# data[].attributes.headline
Tratamiento de los datos personales en los centros educativos y personas que intervienen

# data[].attributes.subject
Tratamiento de los datos personales en los centros educativos y personas que intervienen

# data[].attributes.body
Más información aquí:

https://www.aepd.es/guias/guia-centros-educativos.pdf

# data[].attributes.attachment_link.title
Tratamiento de los dat... | Librería CATEDU

# data[].attributes.attachment_link.description
Más información sobre protección de datos en centros educativos pulsando aquí. Protección de dat…

# data[].attributes.headline
GUíAS SECTORiALES AEPD I Guía para centros educativos

# data[].attributes.subject
GUíAS SECTORiALES AEPD I Guía para centros educativos

# data[].attributes.body
Aquí os dejo esta guía de la AEPD. Un saludo

María Sagasti

# data[].attributes.headline
Informar a padres y tutores sobre Google Workspace for Education

# data[].attributes.subject
Informar a padres y tutores sobre Google Workspace for Education

# data[].attributes.attachment_link.readable_text
En Google, creemos que es importante que los padres (un término que usamos en este artículo para referirnos también a los tutores) sepan cómo utilizan sus hijos los servicios de Google en clase. La información facilitada más abajo ayudará a los centros educativos que utilizan Google Workspace for Education a informar de forma eficaz a los padres y los tutores sobre cómo usan los servicios de Google y otros servicios de terceros (a veces también denominados "productos de terceros") los alumnos que acceden con cuentas de Google Workspace for Education, así como a obtener su consentimiento cuando corresponda.

Como los administradores de los centros pueden determinar qué servicios están disponibles y sus políticas, el uso que haga de Google Workspace for Education cada centro educativo será diferente. Creemos que los centros son los más indicados para personalizar la información que comparten con los padres basándose en el uso real que hacen de los servicios de Google. No hay una solución que se adapte bien a todos, pero Google se ha propuesto ofrecer a los centros educativos la información que necesitan sobre nuestros servicios y nuestras prácticas de privacidad y seguridad, de forma que puedan mantener bien informados a los padres.

Los centros que tienen Google Workspace for Education pueden seguir los pasos que se indican a continuación para informar a los padres de cómo usan los servicios de Google, qué información obtiene Google cuando los utilizan y el uso que hace Google de esa información. Si los centros educativos optan por permitir el acceso de los alumnos a servicios de terceros con sus cuentas de Google Workspace for Education, deben notificar a los padres en relación con esos servicios y obtener su consentimiento cuando sea necesario.

1. Determinar qué servicios de Google utilizará tu centro educativo

Google Workspace for Education ofrece dos categorías de servicios de Google: los Servicios Principales (como Gmail, Drive, Calendar y Classroom), que se proporcionan de conformidad con el contrato de Google Workspace for Education, y los Servicios Adicionales (como YouTube y Maps), que se pueden utilizar con las cuentas de Google Workspace for Education si un administrador de dominio del centro permite su uso con fines educativos. Consulta más información sobre las diferencias entre los dos tipos de servicio.

Los administradores de Google Workspace for Education pueden gestionar a qué Servicios Principales y Adicionales pueden acceder sus usuarios con sus cuentas. Los centros educativos deben indicar a qué servicios permiten el acceso de usuarios menores de 18 años para poder compartir información sobre esos servicios con los padres.

2. Obtener el consentimiento de los padres cuando corresponda

Es posible que los centros educativos quieran o deban obtener el consentimiento de los padres para autorizar a los alumnos a acceder a los servicios de Google. Google proporciona una plantilla a los centros educativos de Estados Unidos para ayudarles con este trámite, pero serán ellos quienes determinen la mejor manera de utilizarla, la rellenen con su propia información de contacto y sobre los servicios que habilitan, y la compartan junto con los recursos para padres indicados a continuación.

El uso de los Servicios Adicionales por parte de menores requiere el consentimiento parental: en el contrato de Google Workspace for Education (sección 3.5) se establece que los centros educativos deben obtener el consentimiento de los padres para autorizar a los menores de edad a utilizar los Servicios Adicionales.

Los centros educativos deben determinar si necesitan también el consentimiento para usar los Servicios Principales: como práctica recomendada, al centro educativo también le podría interesar obtener el consentimiento de los padres para usar los Servicios Principales que habiliten. De todos modos, cuando el centro educativo se registra en los servicios de Google Workspace for Education y los utiliza, se entiende que proporciona el consentimiento para usar los Servicios Principales en nombre de los padres.

Si permites que los usuarios menores de 18 años accedan a servicios de terceros con su cuenta de Google Workspace for Education, es responsabilidad del centro educativo obtener el consentimiento parental cuando sea necesario, antes de permitir que los alumnos accedan a esos servicios.

Recursos que se pueden compartir con los padres y los tutores

Además de la plantilla anterior, recomendamos que los centros educativos compartan los recursos siguientes con los padres a la hora de solicitar su consentimiento:

Los centros de enseñanza de los distintos países y comunidades atienden a diferentes normativas y enfoques, por lo que Google no podrá asesorarte sobre el cumplimiento de las leyes que rigen tu centro. Debes obtener el consentimiento de los padres de forma que cumpla las leyes de tu jurisdicción.

Posibles errores

Como administrador, es posible que los padres contacten contigo para informarte de los mensajes de error que obtienen cuando intentan añadir una cuenta de Google Workspace for Education a un dispositivo Android personal con una cuenta de Google que ya tenían y que se gestiona con Family Link. Estos errores se producen principalmente cuando la aplicación Family Link gestiona la cuenta infantil de Google, y la cuenta de centro educativo está sujeta a la gestión de dispositivos móviles (MDM) del administrador del centro.

Los errores podrían indicar "No se ha podido iniciar sesión. Se ha producido un error al establecer comunicación con los servidores de Google. Vuelve a intentarlo más tarde". O bien "No se ha podido añadir a este dispositivo tu cuenta de Google Workspace for Education, gestionada por el administrador del centro educativo. Este dispositivo ya se gestiona mediante Family Link y solo puede tener un administrador".

Te recomendamos que hagas lo siguiente:

1. Establece MDM como Básica, no como Avanzada, para la unidad organizativa del alumno.

2. También puedes crear una unidad organizativa independiente para los alumnos que usan dispositivos personales (BYOD) y establecer MDM como Básica.

No se recomienda desactivar MDM.

# data[].attributes.attachment_link.title
Informar a padres y tutores sobre Google Workspace for Education - Ayuda de Administrador de Google Workspace

# data[].attributes.attachment_link.description
En Google, creemos que es importante que los padres (un término que usamos en este artículo para referirnos también a los tutores) sepan cómo utilizan sus hijos los servicios de Google en clase. L

# data[].attributes.headline
¿Cómo afecta la nueva ley de Protección de Datos a los centros educativos?

# data[].attributes.subject
¿Cómo afecta la nueva ley de Protección de Datos a los centros educativos?

# data[].attributes.attachment_link.readable_text
Este viernes 25 de mayo entra en vigor el nuevo Reglamento General de Protección de Datos o GDPR, la normativa que sustituye a la actual Ley Orgánica de Protección de Datos que se aplicará a los 28 países de la Unión Europea.
En concreto, afectará tanto a instituciones físicas como a organizaciones que desempeñan su actividad profesional o comercial en ella: la escuela es uno de esos ámbitos y, por tanto, deberá adaptarse a la nueva norma.

¿Qué implica la GDPR en centros educativos?

Básicamente requiere (en el caso de los centros escolares) que sus responsables analicen los datos que tratan, con qué finalidad lo hacen y el tipo de tratamiento que realizan. Así, podrán establecer cómo aplicar las medidas adecuadas para su protección. Vamos a verlo con más detalle.
La puesta en marcha de la norma GDPR dará luz verde a nuevos derechos que reforzarán la capacidad de control que posee una persona sobre sus datos, además de su derecho de acceso, es decir, el derecho a conocer quien tiene esa información, a quién se la comunican o con qué motivo. Asimismo, determina las obligaciones que necesitan cumplir sus responsables a la hora de tratarla.

En este nuevo escenario, y al igual que una compañía privada tiene bajo su poder datos referidos a personas, en el ámbito educativo sucede algo similar. Los centros disponen no sólo de material acerca de sus trabajadores sino también de sus estudiantes: fotografías, documentación, evaluaciones, expedientes, informes médicos ...; en algunas situaciones, incluso, manejan datos de categorías especiales que por sus características exigen un control más estricto (por ejemplo, etnia o raza).

Responsabilidad proactiva

¿De qué modo esto afectará a los colegios y la protección de sus datos? Como explica Julián Prieto, responsable del área de menores de la Agencia Española de Protección de Datos : "Se introduce una nueva modalidad de cumplimiento basada en una responsabilidad proactiva que lleva a que los responsables de este tratamiento, los centros o las administraciones educativas, adopten aquellas medidas que garanticen su cumplimiento y puedan demostrarlo".

Dicho de otra manera: las escuelas tienen el deber de adoptar las medidas establecidas por la norma GDPR para que se cumplan dichos principios y que esa 'responsabilidad proactiva' resulte efectiva. Esto implica que tienen que estar preparadas para solicitar datos personales cuando así lo requiera la situación y documentar su uso, sin olvidar las medidas para su protección. Desde el punto de vista legal esto se conoce como 'privacidad por defecto' y significa que los sistemas de tratamiento de los colegios se configurarán de forma restrictiva y sólo las personas implicadas decidirán qué aspectos de su información desean hacer públicos.

Un delegado para la protección de datos

Una nueva figura aparece en escena, la del Delegado de Protección de Datos. Obligatoria para prevenir situaciones de incumplimiento, " informará, asesorará y supervisará el tratamiento de datos que lleven a cabo los centros educativos y que éstos o las administraciones educativas habrán de designar" detalla Prieto.
Además de garantizar el cumplimiento de la legislación en materia de protección, el Delegado de Protección de Datos podrá desempeñar otras actividades como las relacionadas con labores de asesoramiento, auditorias o formación de personal.
El responsable del área de menores de la Agencia Española de Protección de Datos , recuerda que se "deberá adecuar la información que se ofrece a los interesados, o a sus padres si se trata de menores de 14 años a lo que dispone el reglamento, adecuar los procedimientos para atender el ejercicio de sus derechos de los interesados y articular el procedimiento para notificar a las autoridades las brechas de seguridad que puedan tener".

Registro de actividades

Con esta reforma, se mejoran los derechos de privacidad de docentes, alumnos y personal que trabaje en centros de enseñanza porque se les garantiza el acceso a sus datos, traslado u oposición a que terceros accedan a ellos.
La obligación de documentar procesos y proteger la información también será mayor. Elaborarán informes y presentarán pruebas que demuestren que cumplen con lo establecido por la ley (caso de irregularidad lo comunicarán en un plazo máximo de 72 horas). Por último, los registros de actividades cobran fuerza. La obligación de inscribir los ficheros en la Agencia Española de Protección de Datos se sustituye por esta modalidad que implica describir con detalle qué datos se recogen, con qué fin se tratan, a quién se comunican, cómo se preserva su seguridad y cuándo se podrán suprimir.

