aquellos que no desean ser retratados.
Los fotógrafos oficiales centrarían la captura de imágenes y vídeos del evento en tomas generales de los asistentes, de forma que ninguno adquiera un papel exclusivo o predominante y la presencia de cualquiera de ellos pueda entenderse como accesoria.

Grabación de imágenes y toma de fotografías en un acto universitario por parte de particulares

Las grabaciones y toma de fotografías de las imágenes de familiares que participan en eventos universitarios se encontrarían amparadas en el ámbito personal y doméstico y, por tanto, excluido de la aplicación del RGPD (art. 2.2.c) en la medida en que las imágenes sean tomadas por particulares para sus fines familiares. En todo caso, el uso social permite este tipo de grabaciones y realización de fotografías.

Buena práctica: informar mediante paneles o carteles informativos a los particulares de su responsabilidad en materia de protección de datos en caso de que las imágenes de terceras personas que hayan grabado fueran divulgadas en entornos abiertos (entre ellas, redes sociales, páginas web) sin contar con el previo consentimiento de las personas afectadas.

2.2. TRATAMIENTO DE IMÁGENES CON FINES CIENTÍFICOS

Captación y grabación de imágenes para fines de investigación científica

Se requerirá el previo consentimiento del afectado, salvo que resulte de aplicación cualquier otra base de legitimación. Hay que recordar que el tratamiento de datos personales como las imágenes con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, estará sujeto a las garantías adecuadas para los derechos y libertades de los interesados, disponiendo de medidas técnicas y organizativas, en particular para garantizar el principio de minimización de los datos personales, pudiendo incluir la “seudonimización”, siempre que de esa forma puedan alcanzarse dichos fines (art. 89 RGPD).

.

3. ACTIVIDAD INVESTIGADORA Y DE TRANSFERENCIA DEL CONOCIMIENTO

3.1. REALIZACIÓN DE ESTUDIOS

Acceso a datos de archivos históricos universitarios para estudios científicos

Cuando se pretenda el acceso a datos especialmente protegidos de personas vivas habrá que recabar el previo consentimiento de estas. Si han fallecido tendrá que haber transcurrido el plazo de veinticinco años desde su muerte, si se conoce la fecha del óbito. Por último, habrá que atender al transcurso del plazo de cincuenta años si no consta si el afectado falleció o no, con las prevenciones indicadas anteriormente, todo ello salvo que la legislación autonómica aplicable disponga lo contrario.

Un investigador solicita acceder a datos de contacto del personal docente o de estudiantes para realizar una encuesta

Si la investigación se efectúa a nivel institucional (en el marco de un proyecto de investigación concreto), se podrá facilitar los correos de contacto (en el caso del profesorado su cuenta profesional, y en el de los estudiantes el correo que la Universidad le asigne) con fundamento en el interés público -art. 6.1.e) RGPD- el desarrollo de la investigación científica, técnica y artística y la transferencia del conocimiento.

Buena práctica: habilitar una lista de distribución específica y temporal para esta finalidad.

En cualquier caso, debería de insertarse en el cuestionario un enlace a la política de privacidad que regule el tratamiento de datos derivados de encuestas.

En el caso de tratarse de un estudio o investigación que se realice a título personal habría que realizar el test del daño, así como el juicio de ponderación previsto en el art. 15.3 de la LTAIBG, para determinar, en función de las circunstancias concurrentes en cada supuesto, si se acredita un interés legítimo y, en su caso, si este prevalece sobre el derecho a la protección de datos.

Cesión de datos de estudiantes y profesorado para realización del TFM/TFG o la Tesis Doctoral

Se trata de estudio o investigación que se realiza a título personal, por lo que habría que realizar el test del daño, así como el juicio de ponderación previsto en el art. 15.3 de la LTAIBG, para determinar, en función de las circunstancias concurrentes en cada supuesto, si existe un interés legítimo y, en su caso, si este prevalece sobre el derecho a la protección de datos. En el caso de acceso a datos personales contenidos en archivos históricos universitarios habría que atender a lo indicado en este punto ut supra.

La solicitud se inadmitiría a trámite si supone para la Universidad la elaboración no de un documento sino de múltiples documentos expresos, debiendo acudir a distintas fuentes de información, siempre que carezcan de los medios técnicos que permitan recopilar toda la información solicitada sin tener que acudir a una búsqueda manual que no sea proporcionada -art. 18.1.c) LTAIBG o, en su caso, precepto equivalente del resto de leyes autonómicas de transparencia.