Subdirección General de Inspección y Tutela de Derechos. 7 de mayo CONSULTAS MÁS FRECUENTES EN EL ÁMBITO UNIVERSITARIO III Jornada de PROTECCIÓN DE DATOS EN LAS UNIVERSIDADES PÚBLICAS Comunidad de Madrid Emilio del Val Puerto Subdirector General de Inspección y Tutela de Derechos Agencia de Protección de Datos de la Comunidad de Madrid

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Declaración de ficheros y responsabilidad ¿Qué ficheros deben declarar las Universidades públicas de la Comunidad de Madrid? ¿Cómo se declaran? ¿Es necesario publicar previamente una disposición de carácter general? ¿Quién es el responsable de los ficheros de las Universidades?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Derechos de los ciudadanos y deber de información ¿Es posible denegar el ejercicio del derecho de acceso que la LOPD reconoce a los ciudadanos por la dificultad o el elevado coste que puede suponer su ejercicio? ¿Cómo se puede dar cumplimiento al deber de información al ciudadano que establece la LOPD, con carácter previo a la recogida de sus datos? ¿Qué información ha de incluirse en los impresos contenidos en los sobres de matricula y pantallas de recogida de datos para efectuarla por Internet?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Cesiones de datos: datos de los alumnos ¿Puede la Agencia de Calidad, Acreditación y Prospectiva de las Universidades de Madrid acceder a los ficheros de datos de los alumnos matriculados en las Universidades de la Comunidad de Madrid? ¿En qué casos procede la cesión de datos personales a la policía? ¿Puede la Fundación de una Universidad utilizar el correo electrónico de antiguos alumnos para enviarles información sobre cursos de formación y master? ¿Puede una Universidad publicar indiscriminadamente la información personal contenida en el archivo personal de un personaje político español de la Transición cedido a dicha Universidad? ¿Es conforme a la LOPD la exigencia establecida en el apartado 2 del número 11 de la Orden de 8 de julio de 1988, en relación con la expedición de duplicados de títulos universitarios oficiales? ¿Cuáles son las fórmulas legales de publicación de los resultados de los siguientes procesos: Prueba de Acceso a estudios universitarios (Selectividad), Prueba de Acceso a la Universidad de los Mayores de 25 años y Proceso de Ingreso?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Cesiones de datos: datos de los alumnos ¿Las calificaciones académicas de los alumnos de la Universidad pueden publicarse en los tablones o en Internet? ¿Puede un profesor acceder al expediente académico de un alumno? ¿Los padres y tutores de los alumnos tienen derecho a solicitar las calificaciones académicas a la Universidad? ¿Puede una Universidad facilitar datos personales de estudiantes a una entidad de ahorro para elaborar una “Tarjeta-Carné”?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Cesiones de datos: datos del personal de la Universidad ¿Qué datos se puede facilitar a los Delegados de Prevención del Comité de Seguridad y Salud de la Universidad con el objeto de que se puedan conocer y analizar los daños producidos en la salud o integridad física de los trabajadores para valorar sus causas y proponer las medidas oportunas? El comité de empresa de la Universidad ha solicitado un listado nominativo de todos los empleados. ¿Debe entregarse? ¿Cuáles son los datos que pueden entregarse a los representantes sindicales? ¿Es lícita la cesión del dato de la dirección de correo electrónico del personal docente investigador de una Universidad en favor de la Agencia de Calidad, Acreditación y Prospectiva de las Universidades de Madrid para realizar una encuesta sobre “necesidades formativas sentidas por el profesorado universitario”? ¿Que requisitos debe cumplir un estudio realizado por una Universidad referido al personal docente y de investigación?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Cesiones de datos: datos del personal de la Universidad ¿Se puede publicar en Internet el directorio: nombres y datos profesionales de contacto, de todo el personal de una Universidad? ¿En los procesos electorales, pueden los candidatos utilizar el censo electoral para dirigir una carta a todos los integrantes del censo para dar a conocer su programa? ¿Cómo afecta la LOPD al Proyecto de Orden de la Consejería de Educación por la que se regula el procedimiento de concesión anual del complemento autonómico por méritos individuales del personal docente e investigador de las Universidades Públicas de Madrid? ¿Cumple la normativa sobre protección de datos personales la publicación en Internet y mediante listados en soporte papel de los resultados de la evaluación de todos los profesores solicitantes del complemento retributivo autonómico por méritos individuales del personal docente e investigador de la Universidades Públicas de la Comunidad de Madrid?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo –¿Los datos recogidos para una determinada finalidad pueden utilizarse para cualquier otra que se pueda plantear a posteriori? –¿Puede una Universidad ceder datos al Defensor Universitario? –¿Una Universidad tiene obligación de declarar las direcciones IP que distribuya? –¿Qué requisitos debe cumplir un contrato de prestación de servicios, por ejemplo, de Outsourcing, que una Universidad pretende contratar con una empresa? –¿Puede el Servicio de Biblioteca Universitaria acceder a los datos personales de los alumnos relativos a sus discapacidades o limitaciones para favorecer y mejorar los servicios prestados a dichos alumnos? Otras consultas

