Documentación FGUA
Solicitudes. Ejercita tus Derechos
LA FGUA Y LA PROTECCIÓN DE DATOS PERSONALES
La FGUA, respetuosa con el derecho fundamental a la protección de datos personales de todos y cada uno de los miembros que componen la comunidad universitaria, implementa las medidas legales, técnicas y organizativas que permiten un adecuado tratamiento de los datos personales por parte de la institución, desde el diseño y por defecto, adecuándose también a las exigencias europeas del Reglamento General de Protección de Datos.
En este espacio web se pueden encontrar desde definiciones y principios que ayudan a entender la materia, hasta el Registro de actividades de tratamientos de datos personales de los que la FGUA es responsable; o bien, los formularios para poder ejercer los llamados derechos por parte de los titulares de los datos.
Asimismo, se presenta en la web al Delegado de Protección de Datos (DPO) de la Fundación, encargado de informar, asesorar y supervisar la actividad de la Fundación en este terreno.
La Protección de Datos de Carácter Personal es un derecho fundamental que tienen todas las personas físicas para garantizar su vida privada y supone el control y poder de disposición de la información relativa a su esfera tanto pública como privada. Se garantiza por el artículo 18.4 de la Constitución Española.
El derecho a la protección de datos nos permite saber quién trata nuestros datos personales, cómo y para qué.
La Protección de Datos de Carácter Personal es un derecho fundamental que tienen todas las personas físicas para garantizar su vida privada y supone el control y poder de disposición de la información relativa a su esfera tanto pública como privada. Se garantiza por el artículo 18.4 de la Constitución Española.
El derecho a la protección de datos nos permite saber quién trata nuestros datos personales, cómo y para qué.
En nuestro ordenamiento jurídico, el derecho a la protección de datos personales no se recoge de forma expresa en nuestro texto constitucional, sino que es el artículo 18.4 Constitución Española el que lo garantiza de la siguiente forma:
“La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”
Desarrollando esta obligación constitucionalmente prevista, y reconociendo el derecho fundamental a la protección de datos, como dejó dicho la Sentencia del Tribunal Constitucional 290/2000, encontramos la actual Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la derogada Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD).
A nivel internacional, la norma de referencia en relación con la regulación del tratamiento de datos personales es el Convenio nº 108, del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo, el 28 de enero de 1981.
El derecho a la Protección de Datos se garantiza también a nivel europeo a través de la Carta de Derechos fundamentales de la Unión Europea que lo reconoce en su artículo 8:
“Protección de datos de carácter personal
A nivel comunitario el tratamiento de datos personales se encuentra regulado en la actualidad por el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). Esta nueva norma es de aplicación directa en nuestro ordenamiento jurídico y, además de reforzar los derechos de los titulares de los datos personales, establece un nuevo enfoque proactivo a la hora de tratar los datos personales.
Junto a esta normativa, a la hora de tratar datos personales debemos tener en cuenta la normativa sectorial del ámbito en el que se estén tratando los datos personales.
Como regla general, el Reglamento (UE) 2016/679 General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales (LOPDGDD), y el Real Decreto 1720/2007, por el que se aprueba el Reglamento de desarrollo de la derogada Ley Orgánica 15/1999 (RLOPD) se aplicarán a todo tratamiento de datos personales que se realice en territorio español o tenga como destinatarios a los ciudadanos que se encuentren en España.
Así las cosas, todas las personas físicas y jurídicas -ya sean públicas o privadas- que traten o manejen datos de carácter personal tienen que cumplir con una serie de principios y obligaciones, legal y reglamentariamente establecidos, que garanticen, en último término, el derecho de las personas a controlar y disponer de sus datos personales, esto es, su derecho a la protección de datos personales. Así, la FGUA está obligada a cumplir tanto con el RGPD como con la normativa nacional vigente.
Con el fin de ofrecer una mayor comprensión de la materia, se hace necesario ofrecer una serie de definiciones básicas sobre tratamiento de datos personales:
Por todo ello, si se tratan datos estadísticos o datos disociados, que no permiten la identificación de su titular, no será de aplicación la normativa de protección de datos.
Por otro lado, al hablar de datos personales debemos tener presente que no toda la información personal va a tener el mismo nivel de protección, pues no toda la información es igual de relevante (por el perjuicio que su mala utilización puede llegar a causar). Y, por ello, la normativa de protección de datos, tanto nacional como comunitaria, distingue diferentes categorías de datos personales y hace referencia a las “categorías especiales de datos”, también conocidos como “datos especialmente protegidos” o “datos sensibles” (arts. 9 RGPD y 9 LOPDGDD).
