La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente un nuevo informe jurídico en relación a una consulta recibida que les planteaba diferentes cuestiones relativas a la publicación de las calificaciones de asignaturas impartidas en los estudios de Grado. Voy a desarrollar los puntos más clarificadores para mi de este informe….

1- Lo primero que se debe establecer es si el hecho planteado, es decir, la publicación de las calificaciones obtenidas por los alumnos, está sometida a la actual normativa de protección de datos

1.1 ¿Cuál es esa normativa?

Actualmente debemos aplicar el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), plenamente aplicable desde el 25 de Mayo de 2018 y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1.2 ¿Qué son según esta normativa datos personales?

Lo define el mencionado Reglamento en el artículo 4.1 como “toda información sobre una persona física identificada o identificable (“el interesado”); se considera persona física identificable toda persona cuya identidad puede determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.”

En este caso se publica por lo menos el nombre y apellidos y la nota obtenida, por lo tanto está claro que son datos personales y que se identifica a la persona.

1.3 ¿Hay además tratamiento de esos datos personales?

En ese mismo artículo 4.1 del Reglamento se define tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Por lo tanto, está claro que la publicación de las calificaciones de los alumnos, contiene datos personales y  que además esos datos se tratan ya que se estructuran, difunden, etc. con lo que hay tratamiento de datos personales.

2- Ahora se debe revisar la base legitimadora, es decir, ¿pueden las Universidades tratar esos datos y publicarlos en base a alguno de los supuestos recogidos en el artículo 6 que legitiman el tratamiento?

2.1 ¿Sería el consentimiento de los alumnos una base legitimadora válida?

Con la entrada en vigor del RGPD en relación al consentimiento queda mucho más claro cuando puede ser válido y cuando no. En el considerando 42 señala que “El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno” y además en el 43 añade que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido par el tratamiento de daos de carácter personal en un caso concreto en el que exista un desequilibrio claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular”.

Por lo tanto podemos concluir que en este caso al tratarse de una Universidad pública y que estamos hablando además de un alumno parece claro que el consentimiento con el nuevo paradigma no es válido.

2.2 ¿Entonces qué otra base legitimadora puede ser correcta?

Vámonos a la normativa sectorial, a ver si hay una base legal que legitime el tratamiento.

El artículo 1.1 de la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades califica a la educación superior como un servicio público, por lo tanto la publicación de las calificaciones universitarias encontraría su base jurídica en los previstos del artículo 6.1.e) del RGPD ya que el tratamiento es necesario para el cumplimiento de una misión pública o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.

Además las calificaciones obtenidas van a tener incidencia ya que en la consulta se indica que se van a otorgar un número de matrículas de honor limitado y se van a conceder premios extraordinarios. Por lo tanto también puede haber un interés legítimo de los alumnos del grupo en conocer las calificaciones de sus compañeros, al amparo del artículo 6.1.f) del RGPD

3- Conclusiones

Se tratan datos personales de los alumnos en base al cumplimiento de una misión pública o en el ejercicio de poderes públicos y además puede haber un interés legítimo de los alumnos en conocer las notas del resto de los compañeros como ya hemos explicado anteriormente. De este modo el tratamiento de datos está amparado por la normativa actual y no es necesario (ni sería válido) el consentimiento de los alumnos para realizar la publicación de las calificaciones pero debe cumplirse además:

  • El principio de minimización
  • Limitación de la finalidad
  • Limitación del plazo de conservación
  • Proteger la integridad y confidencialidad de la información

Por lo tanto la publicación es correcta pero debe realizarse teniendo en cuenta:

  • ¿Dónde?: De forma que sólo los interesados (alumnos de ese grupo) tengan acceso a las calificaciones. P.e. a través de una intranet o aula virtual con acceso limitado a profesores y alumnos del grupo. Tablones de anuncios en una zona que no sea de acceso público adoptando medidas que eviten que el público en general tenga acceso a la publicación.
  • ¿Qué datos publicar?: Los estrictamente necesarios, es decir, nombre, apellidos y calificación. En el caso de que haya alumnos con mismo nombre y apellidos, se publicarán cuatro cifras del dni aleatorias (nie, pasaporte…). Deben seguirse en este caso las orientaciones publicadas por la AEPD para Administraciones Púbicas que comenté en este otro post. Os dejo el enlace…
  • Tiempo de publicación: Mientras transcurra el plazo para presentar reclamaciones para las calificaciones provisionales. Para las definitivas el tiempo imprescindible que permita garantizar su conocimiento por todos los interesados.

Podéis leer el informe completo aquí.

by Sandra Pérez (DPO)

13/06/2019