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Seguridad de los datos –¿Todos los ficheros que contengan datos de carácter personal deben cumplir las mismas medidas de seguridad? –¿Quién debe ser el responsable de seguridad? –¿Qué medidas de seguridad deben aplicarse a un fichero de datos personales informatizado con datos especialmente protegidos ubicado en un único ordenador personal? –¿Como debe interpretarse el control de acceso físico?

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Otras cuestiones (I) Adopción de medidas de seguridad de nivel alto en ficheros que incluyan datos relativos a minusvalías y discapacidades (matizado por el nuevo RD 1720/2007): –El dato de minusvalía es un dato de salud. –Nuevo tratamiento por parte del RD 1720/2007. Cesiones de datos en expedientes de responsabilidad patrimonial: –Habilitación legal en normas relativas a la labor inspectora (Vg. Ley 30/1992 y legislación sectorial en materia de inspección y en el ámbito sanitario).

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Otras cuestiones (II) Prevención de riesgos laborales. –La Ley de Prevención de riesgos laborales establece la vigilancia periódica del estado de salud en función de riesgos relacionados con el puesto de trabajo. –Exige el consentimiento del interesado para el reconocimiento y tratamiento de los datos salvo en casos imprescindibles para evaluar efectos de las condiciones de trabajo en el estado de salud. –Permite al empresario conocer únicamente el dato referido a la aptitud del trabajador para el desempeño del puesto de trabajo en esos casos excepcionales. –Limita el acceso a la información médica sólo al personal médico, no debiéndose facilitar al empresario (Universidad) sin consentimiento expreso del trabajador. –En consecuencia, resulta necesario el consentimiento del trabajador salvo cuando el reconocimiento y la transmisión del dato de aptitud sea necesario para el mantenimiento de la relación laboral. Adopción de medidas de seguridad de nivel alto en ficheros que incluyan datos relativos a minusvalías y discapacidades (matizado por el nuevo RD 1720/2007).

Subdirección General de Inspección y Tutela de Derechos. 7 de mayo Otras cuestiones (III) Supuesto práctico sobre datos de salud: una Universidad pública contrata a una empresa a la que comunica bajas laborales de sus trabajadores. La empresa trata los datos y realiza visitas a los trabajadores a fin de controlar la existencia de la causa de baja alegada. Las Sentencias de la AN consideran que no es aplicación el artículo 7.6 LOPD, dado que la finalidad de las visitas no es “la prevención y el diagnóstico médicos” sino el control del absentismo laboral de los empleados. –Consecuencia: el artículo 7.6 LOPD, cuando permite el tratamiento de datos de salud debe ser interpretado de forma sumamente restringida y en relación con las siguientes limitaciones: Finalidades: –La prevención o el diagnóstico médicos. –La prestación de asistencia sanitaria o tratamientos médicos. –La gestión de servicios sanitarios. Personas que efectivamente podrán realizar el tratamiento: –Los profesionales sanitarios sujetos al secreto profesional. –Otras personas sujetas a una obligación equivalente de secreto.