Os recomendamos laGuía para Centros Educativos elaborada por la Agencia Española de Protección de Datos. En ella se ha incluido un decálogo para el uso correcto de los datos personales que os será de utilidad.

# data[].attributes.attachment_link.title
GDPR en Centros Educativos: ¿cómo afectará a la protección de datos?

# data[].attributes.attachment_link.description
Este viernes 25 de mayo entra en vigor el nuevo Reglamento General de Protección de Datos o normativa GDPR, que sustituye a la actual Ley Orgánica de Protección de Datos que se aplicará a los 28 países de la Unión Europea.

# data[].attributes.attachment_caption
Protección de datos en los Centros Educativos

# data[].attributes.attachment_link.title
Protección de datos en los Centros Educativos

# data[].attributes.attachment_link.description
Conferencia asociada al curso "Protección de datos, privacidad y derechos digitales". Ponente: Subdirector General del Registro General de Protección de Dato...

# data[].attributes.headline
La importancia de proteger los datos y la información de estudiantes, docentes y centros

# data[].attributes.subject
La importancia de proteger los datos y la información de estudiantes, docentes y centros

# data[].attributes.body
Artículo sobre soluciones digitales para la escuela.

ANTONIO FRANCO CASTILLO

# data[].attributes.attachment_link.readable_text
El trabajo y la educación online son la nueva normalidad tras la pandemia y las universidades han introducido formas de colaboración remota para garantizar el acceso de los estudiantes al conocimiento. Pero, ¿cómo garantizar que los datos de estudiantes, profesores y centros educativos estén seguros? La respuesta está en las copias de seguridad o sincronización en la nube. Y es que representan mucho más que una mayor seguridad para el trabajo de investigadores, estudiantes y profesores: si los piratas informáticos atacan los servidores de la universidad, una copia de su trabajo permanecerá segura y protegida del 'ransomware' y el robo de datos; pero también asegurará que la organización cumpla con los estándares y regulaciones de la industria.

Copia de seguridad para Microsoft 365 y para Google Workspace

Entre los productos para el sector educativo de Synology dos se integran perfectamente con los servicios de colaboración que podrían utilizar la mayoría de los centros educativos en España. Hablamos de Active Backup para Microsoft 365 y Active Backup para G Suite. Ambos, sin licencia necesaria para su uso.

La solución para Microsoft 365 protege OneDrive, SharePoint Online, correo electrónico, contactos y calendario. Además, asegura los documentos y la correspondencia con una copia de seguridad continua, lo que permite una versión flexible de los archivos y maximiza la eficiencia del archivo.

La versión de Active Backup para productos de Google, por otro lado, mantiene a salvo Drive junto con todas las unidades compartidas, el correo, los contactos y el calendario. Dispone de un sistema de respaldo continuo que asegura un sistema de versiones flexible y facilita la recuperación en caso de que se produzca algún problema. También puede ejecutar instancias únicas y de duplicación a nivel de bloque.

Así, gracias a estas soluciones tanto los empleados como los administradores pueden ubicar elementos y restaurarlos o exportarlos con solo unos pocos clics. El portal de restauración automática hace que sea muy fácil restaurar un solo archivo, junto a los metadatos, correos electrónicos con sus adjuntos, contactos o eventos del calendario. También permite exportar a EML, CSV e ISC, mientras que los datos se pueden exportar como documentos de Office.

La importancia de las copias de seguridad

Del mismo modo que las copias de seguridad de los datos creados y administrados en la nube son extremadamente convenientes, especialmente para una institución grande, la información del dispositivo también es importante. En este sentido, una solución como Active Backup for Business centraliza las tareas de copia de seguridad de datos locales y en la nube para VMware, Hyper-V, puntos finales de Windows, Microsoft 365 y G Suite en Synology NAS.

Por lo tanto, también protege los datos en PC y servidores con Windows, con diferentes métodos de copia de seguridad, incluyendo la capacidad de respaldar y restaurar máquinas completas. Y con la integración de Microsoft Active Directory, TI puede distribuir tareas fácilmente. Además, están disponibles la deduplicación global y la copia de seguridad incremental.

Además, una solución de copia de seguridad flexible puede adaptarse a cualquier institución independientemente de su actividad o tamaño. Un ejemplo es la Universidad Politécnico de Tredu, ubicada en Tampere (Finlandia), que ofrece estudios profesionales en sectores como Tecnología, Ciencias Naturales, Comunicaciones y Turismo.

A raíz de la fusión del Consorcio de Educación de Pirkanmaa con el Politécnico en 2013, la ciudad universitaria alberga a unos 18.000 estudiantes y 1.000 empleados del campus. Debido a ello, la institución tiene la obligación legal de conservar los datos generados por los estudiantes y el personal. Al usar las soluciones de Microsoft 365 para DaD y el trabajo inteligente, debe proteger la información de casi 20.000 personas que también operan fuera de la red del campus.

No solo eso: la universidad también debe proteger los datos de antiguos alumnos y proyectos académicos, que también incluyen colaboraciones externas. Esto supone un total de 34.000 cuentas de Drive, Contact y Calendar, más de 68.000 buzones de correo y más de 11.000 de SharePoint. Las nuevas cuentas se crean y las antiguas se eliminan todos los días.

Arttu Miettunen, analista de sistemas en Tampere, recurrió a Synology para realizar copias de seguridad de los servicios de Microsoft. Más tarde, eligió una unidad SA3600 con 12 HDD Enterprise de 12 TB y 2 SNV3500 400G, SSD M.2 NVMe de Synology para almacenamiento para crear una caché. La copia de seguridad, actualmente, ocupa unos 15 TB de espacio, aunque se prevé que seguirá creciendo.

El SA3600 se puede expandir rápidamente con los 12 compartimientos para unidades ya disponibles y la capacidad de usar unidades de expansión de Synology hasta 180 unidades. Además, Active Backupfor Microsoft 365 está listo para la deduplicación, lo que reduce la copia de seguridad en 7 TB, desde la primera operación.

# data[].attributes.attachment_link.title
La importancia de proteger los datos y la información de estudiantes, docentes y centros

# data[].attributes.attachment_link.description
El trabajo y la educación online son la nueva normalidad tras la pandemia y las universidades han introducido formas de colaboración remota para garantizar el acceso de los estudiantes al conocimiento. Pero, ¿cómo garantizar que los datos de estudiantes, profesores y centros educativos estén seguros?

# data[].attributes.headline
Decálogo para fomentar la protección de datos en los centros escolares  

# data[].attributes.subject
Decálogo para fomentar la protección de datos en los centros escolares  

# data[].attributes.body
https://www.educaciontrespuntocero.com/noticias/decalogo-proteccion-datos-centros/

# data[].attributes.attachment_link.readable_text
Inicio > Noticias > Decálogo para fomentar la protección de datos en los centros escolares

Correo electrónico, almacenamiento en la nube, redes sociales... En los centros escolares, profesores y alumnos utilizan herramientas y aplicaciones de todo tipo, muchas de ellas ajenas a las plataformas de los propios centros. Esta situación podría derivar en la pérdida de control sobre los datos personales que se incluyen a través de ellas. Para evitarlo, la ha elaborado el siguiente decálogo de recomendaciones que fomentan la protección a través del buen uso de estas aplicaciones. ¡Tomad nota! Agencia Española de Protección de Datos

Los centros educativos deben velar porque la incorporación de las tecnologías en las aulas se realice respetando el derecho a la protección de datos de aquellos cuya información personal se trata.

Los centros deben utilizar sólo las aplicaciones que ofrezcan información definida sobre quién trata los datos, para qué y con qué finalidad, así como dónde se almacenan, el tiempo que se guardan y las medidas de seguridad.

Los centros informarán de manera sencilla y transparente a los padres o tutores sobre el empleo de la tecnología en las aulas, así como de las apps que se utilicen para tratar datos personales de los estudiantes.

Las aplicaciones utilizadas permitirán el control por parte de los tutores o profesores de los contenidos subidos por los menores (en especial de los contenidos multimedia).

# data[].attributes.attachment_link.title
La protección de datos en los centros: ¡toma nota de este decálogo!

# data[].attributes.attachment_link.description
Inicio > Noticias > Decálogo para fomentar la protección de datos en los centros escolares Correo electrónico, almacenamiento en la nube, redes sociales... En los centros escolares, profesores y alumnos utilizan herramientas y aplicaciones de todo tipo, muchas de ellas ajenas a las plataformas de los propios centros.

# data[].attributes.body
https://www.aragon.es/-/pantallas-sanas-2

Programa dirigido a toda la comunidad educativa, donde se aborda el tema de las pantallas y las nuevas tecnologías desde el punto de vista de la promoción de la salud

# data[].attributes.headline
INCIBE: Prevenir la fuga de información educativa

# data[].attributes.subject
INCIBE: Prevenir la fuga de información educativa

# data[].attributes.body
Artículo del Instituto Nacional de Ciberseguridad (INCIBE) en la que analizan los riesgos de seguridad relacionados con la información en nuestro sector.

Marta Guillermo

# data[].attributes.attachment_link.title
Prevenir la fuga de información en el sector educativo

# data[].attributes.attachment_link.description
Uno de los mayores peligros a los que se enfrentan estas empresas está relacionado con la gestión y tratamiento de los datos confidenciales de sus alumnos, especialmente si se trata de menores de edad.

# data[].attributes.headline
G Suite y consentimiento de las familias en los centros escolares

# data[].attributes.subject
G Suite y consentimiento de las familias en los centros escolares

# data[].attributes.attachment_link.readable_text
Como explicábamos en el post anterior, son muchas las consultas que nos están llegando de los centros educativos que utilizan o pretenden utilizar la plataforma de G Suite, en gran parte, derivadas de informaciones que están apareciendo en diferentes medios de comunicación y que es necesario aclarar.

Continuamos, por tanto, resolviendo las dudas y consultas de forma objetiva y analítica y en formato FAQs para una mejor comprensión de los lectores.

Retomamos la pregunta que dejamos en el aire en el post anterior sobre si es necesario que la familias firmen un documento de consentimiento de uso de las herramientas de G Suite for Education.

Y para responder adecuadamente a la pregunta, subdividimos en cuantas cuestiones sean necesarias.

¿Debe el centro educativo obtener el consentimiento de las familias para tratar los datos personales de los alumnos?

Abordando el fondo del asunto, y resolviendo implícitamente otra pregunta recurrente tras la aplicación del RGPD y la LOPDGDD, la edad para poder otorgar el consentimiento en la utilización de los datos personales en los casos en que el tratamiento de los datos esté legitimado por dicho consentimiento, es 14 años. Para menores de esa edad el otorgamiento lo deberán dar sus padres o tutores según el art. 7 de la LOPDGDD.

Otra confusión que observamos con frecuencia desde la aparición de la LOPD, es determinar la legitimación de cualquier centro educativo para el tratamiento de los datos personales de los alumnos, es decir, cuándo y en qué circunstancias puede el centro usar esos datos y si siempre necesita el consentimiento de las familias.