El RGPD ha suprimido la obligación de los Responsables de los tratamientos de datos de inscribir o notificar ficheros. Ahora, sobre los mismos recae la obligación de que los mismos lleven un Registro de actividades o de los tratamientos efectuados.
Los titulares del derecho a la protección de datos personales podrán acudir a las Agencias de Protección de Datos Personales o Autoridades de Control cuando consideren que se ha lesionado su derecho o alguna de las facultades que lo integran.
El derecho a la protección de datos personales descansa sobre una serie de principios esenciales y necesarios para que el tratamiento de dichos datos pueda llegar a producirse. La nueva LOPDGDD recoge en su Título II (arts. 4 a 10) los Principios de protección de datos sin hacer distinción alguna entre los principios a cumplir, pero el RGPD distingue entre los Principios relativos a todo tratamiento y los Principios que legitiman dicho tratamiento (arts. 5 y 6 RGPD, respectivamente).
Debido a su carácter obligatorio, el Responsable del fichero y, en su caso, el Encargado del tratamiento, deben adoptar las medidas necesarias para que no se produzca una vulneración de los mismos. También deben ser conocidos y respetados por los usuarios de los ficheros con datos personales, ya que éstos son los que, en la mayoría de los casos, van a proceder a la recogida y tratamiento de los datos de los afectados o interesados. En este sentido, una buena política de protección de datos en la Fundación conlleva que todos los miembros de la comunidad universitaria conozcan y respeten estos principios.
El incumplimiento de los principios de protección de datos supone una lesión del derecho fundamental a la protección de datos de los afectados o interesados, lo que conllevaría la correspondiente sanción legalmente establecida.
Estos principios se pueden agrupar, como se ha dicho, en dos bloques que indican, consecutivamente, cuándo puedo tratar datos personales y, una vez que sé que puedo tratarlos, cómo debe hacerse.
Para que un tratamiento de datos personales pueda considerarse lícito, el mismo deberá tener unas bases legítimas. Los datos se tratarán de forma leal y transparente respecto del titular de los datos. En este sentido, por un lado, no se pueden recoger datos de forma fraudulenta o ilícita; y, por otro lado, esa obligación de transparencia también se reconoce como la obligación de informar al titular de los datos de su tratamiento.
b) Principio de limitación de la finalidad
Los datos personales deben recogerse con una finalidad determinada, explícita y legítima, que permita a su titular controlar el uso que se hará de los mismos. Se considera que siempre es compatible con la finalidad para la que son recogidos los datos personales, todo tratamiento que tenga como objetivo fines históricos, estadísticos o científicos, y, en todo caso con fines de archivo en interés público, aunque en estos casos se debe observar el principio de minimización de los datos o bien, emplear una técnica de pseudonimización.
c) Principio de minimización
En este sentido, se deben tratar los datos estrictamente necesarios para la finalidad que se persigue. Los datos deben ser adecuados, pertinentes y no excesivos en relación con la finalidad para la que son tratados.
d) Principio de exactitud
Es necesario que los datos sean exactos y estén puestos al día. De esta forma, por ejemplo, no cumpliría con el requisito de exactitud el hecho de tener una base de datos con direcciones o fechas de nacimiento erróneas.
e) Principio de conservación de los datos
Los datos personales deben ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la que fueron recogidos. Se podrán conservar por más tiempo, con las correspondientes medidas de seguridad, si se prevé conservar exclusivamente para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos.
f) Principio de integridad y confidencialidad
Los tratamientos de datos deben garantizar su seguridad evitando un tratamiento no autorizado o ilícito aplicando las medidas técnicas u organizativas adecuadas. Y, además, todo sujeto que trate datos personales se encuentra sometido a un deber de confidencialidad de la información tratada.
g) Principio de responsabilidad proactiva
Es la novedad introducida por el RGPD: El Responsable del tratamiento debe cumplir con todos los principios del tratamiento de datos personales y, lo que es más importante, debe ser “capaz de demostrarlo».
Para que un tratamiento de datos sea legítimo, la regla general, es que cuente con el consentimiento del titular de los datos. Y debe ser un consentimiento libre, inequívoco, específico e informado. Además, se le reconoce un carácter revocable.
Para que sea libre, se entiende que no debe existir un desequilibro claro entre el interesado y el responsable del tratamiento.
Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales.
El RGPD elimina la posibilidad de un consentimiento tácito, siendo válido sólo el consentimiento expreso. A partir de la entrada en vigor del RGPD en el ordenamiento jurídico español ya no será válido el consentimiento tácito. En este sentido, en la Guía de la AEPD del RGPD para Responsables del Tratamiento se recuerda que “Los tratamientos iniciados con anterioridad al inicio de la aplicación del RGPD sobre la base del consentimiento seguirán siendo legítimos siempre que ese consentimiento se hubiera prestado del modo en que prevé el propio RGPD, es decir, mediante una manifestación o acción afirmativa”.