Porque, además del consentimiento, existen otras bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular:

Cuando una norma con rango de Ley autorice el tratamiento o incluso obligue al responsable a llevarlo a cabo.

Para el desarrollo y ejecución de una relación jurídica, es decir, para el cumplimiento del contrato o pacto de docencia.

Y para la satisfacción de un interés legítimo del responsable (el colegio) siempre que dicho interés no prevalezca sobre los derechos y libertades de los afectados, en particular cuando éstos sean niños.

Pues bien, los centros docentes están legitimados por la Ley Orgánica de Educación de 2006 (LOE) para el tratamiento de los datos en el ejercicio de la función educativa sin que, para esta finalidad, sea necesario el consentimiento de padres, madres tutores legales o el propio interesado.

Sin olvidarnos de los otros dos supuestos (contrato e interés legítimo), resulta que el consentimiento sólo se requiere para los tratamientos realizados fuera del ejercicio de la labor educativa.

Aquí es, por tanto, donde deberemos centrar todo nuestro interés para dar respuesta a la pregunta objeto del post.

¿Es necesario que las familias firmen un documento de consentimiento de uso de las herramientas de G Suite for Education?

No, no es necesario.

Aclaración previa muy importante. Hablamos exclusivamente de la plataforma G Suite, no del resto de servicios y aplicaciones ofrecidos por Google, que pueden ser utilizados o no por los centros educativos y que abordaré más adelante.

Nadie pone en duda que los tratamientos de datos que multinacionales bancarias españolas realizan con tecnologías Google sean legales, seguros y que, por supuesto, esa información es confidencial. Por lo que vemos, esas dudas sólo surgen cuando esa misma tecnología es traspasada a su uso en el sector educativo.

Debemos afirmar que esta suposición es falsa tanto desde el punto de vista legal como técnico.

Todos y cada uno de los centros educativos públicos, privados y concertados de España utilizan sí o sí una plataforma educativa que almacena y trata datos personales de menores.

Incluso los que no tienen equipos informáticos. Una estantería con expedientes académicos en carpetas lo es. Y también debe cumplir con la ley.

El almacenamiento y tratamiento de datos personales en plataformas de gestión educativa no requiere, NUNCA, el consentimiento de las familias. Alexia, Clickedu, Educamos, Raíces, Séneca y un largo etcétera. Da igual que sean de titularidad pública o privada: Linux, MSTF, iOS o G Suite.

Todas ellas son plataformas de procesamiento de datos donde el responsable único y último de los mismos es el Centro o Administración educativa. La plataforma siempre actúa por cuenta y bajo el mandato del centro a través del correspondiente contrato de encargado de tratamiento.

Pues otra plataforma educativa más, así de sencillo.

Por eso se contrata a través de un acuerdo de encargado de tratamiento

https://cloud.google.com/terms/data-processing-terms?hl=es

Y por eso tanto el G29 de la Comisión Europea como la AEPD así lo han certificado

https://drive.google.com/file/d/0B6i3gxFzl2t5OHBjck0yd1BnRnc/view

Y finalizando con la secuencia lógica, será por tanto el centro escolar el que, amparado en este caso por una Ley Orgánica, deberá tomar la decisión sobre qué plataforma va a utilizar de acuerdo con su proyecto educativo, eso sí, informando adecuadamente a las familias. Otra materia objeto de nuevo post, sería analizar si los centros disponen de los conocimientos y capacidades adecuadas para la toma de decisiones desde el punto de vista de la seguridad y la protección de datos, no ya por las plataformas supervisadas por las autoridades competentes, sino por el resto de servicios y aplicaciones que pueden ser utilizadas en la práctica docente. Conocimientos y capacidades que, por otro lado, requieren de unos medios y recursos adecuados.

¿Es necesario que las familias firmen un documento de consentimiento de uso de las herramientas de Google que no estén incluídas en G Suite for Education?

Sí, es necesario.

Ya no hablamos de plataforma educativa, ni de contrato de encargado de tratamiento ni procesamiento sin trazabilidad, etc. Incluso para su uso con finalidad educativa ya no estaríamos amparados por la LOE + RGPD y debemos obtener el consentimiento informado.

Pero ojo, esto no es sólo aplicable a los servicios que no son de G Suite de Google, sino a todas aquellas aplicaciones de otros operadores que traten datos de los alumnos y, por supuesto, a todos aquellos equipos y soportes donde se almacenen los mismos y en donde también debe aplicarse la ley y el reglamento de forma íntegra. Cuando la ley determina la necesidad de establecer sólidos sistemas de seguridad e integridad de la información, acuerdos SLA y auditorías y normas ISO referidas al esquema nacional de seguridad, no distingue entre sistemas operativos y proveedores de servicios. La norma es igual para todos con independencia de su tamaño y de tecnología a su alcance.

Para terminar este post, nos gustaría realizar una pequeña reflexión paralela sobre el trato que en ocasiones se da al conocimiento que los profesionales de la educación tenemos en el campo de la seguridad y la protección de menores en la Red. A pesar de la conocida falta de medios y de formación, no conocemos ni un solo profesional de este sector que no esté comprometido con la mejora de la convivencia, la seguridad y la protección social de sus alumnos. Y eso incluye la Red.

Para que un niño navegue seguro y desarrolle su identidad como ciudadano digital, debe actuar desde el conocimiento, de lo contrario navegará por instinto o intuición. Y eso es muy peligroso.

Construyamos conocimiento en Red.

El equipo de ieducando,

# data[].attributes.attachment_link.title
G Suite y consentimiento de las familias en los centros escolares

# data[].attributes.attachment_link.description
Como explicábamos en el post anterior, son muchas las consultas que nos están llegando de los centros educativos que utilizan o pretenden utilizar la plataforma de G Suite, en gran parte, derivadas de informaciones que están apareciendo en diferentes medios de comunicación y que es necesario aclarar.

# data[].attributes.body
Ójala nos sirva de algo, en el primer vistazo me ha gustado mucho su claridad

# data[].attributes.body
Aquí os dejo una charla muy interesante que resolverá muchas dudas

# data[].attributes.attachment_link.title
EDUcharla 1 La protección de datos en los centros educativos

# data[].attributes.attachment_link.description
EDUcharla 1 La protección de datos en los centros educativos

# data[].attributes.headline
Cómo configurar la privacidad  y seguridad en las redes sociales: deberíamos enseñárselo a nuestros alumnos

# data[].attributes.subject
Cómo configurar la privacidad  y seguridad en las redes sociales: deberíamos enseñárselo a nuestros alumnos

# data[].attributes.attachment_link.readable_text
Normativa aplicable en materia de protección de datos de carácter personal tanto en la legislación específica como en la sectorial

Protección de datos

REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) *

* Versión consolidada NO oficial: incluye las correcciones de errores publicadas en DOUE L 127 de 23.5.2018 y DOUE L 74 de 4.3.2021

REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)

Corrección de errores del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) [4 marzo 2021]

Corrección de errores del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) [23 mayo 2018]

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales

Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos

Sociedad de la información y telecomunicaciones

Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico

Ley 9/2014, de 9 de mayo, General de Telecomunicaciones

# data[].attributes.attachment_link.description
Normativa aplicable en materia de protección de datos de carácter personal tanto en la legislación específica como en la sectorial

# data[].attributes.attachment_link.readable_text
1. Inicio

2. Recursos

3. Guías

4. Guía de privacidad y seguridad en Internet

¿Sabes por qué es tan importante tener contraseñas robustas? ¿Y de hacer copias de seguridad? ¿Te gustaría obtener unos consejos para comprar en línea o sobre cómo evitar los programas maliciosos? Pues has aterrizado en la página correcta. Te presentamos la guía de "Privacidad y seguridad en Internet" que la Agencia Española de Protección de Datos (AEPD) y la OSI hemos desarrollado para ti.

La guía está formada por 18 fichas que recogen los principales riesgos a los que nos exponemos al hacer uso de Internet así como las medidas de protección que debemos aplicar para evitarlos. En concreto, cada ficha plantea una situación que podría ocurrir a cualquier usuario que haga uso de dispositivos electrónicos y se conecte a Internet, con el objetivo de hacer reflexionar a éste sobre la problemática de hacer o no hacer una determinada acción. A continuación, se expone información general sobre la temática abordada. Finalmente, cada ficha facilita una serie de consejos y recomendaciones que ayudarán a evitar los riesgos planteados y mantenerse protegido.

Además de las 18 fichas, hemos desarrollado varios videotutoriales que te permitirán configurar las opciones de privacidad de las principales redes sociales y aplicaciones de mensajería instantánea. En concreto para Facebook, Twitter, Instagram, Youtube, Whatsapp y Snapchat. ¡No te los pierdas!

Si lo deseas, puedes descargar las distintas fichas de las que se compone la guía de manera individual. Elije la temática que más te interese, descárgate la ficha y sé el primero en compartirla con tus contactos.

Tanto la AEPD como la OSI esperamos que esta iniciativa sea de utilidad a todos los usuarios de Internet y permita un acercamiento práctico a los contenidos desarrollados con el fin último de capacitar, prevenir y ayudar en el uso seguro y responsable de Internet.

# data[].attributes.attachment_link.title
Guía de privacidad y seguridad en Internet

# data[].attributes.attachment_link.description
¿Sabes por qué es tan importante tener contraseñas robustas? ¿Y de hacer copias de seguridad? ¿Te gustaría obtener unos consejos para comprar en línea o sobre cómo evitar los programas maliciosos? Pues has aterrizado en la página correcta.

# data[].attributes.attachment_link.readable_text
El pasado 25 de mayo de 2018 entró en vigor el Reglamento General de Protección de Datos. La Agencia Española de Protección de Datos pone a disposición de los usuarios interesados una completa Guía para centros educativos para facilitar, especialmente, la intervención de los equipos directivos ante determinadas situaciones que pueden generar dudas en las actuaciones cotidianas con los datos de nuestros alumnos y alumnas.

También puedes encontrar más información y recursos en la siguiente página web del Instituto Nacional de Tecnologías Educativas y Formación del Profesorado (INTEF).

Canal prioritario para comunicar la difusión de contenido sensible en internet y solicitar su retirada https://www.aepd.es/index.html

Completamos la información con un documento con enlaces a la normativa en vigor en materia de protección de datos, así como a los informes, infografías, portales web, guías y canal prioritario de denuncia sobre publicaciones en Internet de contenidos sexuales o violentos: Normas y materiales - PDCP Centros docentes - Febrero 2020

Esperamos que esta información te resulte de utilidad.

# data[].attributes.attachment_link.authors[].name
Ver todas las entradas de inspeccioneducacionteruel →

# data[].attributes.attachment_link.title
Protocolo Protección de Datos en los centros educativos

# data[].attributes.attachment_link.description
El pasado 25 de mayo de 2018 entró en vigor el Reglamento General de Protección de Datos. La Agencia Española de Protección de Datos pone a disposición de los usuarios interesados una completa Guía para centros educativos para facilitar, especialmente, la intervención de los equipos directivos ante determinadas situaciones que pueden generar dudas en las...