Para el caso de que el consentimiento sea prestado por un menor de edad, se requerirá siempre el consentimiento de los titulares de la patria potestad o tutela, excepto si el menor es mayor de 14 años, donde el consentimiento del menor será el único necesario para tratar sus datos personales.
En relación con los datos sensibles o “categorías especiales de datos”, el consentimiento explícito de su titular no será suficiente para su tratamiento, con el fin de evitar situaciones discriminatorias y se deberá contar con otra de las bases de legitimación previstas. Así pues, el tratamiento de dichos datos estará prohibido salvo que exista alguna de las causas de legitimación previstas.
b) El contrato
Un tratamiento de datos es lícito no sólo en el contexto del contrato en el que el interesado es parte, o para la aplicación (a petición de éste) de medidas precontractuales, sino en el de la intención de concluirlo.
c) Obligación legal
Las referencias a la legitimación atribuida por una norma, o por una obligación legal, que debe ser aplicable al responsable del tratamiento, debe entenderse hecha no sólo a la normativa general y horizontal sobre protección de datos, sino también a las normas sectoriales específicas en ámbitos que precisan disposiciones más específicas. Así, por ejemplo, en el ámbito universitario la LO 6/2000, de Fundaciónes (LOU) permite publicar las notas de los estudiantes sin que sea necesario el consentimiento de los mismos.
d) El interés vital
UEl interés vital debe entenderse como el interés esencial para la vida del interesado o la de otra persona física. La finalidad será proteger la integridad física o la vida, si el interesado no está en condiciones de dar su consentimiento.
e) La concurrencia de un interés público
Debemos entender que el concepto de interés público, o de misión realizada en interés público, hace referencia al bien común de la sociedad entera. Los ejemplos más típicos son los ámbitos educativos y sanitarios.
f) El ejercicio de poderes públicos: las Administraciones Públicas
La actividad de las Administraciones Públicas tendrá, por regla general, la legitimación de realizar el tratamiento de datos amparada en una tarea en interés público o en el ejercicio de poderes públicos, pero que dicho interés o competencia deberán estar establecidos en una norma.
g) Interés legítimo
Se podrá alegar un interés legítimo en tratar datos personales siempre que no prevalezcan los intereses o los derechos y libertades del interesado. Como ejemplos frecuentes de este interés legítimo podemos citar cuando el interesado es cliente o está al servicio del responsable, o los fines de mercadotecnia directa. Asimismo, se recuerda que las Administraciones públicas no podrán alegar un interés legítimo en el ejercicio de sus competencias. Las Administraciones públicas, sometidas al principio de legalidad no podrán hacer nada más allá de lo que le indiquen las leyes (art. 103 CE).
Los derechos de los titulares de los datos personales son las facultades que integran el derecho a la protección de datos personales. Con la aprobación del RGPD y de la LOPDGDD se han ampliado los derechos, más allá de entender que deben realizarse en el marco del principio de transparencia e información (art. 11 LOPDGDD).
Estos derechos son de carácter personalísimo, esto es, se ejercen por su titular o por su representante legal o voluntario. Su ejercicio es gratuito, pero si las peticiones fueran manifiestamente infundadas o excesivas, se podrá llegar a solicitar un canon o cuota en función de los costes administrativos generados. Se ejercen de forma libre, aunque su planteamiento debe hacerse conforme al procedimiento reglamentariamente establecido (arts. 24 y 25 RLOPD), por regla general, ante el Responsable del tratamiento, detallando su solicitud (art. 12 LOPDGDD). En el caso del acceso, rectificación o supresión de los datos de personas fallecidas, podrán dirigirse al Responsable, los herederos o personas vinculadas por una relación de hecho (art. 3 LOPDGDD).
El Responsable deberá dar respuesta a las peticiones recibidas (en un plazo que va de uno a tres meses), aunque no tenga datos personales. No obstante, el ejercicio de los derechos podrá limitarse si así lo prevén otras leyes o normas aplicables o existen intereses o derechos de terceros en juego.
En el caso de la FGUA, los interesados deberán presentar su solicitud, concretamente dirigiendo su petición mediante escrito al Delegado de Protección de Datos (C/ Imagen 1 y 3, 28801. Alcalá de Henares (Madrid)), o por mail (dpd@fgua.es), adjuntando copia del DNI o equivalente. La ausencia de respuesta por parte del Responsable provoca que el titular de los datos pueda solicitar la tutela por vulneración de sus derechos ante la Agencia Española de Protección de Datos.