# data[].attributes.attachment_link.readable_text
¿Puede YouTube servir de aula virtual para que los alumnos suban sus trabajos escolares? La cuestión no deja de tener su trascendencia por tres cuestiones: se trata de menores de edad, de vídeos en los que aparecen ellos mismos mostrando sus caras y de una plataforma externa al colegio propiedad de una multinacional. Sin embargo, la respuesta de la Agencia Española de Protección de Datos a la pregunta es un sí. Una conclusión que ya ha levantado polémica.

Al ente público llegó en octubre de 2013 una denuncia contra el instituto Benicalap de Valencia. Lo que se planteaba era un incumplimiento de la Ley Orgánica de Protección de Datos de carácter personal (LOPD) en una clase de inglés de primero de Bachillerato cuya profesora propuso a sus estudiantes la grabación de vídeos para evaluar su expresión oral.

Ahora bien, en lugar de permitir que dichos trabajos se entregasen en un soporte físico (CD, DVD, pen drive...), la tutora instó a que se colgasen en internet, en concreto, en YouTube. ¿Qué concluyó la Agencia tras una inspección?

En una primera resolución del pasado mes de mayo, sentenció que "lo denunciado no supone una vulneración de la normativa en materia de protección de datos al no quedar probado ni tratamiento alguno sin consentimiento ni la presión aducida que haya obligado a los alumnos a colgar los vídeos en abierto". Dicho con otras palabras, pese a tratarse de imágenes de menores, no había vulneración de la LOPD porque los propios alumnos aceptaron la tarea y no se enfrentaron por ella a la profesora.

A pesar de sus propias recomendaciones, la Agencia cree que los menores consintieron

Pero en una segunda resolución del 11 de julio, la Agencia responde a otro recurso de reposición del padre del menor denunciante para "compartir" sus consideraciones "respecto a la existencia de formatos disponibles que permiten conciliar en mayor medida el objeto académico con la protección de datos personales de los menores".

Es decir, le da de alguna manera la razón reconociendo que YouTube no es la mejor herramienta aunque evita sancionar al centro. El padre insistió entonces en que "la práctica de fomentar la subida de imágenes en YouTube está desaconsejada expresamente por la Agencia Española de Protección de Datos", tal y como recoge la entidad pública en su última resolución. Es más, el instituto tampoco creó "un área privada para subir los vídeos", aunque existe un servicio de asesoramiento específico para los centros educativos.

La otra alegación del padre tenía que ver con el consentimiento, exigido por ley en estos casos: ¿Qué tipo de aceptación libre puede haber en una relación profesor-alumno? Así que "el consentimiento para subir los vídeos no fue específico ni libre (ya que hay un elemento de temor y disuasión entre profesor y alumno)".

Sobre esto, la Agencia responde dos cosas. Primero, que "la identidad del que cuelga el vídeo no es el centro" (sino el alumno), y segundo, que "no se ha acreditado que se hiciera bajo una presión que enervara la libertad necesaria para poder considerar como libre el consentimiento". El estudiante, por tanto, bien podría haber rechazado la actividad, a juicio de la Agencia.

Esta, además, constata que el alumno subió el vídeo a un entorno cerrado de YouTube, algo que, en todo caso, fue por iniciativa propia y no del centro, según la denuncia del padre.

En su última resolución, la Agencia Española de Protección de Datos deja claro que "el tratamiento de la imagen del menor en una intranet del centro o en un entorno cerrado en YouTube se trataría en todo caso de una esfera en que el tratamiento resulta correcto". La clave para la Agencia es que los vídeos o imágenes no estén en abierto, sea cual sea la plataforma a la que se suban.

En consecuencia, el asunto "no tendría en ningún caso trascendencia a efectos de la activación de un procedimiento sancionador", en palabras de la Agencia.

¿Y qué hay de sus propias recomendaciones? Según la entidad, "no es aconsejable publicar fotos que identifiquen a un niño, por ejemplo situándole en el contexto de un colegio y/o actividad determinados". De esto deduce que, en relación al uso de YouTube, "debería recomendarse a los usuarios que eviten subir a dichos canales vídeos o fotografías de menores, salvo en el caso de que no permitan la identificación de estos, bien por la distancia con que se tomen las imágenes o bien mediante la utilización de técnicas de distorsión u ocultamiento del rostro".

Pero la Agencia asume finalmente como válido que "la política del instituto señala que no se publicarán imágenes de los alumnos y sus datos sin consentimiento".

# data[].attributes.attachment_link.keywords[]
negocios y finanzas - computación e informática - seguridad

# data[].attributes.attachment_link.keywords[]
política - políticas internas - protección de datos

# data[].attributes.attachment_link.title
Carta blanca para subir vídeos escolares a YouTube

# data[].attributes.attachment_link.description
¿Puede YouTube servir de aula virtual para que los alumnos suban sus trabajos escolares? La cuestión no deja de tener su trascendencia por tres cuestiones: se trata de menores de edad, de vídeos en los que aparecen ellos mismos mostrando sus caras y de una plataforma externa al colegio propiedad de una multinacional.

# data[].attributes.headline
Resumen del Informe de la Agencia Española de Protección de Datos sobre la utilización de datos biométricos para la realización de pruebas online (10 de mayo 2020)

# data[].attributes.subject
Resumen del Informe de la Agencia Española de Protección de Datos sobre la utilización de datos biométricos para la realización de pruebas online (10 de mayo 2020)

# data[].attributes.attachment_link.readable_text
Resumen del Informe de la Agencia Española de Protección de Datos sobre la utilización de datos biométricos para la realización de pruebas online (10 de mayo 2020)

Protección de Datos Personales - 10 de mayo de 2020

A solicitud de presidente de la CRUE, con fecha 8 de mayo, la Agencia Española de Protección de Datos (AEPD) ha emitido un informe jurídico relativo a la utilización de técnicas de reconocimiento facial con fines de identificación biométrica en los procesos de evaluación online ante la situación de crisis sanitaria ocasionada por el COVID-19. A continuación se ofrece un resumen de su contenido.

I. Consideraciones previas

Comienza la AEPD destacando dos cuestiones:

1. La situación actual no implica la suspensión del derecho fundamental a la protección de datos, por lo que todo tratamiento de datos personales debe ajustarse a las previsiones del Reglamento General de Protección de Datos (RGPD).

2. La realización de evaluaciones online no es algo novedoso ni generado por el estado de alarma, sino que se trata de un método de evaluación que viene aplicándose por algunas universidades españolas desde hace años, empleándose para la identificación, métodos alternativos al reconocimiento facial, como la asignación de identificadores de acceso o el empleo de herramientas de videoconferencia o webcams. Ahora bien tratándose del empleo de técnicas de reconocimiento facial que implican una mayor intrusión en el derecho a la protección de datos personales, y existiendo medidas alternativas, debe primar un criterio de prudencia, siendo necesario un riguroso estudio de los riesgos que implican esos tratamientos y de las garantías necesarias para proteger el derecho a la protección de datos personales, siendo necesario realizar los correspondientes análisis de riesgos, evaluaciones de impacto y, en su caso, consulta previa a la autoridad de control.

II. Licitud del tratamiento de datos personales en la evaluación del estudiantado

Con carácter general, los tratamientos de datos personales derivados de la necesaria evaluación del estudiantado se encuentran amparados por el artículo 6.1.e) del RGPD, esto es, se trata de tratamientos de datos necesarios para el cumplimiento de una misión realizada en interés público, derivada de una competencia atribuida por una norma con rango de ley conforme al artículo 8.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derecho digitales (LOPDGDD). En concreto, es una competencia de las universidades derivada la configuración de la educación superior como un servicio público (artículo 1.1 de la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades -LOU-). En cualquier caso, como en cualquier tratamiento de datos personales, deben respetarse los principios relativos a la protección de datos recogidos en el artículo 5 del RGPD. Así se ha recogido anteriormente por la AEPD en sus informes 30/2019 (publicación de las calificaciones de los alumnos) y 63/2019 (grabación de los exámenes orales o de sesiones docentes).

Ahora bien, advierte la AEPD, la existencia de un interés público no legitima cualquier tipo de tratamiento de datos personales, sino que deberá estarse, en primer lugar, a las condiciones que haya podido establecer el legislador (apartados 2 y 3 del artículo 6 RGPD), así como a los principios del artículo 5 del RGPD, especialmente a los de limitación de la finalidad y minimización de datos.

Y, además, en el caso de que vayan a ser objeto de tratamiento alguno o algunos de los datos personales incluidos en las categorías especiales de datos a los que se refiere el artículo 9.1. del RGPD, como sucede con los datos biométricos, será necesario que concurra alguna de las circunstancias contempladas en su apartado 2 que levante la prohibición general de tratamiento de dichos datos.

Referida la consulta a la utilización de técnicas de reconocimiento facial para la identificación del estudiante, el tratamiento afecta a datos biométricos definidos por el RGPD como "datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos" (art. 4.14 RGPD). Este concepto abarca tanto la identificación biométrica (proceso de comparar datos biométricos, adquiridos en el momento de la identificación, con una serie de plantillas biométricas almacenadas en una base de datos (correspondencias uno-a-varios), como la verificación/autenticación biométrica (proceso de comparación entre datos biométricos, adquiridos en el momento de la verificación, con una única plantilla biométrica almacenada en un dispositivo (correspondencias uno-a-uno).

Con carácter general, los datos biométricos únicamente tendrán la consideración de categoría especial de datos en el supuesto de la identificación biométrica (uno-a-varios) y no en el caso de verificación/autenticación biométrica (uno-a-uno). Es decir, se estará ante un tratamiento de datos de categoría especial sólo en el caso de que tales datos se sometan a un tratamiento técnico específico dirigido a identificar de manera unívoca a una persona física (artículos 4.14 y 9.1 RGPD). Así resulta también del Considerando 51 RGPD: "El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física".

Los sistemas e-proctoring existentes en el mercado implican tratamiento de datos de categoría especial, dado que garantizan la identificación del alumno mediante el reconocimiento facial, evitando la suplantación de su identidad, no solo en el momento inicial, sino a lo largo del desarrollo de toda la actividad, para lo cual se graba la misma y se van realizando diferentes capturas que se comparan con la información biométrica previamente almacenada en sus bases de datos. Asimismo, dichos sistemas pueden incluir el tratamiento de otro tipo de datos biométricos (como las pulsaciones en el teclado) y de datos no biométricos, como la grabación del entorno en el que se encuentra el alumno, así como el acceso al micrófono para la grabación de sonidos. En este sentido, concluye la AEPD que, atendiendo a las circunstancias concretas, los procesos de reconocimiento facial empleados para la realización de evaluaciones online implican el tratamiento de datos biométricos con la finalidad de identificar unívocamente a una persona física.

La regla general contenida en el artículo 9.1 RGPD es la prohibición de tratamiento de datos de categoría especial: datos personales que revelen las opiniones políticas, revelen el origen étnico o racial, las convicciones religiosas o filosóficas o la afiliación sindical y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. No obstante, se autoriza el tratamiento de todos esos datos cuando concurra alguna de las diez circunstancias mencionadas en el apartado 2 del artículo 9 del RGPD. En particular, la AEPD analiza dos de las excepciones que pueden resultar aplicables a la consulta planteada: la posibilidad prevista en la letra a) de la norma, esto es, que el estudiante pudiera prestar su consentimiento al tratamiento y en qué medida dicho consentimiento podría considerarse libre; y la establecida en la letra g), la existencia de un interés público esencial.
A. Consentimiento del estudiante.
En cuanto a la utilización del consentimiento como base legal para utilizar el reconocimiento facial, el RGPD establece que el consentimiento del afectado debe ser libre y que no puede considerarse prestado de forma libre y, por tanto, válida cuando el afectado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. Tampoco puede considerarse libre cuando existe un desequilibro claro entre el interesado y el responsable del tratamiento. Partiendo de dichos criterios, la posibilidad de admitir un consentimiento libre de los estudiantes que permitiera el empleo de técnicas de reconocimiento facial para tratar sus datos biométricos en las evaluaciones online requeriría que a los mismos se les ofreciera la posibilidad de realizar dichas evaluaciones en una situación equiparable en la que no fuera necesario su tratamiento, como pudiera ser la realización de la misma actividad presencialmente, u ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos y que fueran equiparables en cuanto a su duración y dificultad respecto a las que se realicen con reconocimiento facial. En otro caso como, por ejemplo, si las actividades alternativas ofrecidas fueran más gravosas o implicaran una mayor dificultad, el consentimiento no podría considerarse libremente prestado. Y lo que no sería admisible, en ningún caso, es que como consecuencia de la denegación del consentimiento se denegara la posibilidad de matriculación o de acceder a la evaluación o cualquier otra consecuencia negativa importante para el alumno. El informe añade que corresponde a las universidades, en virtud del principio de autonomía universitaria y como responsables del tratamiento, determinar en sus normas de evaluación y en sus planes de formación los procedimientos de evaluación que acrediten la igualdad entre los alumnos que consientan el tratamiento de sus datos biométricos y los que no lo hagan. Sólo así el tratamiento podría estar basado en el consentimiento.
B. Interés público esencial.
Por otro lado, el tratamiento de datos personales necesarios para la prestación del servicio público de educación se legitima, con carácter general, en la existencia de un interés público. Sin embargo, en el caso del reconocimiento facial, al tratarse de categorías especiales de datos, el RGPD requiere la existencia de un "interés público esencial" para que pueda ser legítimo, profundizando así en la importancia y necesidad de mayor protección de los datos tratados.

La aplicación del interés público esencial como base de legitimación requiere de una norma con rango de ley que justifique en qué medida y en qué supuestos la identificación de los estudiantes mediante el empleo de la biometría respondería a tal interés público esencial. En este sentido, el artículo 46.3 LOU referido al establecimiento por las universidades de procedimientos de verificación de los conocimientos de los estudiantes se considera insuficiente para permitir la utilización de técnicas de reconocimiento facial en los procesos de evaluación. No existe en la actualidad en el ordenamiento jurídico tal norma con rango de ley que, además, exigiría una especial justificación de la necesidad de optar por el reconocimiento facial respecto otras medidas que permiten acreditar la identidad de los alumnos y supervisar los procesos de evaluación con una menor intrusión en los derechos de los afectados, definiendo asimismo las garantías técnicas, organizativas y procedimentales adecuadas, y respetando el principio de proporcionalidad y el juicio de necesidad (que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia).

Es en relación con este último aspecto, en el que podría tener una especial incidencia la situación generada como consecuencia del Covid-19 y de la declaración del estado de alarma, en la que podría valorarse la prevalencia del reconocimiento facial frente a otras medidas, atendiendo a que la medida consistente en la evaluación presencial pudiera no ser posible, tal y como ocurre en el momento actual. Ahora bien, a juicio de la AEPD, no debe optarse por tal medida con carácter general, sino que debería quedar limitada a aquellas enseñanzas y asignaturas concretas que, por su importancia, complejidad u otras circunstancias de especial incidencia, no aconsejaran acudir a otras opciones, como la evaluación continua, o hicieran excesivamente gravoso la adopción de otros medios como el control por videocámara o la realización de exámenes orales.

III. Análisis de riesgos y garantías necesarias en los tratamientos de datos biométricos

Por último, advierte la AEPD que tanto en el caso de que se procediera al reconocimiento facial sobre la base de un consentimiento libre de los afectados como en el caso de que se apruebe una norma con rango de ley que lo ampare conforme al artículo 9.2.g), deberán adoptarse todas las medidas que garanticen que el tratamiento es conforme a la normativa sobre protección de datos personales, las cuales, en el último caso, deberán recogerse en la propia norma legal, sin perjuicio de su especificación por el responsable.

Para la adopción de tales medidas resultará esencial la realización del correspondiente análisis de riesgos (artículo 24 RGPD), a lo que se añade la necesidad de realizar una evaluación de impacto de datos (artículo 35 RGPD). Asimismo, se deberá consultar a la autoridad de protección de datos competente antes de proceder al tratamiento cuando la evaluación de impacto muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo (artículo 36 RGPD), salvo que el responsable sea capaz de garantizar que el riesgo puede mitigarse por medios razonables en cuanto a tecnología disponible y costes de aplicación (Considerando 94 RGPD). En el supuesto de que el tratamiento se vaya a realizar por un tercero por cuenta de la universidad (encargado del tratamiento) existe el deber de seleccionar uno que ofrezca garantías suficientes y haberse suscrito un contrato con el contenido del artículo 28 RGPD. Asimismo, deberán adoptarse las medidas de seguridad necesarias conforme a lo previsto en el artículo 32 RGPD, teniendo en cuenta el Esquema Nacional de Seguridad, aplicable solo a las universidades públicas, y las medidas a adoptar que resulten del correspondiente análisis de riesgos.

Para consultar el informe completo pulse aquí: * Informe 0036-2020 de la Agencia Española de Protección de Datos sobre la utilización de datos biométricos para la realización de pruebas online

Resumen del Comunicado Comisión Europea sobre protección de datos en las aplicaciones móviles de apoyo a la lucha contra la pandemia COVID-19 (Protección de Datos Personales (20 de abril de 2020))

Recientemente la Comisión Europea ha emitido el comunicado (2020/C 124 I/01) relativo a orientaciones sobre las aplicaciones móviles de apoyo a la lucha contra la pandemia COVID-19, en lo referente a la protección de datos, con vistas a que, desde los Estados Miembros de la Unión, se aborde un enfoque europeo que proporcione a los ciudadanos mecanismos que limiten la propagación del COVID-19 con garantías para la intimidad y la protección de los datos personales.

En este sentido, la interrupción de las cadenas de infección con mayor celeridad y de forma efectiva por medio de aplicaciones pueden contribuir en la fase de desescalada hacia una nueva normalidad con un menor riesgo de propagación significativa del virus.

Las orientaciones que a continuación se reseñan y que no son jurídicamente vinculantes, se han elaborado con las contribuciones efectuadas tanto por el Comité Europeo de Protección de Datos como por los debates producidos en la red de sanidad electrónica (eHealth).

En primer lugar, las aplicaciones móviles de apoyo que se desarrollen en la lucha contra la pandemia deben incardinarse en UNA DE LAS SIGUIENTES FUNCIONALIDADES con sus particularidades:

Facilitar información sobre la pandemia

Rastreo de contactos y alerta

Comprobación de síntomas y telemedicina

En segundo lugar, la Comisión considera, en atención al derecho a la confidencialidad de las comunicaciones y en base a un juicio de proporcionalidad, adecuación y necesidad, que EL USO DE LAS APLICACIONES SEA DE CARÁCTER VOLUNTARIO, no debiendo constituir, por el alto grado de intrusión y la complejidad en cuanto al establecimiento de salvaguardas, una imposición al usuario.

Así pues, no se contemplan en estas recomendaciones las aplicaciones destinadas a controlar el grado de cumplimiento de las obligaciones de cuarentena.

Tras detallar la repercusión y contribución que las distintas funcionalidades de aplicaciones de apoyo presentan, SE ESTABLECEN UNA SERIE DE RECOMENDACIONES:

Se aconseja que el diseño de las mismas ha de contemplar que las autoridades sanitarias nacionales sean las responsables del tratamiento de los datos, lo que estimularía la confianza de los ciudadanos en cuanto a su uso. En este sentido, estima que el ciudadano ha de apreciar que posee el control de sus datos personales, sugiriendo que la instalación sea de carácter voluntaria sin que exista consecuencia negativa alguna si se decide no instalarla o tras hacerlo si se desinstala.

Del mismo modo, las distintas funcionalidades de la aplicación no deberían agruparse, aunque ha de mantenerse la opción, para que la persona sea quien decida si da su consentimiento específicamente a cada una de ellas y, en el caso de que se utilicen, datos de proximidad (señales de Bluetooth de baja energía (BLE)), éstos han de almacenarse en el dispositivo del usuario.

La comunicación de datos a las autoridades sanitarias debería de hacerse tras confirmar que la persona está infectada de COVID-19 y cuando ésta opte porque se haga de esta manera.

Las autoridades sanitarias han de proporcionar la información respecto del tratamiento de datos personales al interesado y éste ha de poder ejercer sus derechos, sobre todo los de acceso, rectificación y supresión.

Finalmente, cuando la pandemia esté controlada las aplicaciones deberían desactivarse, no condicionado este aspecto a la desinstalación por los usuarios.

¿Cuál es la base jurídica para el tratamiento de los datos?

Instalación de aplicaciones y almacenamiento de información en el dispositivo del usuario.

La Comisión considera que la base jurídica para el tratamiento puede fundarse en dos motivos:

Que el almacenamiento o acceso sean necesarios para el servicio de la sociedad de la información que el usuario ha solicitado de manera expresa o

Que el usuario haya dado su consentimiento libre, específico, inequívoco e informado.

En el supuesto de que la carga de ciertos datos no sea necesaria para el funcionamiento en sí de la aplicación, deberá ajustarse a uno de los motivos expuestos.

Autoridades sanitarias nacionales

La base jurídica para el tratamiento de datos se funda en la existencia de una obligación legal de conformidad con el artículo 6.1 c) RGPD o por ser necesario para la realización de una misión de interés público de acuerdo al artículo 6.1 e) RGPD, ambos en consonancia con el artículo 9, apartado 2, letra i) del mismo cuerpo normativo para el tratamiento de datos de categorías especiales.

¿Se protegen los datos de carácter personal?

Los datos que se generan y se almacenan gozan de la cobertura que el Reglamento General de Protección de Datos proporciona, especialmente los datos de salud.

Los datos vinculados a la localización y posición geográfica de terminales móviles se encuentran protegidos por la Directiva sobre privacidad y comunicaciones electrónicas.

¿Qué tipo de datos se requieren según la funcionalidad de la aplicación?
Facilitar información sobre la pandemia
No requerirá tratamiento de datos personales.
Rastreo de contactos y alerta
Se recomienda que se traten datos de proximidad (BLE) y no datos de geolocalización, ya que los primeros impiden el rastreo y los de localización no son necesarios a estos fines.