Cuando exista una imposibilidad técnica de destruir la información en los casos en los que legalmente proceda y se haya solicitado su cancelación, se procederá al llamado derecho de “bloqueo” de los datos. En estos casos, se procederá a la conservación de los mismos para la disposición por parte de Administraciones Públicas, Jueces y Tribunales durante el tiempo necesario para atender a las posibles responsabilidades que hubieran surgido del tratamiento de datos (art. 32 LOPDGDD).
El derecho a la protección de datos personales será de obligado cumplimiento y respeto tanto por poderes públicos como por terceros privados, estando especialmente obligados todo aquél que trate datos personales.
Como regla general, serán obligados el Responsable del tratamiento de datos, y, en su caso, respecto de algunas obligaciones concretas, el Encargado que actúa en su nombre. Pero los usuarios de los datos personales, las personas que trabajan o las que tratan con los datos personales, también tienen una serie de obligaciones.
En esta página web se podrán encontrar, además de las Circulares sobre “Funciones y Obligaciones” de los distintos tipos de ficheros, los Procedimientos a seguir en materia de seguridad del tratamiento de los datos personales, entre los que destaca el “Procedimiento de Gestión de Incidencias” que puede utilizar toda la Comunidad universitaria ante cualquier incidente que se produzca y del que tengan conocimiento a la hora de tratar datos personales.
El principio de “privacidad por defecto” (privacy by default, también conocido como minimización de datos) consistente en que por defecto se minimice el número de datos personales tratados, así como que su conservación se realice estrictamente, en función de la finalidad del tratamiento. Por otro lado, se exige cumplir con el principio de “privacidad desde el diseño” (privacy by design), que supone la obligación del Responsable de desarrollar las medidas de protección de dichos datos (tanto técnicas como organizativas), con carácter previo al tratamiento de datos personales que se quiere realizar.
b) El Registro de Actividades de Tratamiento
El Registro de Actividades de Tratamiento es otra de las grandes novedades del RGPD y, por lo tanto, de la LOPDGDD respecto de la normativa anterior (arts. 30 RGPD y 31 LOPDGDD). Esta obligación hace desaparecer la obligación de inscribir o notificar los ficheros de datos personales ante la AEPD o Agencia autonómica correspondiente. Debe describir los tratamientos de datos que realiza el Responsable.
c) La colaboración con la Autoridad de Control
Existe la obligación de colaborar o cooperación con la Autoridad de control cuando ésta lo solicite en el ejercicio de sus funciones.
d) Las notificación de las brechas de seguridad
Se impone la obligación de informar de cualquier infracción que se produzca como consecuencia de una brecha de seguridad y que afecte a datos personales, tanto a la Autoridad de control como al propio titular de los datos.
e) Las evaluaciones de impacto
Se establecen las denominadas “Evaluaciones de impacto” sobre la privacidad (conocidas como PIAs, Privacy Impact Assessment) con el fin de comprobar cuál será el impacto que sobre la privacidad tendrá el tratamiento de datos personales que se pretende llevar a cabo.
f) La consulta previa
En relación con la obligación anterior, en todo caso, se establece la obligación del Responsable de consultar previamente a la Autoridad de protección de datos correspondiente antes de realizar cualquier tratamiento si después de realizar la citada evaluación de impacto, existiera un riesgo alto.
g) El nombramiento de un Delegado de Protección de Datos
Se implanta la obligatoriedad de crear la figura del “Delegado de Protección de Datos”, especialmente en el sector público (Data Protection Officer, DPO).
Esta figura surge para ayudar al Responsable del tratamiento a la hora de controlar el cumplimiento de la normativa de protección de datos. Es de destacar que el DPO se convierte en una forma de resolución amistosa de las reclamaciones en este terreno, al permitir que el interesado pueda reproducir ante él la reclamación que no sea atendida por el responsable o encargado antes de acudir a la correspondiente Autoridad de control.
h) La elaboración de códigos de conducta y certificaciones
Desde hace tiempo en Europa se viene apostando por modelos de autorregulación en el terreno de la protección de datos. Por este motivo, tanto el RGPD como la LOPDGDD potencian tanto la elaboración de códigos de conducta como de mecanismos de certificación de cumplimiento en relación con el tratamiento de datos personales.
i) Las medidas de seguridad de los datos
El RGPD no impone un sistema de medidas de seguridad como hasta ahora se venía haciendo en función de los datos tratados (esto es, no existe una relación de datos o niveles de datos y un equivalente de las medidas de seguridad o listado de medidas a implementar), sino que ahora será el propio Responsable el que decida qué medidas de seguridad tiene que cumplir para proteger los datos personales que maneja.