Sólo deberían generarse datos de proximidad si existe riesgo real de infección, de forma que el almacenamiento del momento y el lugar de contacto no sería proporcional o necesaria, sobre todo si con saber el día de contacto se cumple con la finalidad del tratamiento.
Comprobación de síntomas y telemedicina
Se precisan datos de salud, en lo que respecta al número de teléfono de contacto del usuario, ha de ser proporcionado por éste. Las autoridades sanitarias nacionales han de elaborar un listado de los datos que posiblemente hayan de tratarse.

¿Existen límites a la divulgación y acceso a los datos?

Facilitar información sobre la pandemia

No se puede compartir con autoridades sanitarias ninguna información almacenada en el terminal y a la que se acceda desde el equipo.

Rastreo de contactos y alerta

Hay que distinguir entre los datos de personas infectadas y los datos de personas que han estado en contacto con la persona infectada.

1. En el primer caso, se recomienda que los identificadores de rastreo se almacenen en el dispositivo del usuario, al estar acorde con el principio de minimización. Otra alternativa, es que se almacenen en un servidor al que las autoridades sanitarias tengan acceso tras haber sido compartido de forma proactiva con ellas. No debería de ser informado de las personas con las que ha podido tener contacto epidemiológico.

2. En el segundo caso, la persona que ha estado en contacto con una persona infectada, no debería conocer la identidad de ésta, resultando suficiente la comunicación del posible contacto en los últimos dieciséis días, sin especificar datos del momento ni el lugar, ni tampoco almacenarlos o comunicarlos.

En todo caso, las autoridades sanitarias nacionales deberían ser informadas del identificador de las personas que han tenido contacto epidemiológico con infectados desde cuarenta y ocho horas antes de la aparición de síntomas hasta catorce días después de su aparición.

Igualmente, el Centro Europeo para la Prevención y el Control de Enfermedades puede recibir datos agregados por parte de las autoridades nacionales a los sólo efectos de vigilancia epidemiológica.

Comprobación de síntomas y telemedicina

Es factible que autoridades sanitarias competentes y epidemiológicas nacionales puedan tener acceso a la información procurada por el usuario. En cuanto a telemedicina se refiere, el usuario puede decidir revelar a las autoridades sanitarias el número del móvil para que el contacto se produzca con los agentes sanitarios, procurando que no se produzca el contacto a través de la aplicación.

¿Cómo han de tratarse los datos?

De conformidad con los principios del artículo 5 del RGPD, los datos se tratan de forma adecuada y pertinente, en relación con los fines precisos para los que se recaban y en consonancia con la funcionalidad de la aplicación, limitando los plazos de conservación y garantizando la minimización de los datos, así como su veracidad y exactitud, basándose en tecnologías que permitan una evaluación más precisa de los contactos.

¿Cuáles son los fines por los que se tratan datos de carácter personal?

Depende de las funcionalidades de la aplicación y han de especificarse:

Facilitar información sobre la pandemia

Proporcionar información pertinente para las autoridades sanitarias en el contexto de la crisis epidemiológica.

Rastreo de contactos y alerta

Considera la Comisión que no es suficiente con indicar como finalidad "la prevención de nuevas infecciones de COVID-19", especifica para una mayor concreción que se establezca como finalidad la de: "mantener los contactos de las personas que utilizan la aplicación y que pueden haber estado expuestas a la infección de la COVID-19 con el fin de alertar a aquellas que podrían haber sido infectada".

Comprobación de síntomas y telemedicina

Ofrecer al usuario, a través de cuestionarios para su auto-cumplimentación o una serie de preguntas, valorar el desarrollo de síntomas de la COVID-19 o proporcionar al usuario asesoramiento médico si han desarrollado los síntomas de la COVID-19

¿Existen límites para el almacenamiento de datos?

Sí, no deberían almacenarse más tiempo del estrictamente necesario en atención a la importancia de la situación sanitaria.

Facilitar información sobre la pandemia

Supresión inmediata, no se precisan datos para aplicaciones con esta funcionalidad.

Rastreo de contactos y alerta

Los datos de proximidad han de suprimirse tan pronto dejen de ser necesarios para alertar a los usuarios. Deberían suprimir en un período máximo de un mes o tras haber dado la persona un resultado negativo en las pruebas a las que se someta. Por su parte, las autoridades sanitarias nacionales podrán conservarlos durante períodos más largos a efectos de información sobre vigilancia e investigación si se hace en formato anonimizado.

Se han de almacenar los datos en el dispositivo del usuario salvo los que hayan sido comunicados por usuarios y que siendo necesarios para la finalidad, se hayan cargado en el servidor a disposición de las autoridades sanitarias cuando así se haya optado.

Comprobación de síntomas y telemedicina

Los datos habrán de suprimirse, como indica la Comisión, en un período máximo de un mes o tras haber dado la persona un resultado negativo en las pruebas a las que se someta. Se podrán conservar por un período más largo otros datos de forma anonimizada a efectos de informar sobre vigilancia e investigación.

¿Qué aspectos de seguridad han de contemplarse?

Datos almacenados en terminales: cifrados con las técnicas criptográficas más avanzadas.

Datos almacenados en servidores: el acceso, incluido el administrativo, sometido a registro previo.

Datos de proximidad: sólo generarse y almacenarse en el terminal del usuario, en formato cifrado y pseudonimizado, la activación del Bluetooth ha de ser independiente a la activación de otros servicios de localización. En la recogida de datos, ha de crearse y almacenarse identificadores temporales del usuario que cambien periódicamente y no el identificador real del terminal.

Código fuente: que se haga público y se encuentre disponible para su revisión.

Las transmisiones desde el dispositivo a autoridades nacionales han de estar cifradas, adoptándose medidas adicionales como la anonimización o supresión automática tras un transcurso de plazo determinado. Si se contempla el uso compatible de los datos con fines de investigación científica, habrá que recurrir a la pseudonimización.

Se recomienda, que las autoridades de protección de datos participen y sean consultadas en el desarrollo de la aplicación, en particular en lo relativo al tratamiento de datos a gran escala y la necesidad de realizar una evaluación de impacto.

Resumen del Informe de la AEPD 2019-0036 sobre tratamientos de datos en el ámbito universitario (Protección de Datos Personales - 15 de octubre de 2019)

La Agencia Española de Protección de Datos (AEPD) ha emitido un informe jurídico en el que responde a variadas cuestiones relativas al tratamiento de datos personales en el ámbito universitario.

1. Cesiones de datos relativos a las cantidades abonadas en concepto de complemento de productividad y gratificaciones por servicios prestados fuera de la jornada normal de trabajo, así como a las indemnizaciones por razón del servicio (dietas) abonadas a personal de la universidad.

La AEPD considera, conjuntamente con el Consejo de Transparencia y Buen Gobierno, que el sector público estatal tiene la obligación de facilitar información sobre las relaciones de puestos de trabajo y retribuciones, ya sea por el ejercicio del derecho de acceso a la información pública o como publicidad activa.

Mantiene que las cantidades del complemento de productividad son de conocimiento público para quienes dependen de la Administración General del Estado, conforme al artículo 23.3 c) de la Ley 30/1984, de 2 de agosto, de medidas para la reforma de la Función Pública.

No obstante, la comunicación a los representantes sindicales, al haber sido derogado tácitamente el último inciso del citado precepto por el artículo 40 de la Ley 7/2007, de 12 de abril del Estatuto Básico del Empleado Público, no será procedente.

En todo caso, la publicidad de la productividad no debe dar lugar, con su acceso, a tratamientos posteriores que puedan resultar contrarios a lo dispuesto en la legislación de protección de datos o genere situaciones que puedan poner en riesgo los derechos de los empleados.

Para el caso de las universidades privadas, la publicación podría estar amparada en la base legal del artículo 6.1.f) Reglamento General de Protección de Datos (RGPD), siempre que responda a una finalidad legítima de la universidad, como podría ser incentivar la productividad de sus trabajadores, así como a un interés legítimo de los propios empleados, que de este modo, podrían conocer su propio rendimiento en comparación con el resto de compañeros, garantizándose la transparencia de este dato.

La cesión a terceros de datos relativos a la productividad, gratificaciones o dietas al margen de los supuestos descritos, precisará del consentimiento de los afectados sin que pueda justificarse el tratamiento sobre la base de un interés público.

Igualmente sucede con los gastos asociados a un determinado proyecto, así como con las indemnizaciones por razón del servicio de los investigadores pertenecientes al grupo de investigación en el que se enmarca cada proyecto, en el marco de los contratos del artículo 83 Ley Orgánica de Universidades.

En cualquier caso, toda publicación deberá realizarse de modo que resulte lo menos perjudicial para el interesado.

2. Publicación de la producción científica del personal investigador

El artículo 37 de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación, en cuanto a la publicación de la producción científica del personal investigador, establece lo siguiente:

"El personal de investigación cuya actividad investigadora esté financiada mayoritariamente con fondos de los Presupuestos Generales del Estado hará pública una versión digital de la versión final de los contenidos que le hayan sido aceptados para publicación en publicaciones de investigación seriadas o periódicas".

De la norma deriva la existencia de una obligación legal conforme el artículo 6.1. c) del RGPD que legitima su publicación. Ante estos supuestos, no procederá el ejercicio del derecho de oposición previsto en el artículo 21 RGPD al no poder fundamentarse en la existencia de interés público o interés legítimo.

Para el tratamiento respecto a índices de calidad como el ranking por citación o los informes bibliométricos realizados a nivel institucional, al no existir una obligación legal como en el caso anterior, podría encontrase amparado en la existencia de un interés público cuando una ley formal así lo prevea. Si no existiese ley formal, se requerirá el consentimiento del afectado.

La publicación de evaluación de tramos de investigación, las encuestas realizadas por alumnos sobre calidad docente, así como las acreditaciones para acceso a distintas categorías profesionales de profesorado, se encuentran amparadas en la existencia de un interés público de acuerdo con lo previsto en la letra e) del artículo 6.1 del RGPD, ya que según la Ley Orgánica de Universidades, para la búsqueda de la mejora de la calidad del sistema universitario y desarrollo de la de educación superior, se precisa la mejora de la gestión y visibilidad de la investigación. Por tanto, podría procederse a la publicación siempre que las normas internas de cada universidad concreten el procedimiento de elaboración de los índices, de tal manera que se previera dicha publicación, hecho que podría amparar el tratamiento en el artículo 6.1.b) del RGPD.

3. Acceso a los datos académicos de cargos públicos y a la publicación de dichos datos en el portal de transparencia de las universidades

Procederá el acceso a datos de cargos de la propia Universidad siempre que, se realice conforme a los supuestos contemplados en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG) y aplicando las cautelas que en la misma se establecen, especialmente lo previsto en su artículo 15, y de conformidad a lo señalado en los criterios interpretativos conjuntos que puedan adoptar el Consejo de Transparencia y Buen Gobierno y la AEPD.

4. Acceso a los contenidos de los trabajos (de fin de grado, de fin de máster o de tesis)

La publicación de datos contenidos en tesis doctorales, examinando lo dispuesto por los artículos 11.2, 13.3 y 14.5 del Real Decreto 99/2011, de 28 de enero, por el que se regulan las enseñanzas oficiales de doctorado, se encuentra amparada en el artículo 6.1 b) del RGPD. Resulta así, debido a que los doctorandos se someten al régimen jurídico contractual del programa de Doctorado, del que se surgen obligaciones relativas a la publicidad por parte de las Universidades, de tal forma que se garantice que otros doctores puedan realizar observaciones durante los procesos de evaluación y que exista constancia, una vez defendida, en los repositorios institucionales con la información complementaria necesaria por el Ministerio de Educación.

Para los trabajos de fin de grado y fin de máster, dado que no existe norma similar a nivel estatal, se deberá acudir a la normativa específica de cada universidad para comprobar si resulta procedente su tratamiento conforme a un régimen jurídico establecido o contractual del programa. De no ser así, se debe recabar el consentimiento del afectado.

Si la solicitud de acceso proviene del ejercicio de acceso a la información pública de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, deberá aplicarse lo dispuesto en su artículo 15.

5. Acceso de los progenitores a las calificaciones de sus hijos, económicamente dependientes

La AEPD mantiene que, de ser apreciable un interés legítimo al amparo de lo previsto en el artículo 6.1.f), se podría facilitar ésta información. Para ello habría que realizar un análisis acerca de si el tratamiento de los datos es necesario para satisfacer el interés legítimo que se alegue, a la vez que se efectúa una ponderación acerca de si ha de prevalecer dicho interés sobre el derecho fundamental a la protección de datos del interesado.

En el caso de que el obtener las calificaciones académicas de hijos/as mayores de edad, tenga como finalidad exclusivamente la de utilizarlas en un procedimiento judicial para la solicitud de modificación de la pensión de alimentos, prevalecerá el interés legítimo sobre el derecho a la protección de datos, sin que exista la posibilidad de ejercitar el derecho de oposición. Resulta fundamental analizar cada caso concreto, de tal manera que, si existe abono de pensión alimenticia o dependencia económica se podrá presumir la existencia de interés legítimo.

Por otro lado, si se tratase de menores de edad no emancipados o declarados incapaces judicialmente, será oportuna la facultad de acceso a la información en tanto que la obligación de educación de los progenitores hacia sus hijos lo ampara.

Se recomienda antes de resolver la solicitud, valerse del trámite de audiencia al afectado, que aunque no se contempla en la normativa de protección de datos, constituye una buena práctica. Si el acceso se solicita en base al derecho de acceso a la información pública y buen gobierno deberá darse dicho trámite de audiencia al amparo del artículo 19.3 LTAIBG.

De acuerdo a lo expuesto, a la hora de ponderar la solicitud, se recomienda requerir el último ingreso abonado antes de la solicitud además de la resolución judicial, para determinar que no se ha dejado de satisfacer las pensiones alimenticias.

6. Grabación y divulgación de imágenes en actos públicos organizados por la Universidad

La captación y divulgación de imágenes de actos públicos organizados por Universidades, cuando se trate de imágenes accesorias o accidentales, se encuentra amparada en la letra e) del artículo 6.1 del RGPD, al ser una misión de interés público en consonancia con la promoción de la actividad universitaria en las diferentes esferas de actuación descritas en la Ley Orgánica de Universidades.

En el caso de difusión de imágenes captadas cuando afecten a personas que ejerzan un cargo público o profesión de notoriedad o proyección pública se estaría ante un interés público del artículo 6.1 e) RGPD amparado en el artículo 8.2 a) de la LO 1/1982 de 5 de mayo, sobre protección civil, del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

En los restantes supuestos, será preciso el consentimiento inequívoco de las personas cuyas imágenes son objeto de captación y posterior divulgación, debiendo cumplirse con el deber de informar previsto en el artículo 13 del RGPD, que deberá incluir los fines del tratamiento a que se destinan los datos personales.

7. Grabación de exámenes orales y de las sesiones de docencia

La grabación de exámenes orales precisa, para que sea legítima conforme a la normativa de protección de datos, que se encuentra amparada en una base legal para el tratamiento.

Si bien existen medios menos intrusivos para la privacidad, cuando la grabación esté encaminada a la obtención de un medio de prueba para que los alumnos puedan ejercer su derecho a revisión y para que los docentes puedan justificar la evaluación, siempre y cuando conforme a los Estatutos y normas de organización y funcionamiento que regulen estos procedimientos se prevean, el tratamiento será necesario para el cumplimiento de una misión realizada en interés público conforme al artículo 6.1 e) RGPD.

En el caso de las grabaciones de sesiones de docencia, la AEPD distingue en función de si el interesado en la grabación es un estudiante o un docente: * En el primer supuesto, la base que legitima la grabación por parte de un estudiante de una sesión de docencia, será el consentimiento, 6.1a) RGPD, que deberá recabar previamente del resto de estudiantes y el profesor. * Si la grabación es realizada por el profesor, siempre y cuando se efectúe exclusivamente en el ejercicio de la función educativa, no requerirá previo consentimiento de los asistentes a clase y será conforme al artículo 6.1 e) RGPD de acuerdo con la Ley Orgánica de Universidades.

Conviene advertir que, conforme a la citada finalidad, no se prevé la divulgación y la accesibilidad, ésta última, sólo podrá tener lugar con el consentimiento expreso de los participantes en dicha actividad y el profesor.

Si es la Universidad la que, con fines de control laboral, realiza grabaciones, el fundamento se encontraría en el artículo 6.1 b). RGPD.

8. Acceso a los datos de personas fallecidas, como podría ser la cuenta profesional de correo electrónico o las calificaciones académicas

La AEPD ha venido defendiendo que el derecho a la protección de datos, en cuanto derecho de la personalidad, se extingue por la muerte de la persona conforme al artículo 32 del Código Civil. Si bien, conforme al artículo 3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de y garantía de los derechos digitales (LOPDGDD), los afectados tienen plena disposición sobre sus datos, puede haber prohibido el ejercicio de los derechos respecto a sus datos o haber designado a personas o instituciones que podrán ejercitarlos de acuerdo con sus instrucciones. En los casos en que no hayan expresado esta voluntad, se reconoce legitimación para actuar a cualquier persona vinculada por razones familiares o de hecho, así como a quienes resulten ser herederos.

No obstante, la intervención de los herederos, en cuanto al acceso a los datos del causante, sólo tendrá amparo conforme a la LO 1/1982, para proteger su memoria o en defensa de su derecho hereditario. En este sentido, tales accesos no podrán ser considerados como manifestaciones del derecho de acceso.

Aunque el derecho a la intimidad del fallecido se extinga con su muerte, puede subsistir el derecho a la intimidad de las terceras personas que se relacionaban con él o incluso, de aquellos que fueran citados en sus informaciones o mensajes.

Del mismo modo, el uso de cuentas profesionales de correo electrónico implica el uso de una herramienta de titularidad de la Universidad destinada a fines estrictamente laborales. Por tanto, el acceso al contenido de la cuenta de correo electrónico profesional de una persona fallecida, por quien acredite ser su heredero o heredera, no se facilitará cuando existan datos de terceras personas en los contenidos de los correos. En lo que respecta a calificaciones académicas o historiales administrativos, en base a lo previsto en el artículo 3 LOPDGDD, se facilitará el acceso, salvo que la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley.

9. Cesión de datos a organizaciones sindicales y representantes de los trabajadores

La amplitud de la casuística en cuanto a comunicaciones de datos a organizaciones sindicales y representantes de los trabajadores exige que se analice caso por caso, en atención a lo que disposiciones legales o convenios colectivos puedan establecer conforme indica el artículo 88.1 del RGPD.

Será fundamental que las comunicaciones, a los representantes de los trabajadores pertenecientes a la representación sindical, de datos que resulten procedentes en la medida en que sean necesarios, bien para la negociación de las condiciones de trabajo de los trabajadores representados, bien para la emisión de informes, bien para informar a los trabajadores, o bien para ejercer el control de legalidad, se produzcan de forma disociada sin poder referenciar los datos a personas identificadas o identificables y atendiendo a los principios expuestos en el artículo 5.1 RGPD. En caso contrario, deberá recabarse el consentimiento de los interesados.

De existir esta obligación con motivo de una norma legal que la ampare, la legitimación vendrá dada por el artículo 6.1 c) RGPD.

En cuanto a las facultades de vigilancia o control, si se refieren a un sujeto concreto que haya formulado una queja ante el órgano de representación, será posible la cesión de los datos específicos de dicha persona. En los demás supuestos, la cesión al órgano de representación de información debidamente disociada, cumplirá con la finalidad de la función de control.

Las comunicaciones relativas a nóminas, en los supuestos que el Convenio Colectivo de aplicación contemple la cesión de dicha relación, podrá fundamentarse en el artículo 6.1 b) del RGPD, siempre y cuando se atienda al principio de minimización y limitación de la finalidad.

En el caso de cesión de los datos de trabajadores laborales, únicamente podría entenderse amparada en caso de que se produjera en el ámbito de las funciones desarrolladas por los Delegados de Personal o el Comité de Empresa, al encontrarse reconocido por el Estatuto de los Trabajadores el derecho de los representantes de los trabajadores (Delegados de Personal o Comité de Empresa) a acceder a determinados datos de los trabajadores en el ámbito de sus competencias. En caso contrario, será necesario el consentimiento del interesado para proceder a la comunicación de sus datos

Los datos de la relación o catálogo de puestos de trabajo que consistan únicamente en aquellos que deban figurar en éstas junto con el nombre y apellidos de la persona que ocupa dicho puesto, no son más que datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano (art. 15.2 LTAIBG), y en atención al derecho de las personas interesadas a identificar al personal que tramita los respectivos procedimientos conforme al art. 53.1.b de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. El tratamiento se encuentra amparado en el artículo 6.1 c) RGPD.

10. Investigaciones que se enmarcan en proyectos de investigación institucionales desarrolladas por universidades o centros públicos de investigación en ámbitos no relacionados con el campo de conocimiento de la salud

Determinar qué base aplicable legitima el tratamiento de datos personales dependerá del caso concreto y de la existencia de normativa especial aplicable.

En cualquier caso, siempre y cuando en la investigación se traten categorías especiales de datos, habrá que tener en cuenta que, el artículo 9.2. j) RGPD, permite levantar la prohibición de su tratamiento conforme a lo que se establezca por el Derecho de la Unión o de los Estados Miembros según la normativa especial que resulte de aplicación. Por ejemplo, la Ley 16/1985, de 25 de junio, reguladora del Patrimonio Histórico Español, entre otras. Esta exención, no exime para que un tratamiento sea lícito, que concurra alguna de las bases jurídicas previstas en el artículo 6.1. RGPD.

El tratamiento de datos lícitamente obtenidos para otra finalidad por la cual se recabaron, en atención al artículo 5.1 b), cuando se trate de investigación científica e histórica no se considerará incompatible con los fines iniciales y no precisará de una base jurídica distinta de la que permitió la obtención de los datos personales.

En cambio, si son datos obtenidos por primera vez, deberá concurrir alguna de las bases del artículo 6.1, entre las que se podría encontrar la letra e) con respecto de las investigaciones incluidas en los planes de investigación científica regulados por la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación.

Por lo tanto, habrá que valorar en el caso concreto si la investigación afecta o no a categorías especiales de datos, si los datos objeto de la misma ya se habían obtenido para otros fines o se obtienen por primera vez, si resulta de aplicación la Ley 14/2011 o si se establecen normas especiales en las leyes que regulen el tratamiento, los datos concretos o las fuentes de procedencia.

11. Publicación de la evaluación de los tramos de investigación del personal de las universidades

En este supuesto, el tratamiento se encuentra amparado en lo previsto en la letra e) del artículo 6.1 del RGPD, al ser la educación universitaria un servicio público que precisa, para garantizar la calidad como fin esencial de la política universitaria, contar con los profesionales mejor cualificados, tal y como se deduce de los artículos 31.1, 39.1 y 40.1 de la Ley Orgánica de Universidades.

12. Calificaciones obtenidas por los alumnos al amparo de lo previsto en la disposición adicional vigésimo primera de la Ley Orgánica 4/2007, de 12 de abril, por la que se modifica la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades.

La publicación de las calificaciones universitarias tiene su base de legitimación en el art. 6.1.e) RGPD pero también puede encontrarse en el art. 6.1.f) RGPD porque como sostiene la AEPD: "aun no tratándose los procedimientos de evaluación de procedimientos de concurrencia competitiva, las calificaciones obtenidas van a tener incidencia [...] en el otorgamiento de las matrículas de honor limitadas a un número de estudiantes, así como también en la concesión de premios extraordinarios, por lo que también podría apreciarse un interés legítimo de los alumnos del grupo en el conocimiento de las calificaciones de sus compañeros".

La forma apropiada de publicar las calificaciones conforme a la normativa de protección de datos ha sido desarrollada en la Universidad de Granada y puede consultarse en: "Publicación de calificaciones del estudiantado Universidad de Granada " .

13. Acceso a imágenes de cámaras de seguridad por incidente en un vehículo.

Las peticiones de terceros de acceso a determinadas imágenes grabadas por las cámaras de videovigilancia con el fin de entablar acciones judiciales y/o contractuales deben entenderse desde la óptica de solicitud de comunicaciones de datos o cesión de datos y no como ejercicio del derecho de acceso.

En cualquier caso, siempre y cuando la comunicación resulte necesaria para su presentación en juicio, se podría considerar la existencia de un interés legítimo conforme al artículo 6.1 f) del RGPD, en el que el derecho a la tutela judicial efectiva y de defensa de la persona prevalecería sobre el derecho a la protección de datos del afectado. La cesión o comunicación, habrá de limitarse al mínimo necesario o imprescindible para la finalidad pretendida en atención al principio de minimización.

En los supuestos en que, la cesión sea solicitada por las Fuerzas y Cuerpos de Seguridad del Estado, actuando como Policía Judicial, siempre que exista mandamiento judicial o requerimiento de la Fiscalía, la base de legitimación será el artículo 6.1 c) al tratarse de una obligación legal que exige un deber de colaboración con los Juzgados y Tribunales o con el Ministerio Fiscal según dispone el artículo 236 quáter de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y el artículo cuarto apartado cinco de la Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del Ministerio Fiscal.

No sería factible, sin embargo, autorizar la cesión de datos si tuviese por objeto o fin algo distinto de las finalidades para las que se recogieron los datos, contraviniendo la legislación de protección de datos.

14. Comunicación de los datos a las entidades aseguradoras

Quien sea solicitante, debería acreditar uno de los títulos habilitantes de los recogidos en el art. 6 RGPD, como podría ser el cumplimiento de una relación contractual o el cumplimiento de una obligación legal, conforme al artículo 6.1 apartados b) y c) RGPD, respectivamente.

15. Publicación listados con identificación de participantes en procedimientos de concurrencia competitiva

La publicación de listados con identificación de participantes en procedimientos de concurrencia competitiva se ampara en lo dispuesto en la letra c) del artículo 6.1.del RGPD, al venir impuesta por el artículo 45.1 de la Ley 39/2015, de 1 de octubre, de procedimiento Administrativo Común de las Administraciones Públicas.

Sin embargo, deberá ajustarse a las exigencias del principio de minimización, en particular si "el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos". En este caso deberá limitarse la publicación a una mera indicación del contenido del acto, lugar donde los interesados deberán comparecer, el plazo indicado y el contenido integrado del mencionado acto, evitando en las referencias expresas al tipo de discapacidad o el grado.

Las indicaciones para la publicación de calificaciones universitarias son aplicables a estos supuestos para enmascarar apropiadamente el documento nacional de identidad, número de identidad extranjero, pasaporte o documento equivalente. Igualmente es aplicable a los centros electorales que publica la Universidad.

La UGR coordina la elaboración de una Guía de Buenas Prácticas en Materia de Transparencia y Protección de Datos de la CRUE Universidades Españolas (Protección de Datos Personales - 25 de septiembre de 2019)

La publicación de la Ley 19/2013, de Transparencia,Acceso a la Información Pública y Buen Gobierno en diciembre de 2013; el Reglamento General de Protección de Datos, de plena aplicación desde mayo de 2018, así como la de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, el pasado mes de diciembre, hicieron necesario la posibilidad de contar con una Guía de buenas prácticas que recogiera las principales cuestiones recibidas en las Universidades sobre temas de transparencia y protección de datos.

A lo largo de 13 apartados, la Guía pretende ofrecer a las universidades respuestas fundadas jurídicamente, a tenor de la legislación vigente, de la jurisprudencia y de los criterios establecidos por los distintos órganos de control en materia de Transparencia y/o Protección de Datos. El texto se contempla como un documento abierto -sujeto a aportaciones, revisiones y modificaciones-, que podrá ser objeto de actualización y ampliación a través del Grupo de Trabajo de Protección de Datos de Crue-Secretarías Generales. En definitiva, se trata de una herramienta viva que irá evolucionando según vayan progresando desde el punto de vista jurídico las diferentes materias que se contemplan como puedan ser los cambios normativos, las nuevas sentencias o las nuevas resoluciones de las agencias de control.

Informe sobre publicación de calificaciones de asignaturas de Grado (Protección de Datos Personales - 30 de mayo de 2019)

La Agencia Española de Protección de Datos (AEPD) ha emitido un informe jurídico en relación con la publicación de las calificaciones de asignaturas impartidas en los estudios de Grado.

La AEPD concluye que es lícita la publicación de las notas obtenidas en los estudios de Grado de conformidad con los dispuesto en el Reglamento General de Protección de Datos (RGPD), al estar amparada en la existencia de un interés público (art. 6.1.e RGPD), al que debe sumarse un interés legítimo de los alumnos del grupo en el conocimiento de las calificaciones de sus compañeros (art. 6.1.f RGPD).

En todo caso deberán respetarse los principios recogidos en el artículo 5 del RGPD, especialmente los de limitación de la finalidad, minimización de datos, limitación del plazo de conservación, integridad y confidencialidad, realizando la publicación de modo que suponga la menor injerencia en los derechos y libertades de los interesados, lo que excluye la posibilidad de un conocimiento generalizado de las calificaciones o su publicación en internet. De ahí que se considere preferente proceder a dicha publicación a través de una intranet o aula virtual en la que estuviera limitado el acceso a los profesores y compañeros del grupo. En el caso de que no fuera posible, podrá realizarse en los tablones de anuncios del centro, siempre que no se encuentren en las zonas comunes de los centros, se garantice el acceso restringido a dichas personas y se adopten las medidas necesarias para evitar su público conocimiento por quienes carecen de interés.

En cuanto a los datos a publicar, atendiendo al principio de minimización, deberán limitarse al nombre y apellidos del alumno y la calificación obtenida. Solo en el caso de que hubiera alumnos con los mismos nombres y apellidos, deberá publicarse para ellos el número del DNI, aplicando lo previsto en el apartado 1 párrafo primero de la disposición adicional séptima de la LOPDGDD.

Finalmente, en cuanto al tiempo en el que deberá mantenerse dicha publicación, los datos deberán ser mantenidos durante no más tiempo del necesario para los fines del tratamiento de los datos personales (artículo 5.1.e. del RGPD). Por tanto, en el caso de las calificaciones provisionales, mientras transcurre el plazo para presentar reclamaciones, y las calificaciones definitivas durante el tiempo imprescindible que garantice su conocimiento por todos los interesados.

Listado de tratamientos en los que es obligatorio realizar una evaluación de impacto (Protección de Datos Personales - 8 de mayo de 2019)

El Reglamento General de Protección de Datos (RGPD) establece en su artículo 35.1 que, en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas, incumbe al responsable del tratamiento realizar una evaluación de impacto (EIPD) relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo. Por otro lado, el apartado 4 de ese mismo artículo prevé que cada autoridad de control establezca y publique una lista de los tipos de operaciones de tratamiento que requieran de una evaluación de impacto.

La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto. Esta lista tiene, por tanto, la finalidad de ofrecer seguridad a los responsables respecto a cuáles son los tratamientos en que siempre se considerará que es probable que exista un alto riesgo. También de acuerdo con lo previsto por el RGPD, la lista ha sido comunicada al Comité Europeo de Protección de Datos, que ha emitido un dictamen favorable sobre ella, siguiendo los criterios establecidos en la valoración de todas las listas remitidas por las autoridades nacionales.

La Agencia Española de Protección de Datos (AEPD) advierte que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de la lista, entre los que se encuentran la realización de perfilado; observación, geolocalización o control de forma sistemática y exhaustiva; el uso de datos biométricos para identificar de forma unívoca a una persona; datos que permitan determinar la solvencia patrimonial o procesamiento de identificadores únicos que permitan identificar usuarios de servicios de la sociedad de la información como pueden ser los servicios web, televisión interactiva o aplicaciones móviles, entre otros tratamientos. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe y mayor la certeza de la necesidad de realizar una evaluación de impacto.

Orientación para la aplicación provisional de la Disposición Adicional 7.ª de la LOPDGDD (Protección de Datos Personales - 8 de mayo de 2019)

La Agencia Española de Protección de Datos (AEPD) ha publicado unas orientaciones para promover la protección de los datos personales de los ciudadanos cuando las Administraciones Públicas realizan publicaciones de actos administrativos. El documento se publica en coordinación con la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía.

La Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y garantía de los derechos digitales (LOPDGDD) incluye en el apartado 1º de su Disposición Adicional 7ª cómo debe identificarse a los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos.

El criterio, provisional hasta que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la Disposición, pretende evitar que la adopción de otras fórmulas pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos de las personas en posiciones distintas, posibilitando la recomposición íntegra de dichos documentos. Para ello, se ha seleccionado aleatoriamente un grupo de cuatro cifras numéricas, que deberían ser las mismas en todas las publicaciones.

# data[].attributes.attachment_link.description
Protección de Datos Personales - 10 de mayo de 2020 A solicitud de presidente de la CRUE, con fecha 8 de mayo, la Agencia Española de Protección de Datos (AEPD) ha emitido un informe jurídico relativo a la utilización de técnicas de reconocimiento facial con fines de identificación biométrica en los procesos de evaluación online ante la situación de crisis sanitaria ocasionada por el COVID-19.