En todo caso, no podemos olvidar que las medidas de seguridad se aplicarán tanto a tratamientos de datos manuales como automatizados, e independientemente de que el Responsable que los trate sea un sujeto público o privado. Lo que se debe garantizar ahora es un nivel de seguridad adecuado en función del riesgo y debe poder demostrarse, “teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En las Administraciones públicas, como es el caso de las Fundaciónes, como un referente sobre las medidas de seguridad concretas a implementar, podemos dirigirnos a las medidas recogidas en el Esquema Nacional de Seguridad (aprobado por RD 3/2010).
La FGUA ha procedido a designar al despacho Lexpirit como Delegado de Protección de Datos (DPO) de la Fundación, con fecha 30 de noviembre de 2018, en cumplimiento de lo dispuesto en el art. 37 del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos).
Asimismo, el nombramiento como DPO fue comunicado a la Agencia Española de Protección de Datos con fecha 30 de noviembre de 2018.
La figura del DPO tiene como funciones esenciales asesorar e informar a la FGUA en materia de tratamiento de datos personales, así como ser punto de referencia para toda la comunidad universitaria y colaborar con la Agencia Española de Protección de Datos.
La FGUA ha procedido a designar al despacho Lexpirit como Delegado de Protección de Datos (DPO) de la Fundación, con fecha 30 de noviembre de 2018, en cumplimiento de lo dispuesto en el art. 37 del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos).
Asimismo, el nombramiento como DPO fue comunicado a la Agencia Española de Protección de Datos con fecha 30 de noviembre de 2018.
La figura del DPO tiene como funciones esenciales asesorar e informar a la FGUA en materia de tratamiento de datos personales, así como ser punto de referencia para toda la comunidad universitaria y colaborar con la Agencia Española de Protección de Datos.
LEXPIRIT
Dirección:
C/ Imagen 1 y 3
28801 Alcalá de Henares – Madrid
Teléfono: 91 879 74 10
Correo electrónico: dpd@fgua.es
Los titulares de los datos podrán ejercitar los derechos reconocidos en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en sus artículos 15 y siguientes.
Estos derechos se ejercen de forma personal mediante una solicitud al Responsable del fichero.
Para ejercer sus derechos debe dirigir el modelo correspondiente de los arriba listados, con toda la información pertinente, previa identificación personal, a cualquiera de los Registros de la Fundación.
Los datos del Responsable del tratamiento y del delegado de Protección de Datos son los mismos para todas las actividades de tratamiento registradas
Responsable del tratamiento
FGUA
NIF: G-80090863
Dirección: C/ Imagen, 1-3. 28801. Alcalá de Henares (Madrid).
Correo electrónico: info@fgua.es
Teléfono: 91 879 74 10
Delegado de Protección de Datos
Lexpirit
Dirección: C/ Imagen, 1-3. 28801. Alcalá de Henares (Madrid)
Correo electrónico: dpd@fgua.es
Teléfono: 91 879 74 10
ACTIVIDADES DE TRATAMIENTO DE LA FGUA
(Actividades actualizadas a fecha 22 de enero de 2020)
Los datos del Responsable del tratamiento y del delegado de Protección de Datos son los mismos para todas las actividades de tratamiento registradas
Responsable del tratamiento
FGUA
NIF: G-80090863
Dirección: C/ Imagen, 1-3. 28801. Alcalá de Henares (Madrid).
Correo electrónico: info@fgua.es
Teléfono: 91 879 74 10
Delegado de Protección de Datos
Lexpirit
Dirección: C/ Imagen, 1-3. 28801. Alcalá de Henares (Madrid)
Correo electrónico: dpd@fgua.es
Teléfono: 91 879 74 10
ACTIVIDADES DE TRATAMIENTO DE LA FGUA
(Actividades actualizadas a fecha 22 de enero de 2020)
En este apartado encontrará algunos modelos elaborados por el equipo de Protección de Datos de la FGUA para distintos tipos de utilidades:
Para adjuntar junto a los Contratos y Convenios que realice la FGUA con Terceros para garantizar la protección de datos personales:
En este apartado encontrará las Consultas sobre Protección de Datos de la FGUA, y que pueden resultar de interés para todo el personal de la Fundación:
En este apartado encontrará el Procedimiento elaborado por la Comisión de Protección de Datos de la FGUA, y que ha sido distribuido a todo el personal de la Fundación:
En este apartado encontrará la Política de Privacidad elaborada por el delegado de Protección de Datos de la Fundación:
