Diari Oficial de la Generalitat Valenciana


Sumari del DOGV 9219, del 19-11-2021 (2021/11169)

ACORD de 28 d'octubre de 2021, del Consell de Govern de la Universitat Jaume I, pel qual s'aprova el Reglament de protecció de dades i garantia de drets digitals de la universitat.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Dades del document

Número de DOGV
:   9219

Data del DOGV
:   19-11-2021

Secció del DOGV
:   III. ACTES ADMINISTRATIUS - C) ALTRES ASSUMPTES

Número del document
:   2021/11537


Data del document
:   28-10-2021

Organisme emissor
:   Universitat Jaume I de Castelló

Tipus de document
:   Acord

Anàlisi jurídica

ACORD de 28 d'octubre de 2021, del Consell de Govern de la Universitat Jaume I, pel qual s'aprova el Reglament de protecció de dades i garantia de drets digitals de la universitat. [2021/11404]  
Reglament de protecció de dades i garantia de drets digitals de la Universitat Jaume I  
  
Exposició de motius  
  
I. Marc normatiu  
L'actual marc normatiu es materialitza en el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades, i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades) que ha suposat una fita important en passar d'un model basat en el control del compliment a un altre fonamentat en el principi de responsabilitat activa en el qual la valoració del risc derivat del tractament de dades personals i l'adopció de mesures correctores tècniques o organitzatives recau en l'organització que tracta aquestes dades, alhora que permet que el dret estatal dels estats membres desenvolupe continguts per raons de coherència i perquè les disposicions nacionals siguen comprensibles per a les persones destinatàries.  
Aquesta previsió del Reglament general de protecció de dades es manifesta en els continguts de la Llei orgànica 3/2018, de 5 de desembre, que passa de ser la norma reguladora de dades personals a norma reguladora de la protecció de dades i garantia de drets digitals (LOPDGDD) que té per objecte: (1) adaptar l'ordenament jurídic espanyol al Reglament general de protecció de dades i completar les seues disposicions, i (2) garantir els drets digitals de la ciutadania, en una nova referència que té com a objectiu la protecció de les persones que fan ús de les eines digitals i que permeten que puguen comunicar-se amb altres individus sense afectació a la intimitat i la privacitat.  
  
Aquest context normatiu permet emparar mesures específiques enfront d'urgències i situacions excepcionals com les derivades d'emergències sanitàries sobre la base de la protecció d'interessos vitals, l'interès públic essencial, la medicina preventiva o laboral, el diagnòstic mèdic, l'assistència sanitària o salut pública, que poden determinar, per raons de seguretat, la manera d'actuar en la gestió docent i acadèmica en la mesura que aquesta requereix l'adaptació a l'alumnat o al professorat amb necessitats especials, la investigació, el teletreball i el treball en remot, i també pràctiques que han de complir amb els principis i deures en matèria de protecció de dades.  
  
II. Compromís i compliment normatiu  
La Universitat Jaume I sempre ha sigut sensible al compliment normatiu en aquesta matèria per a la qual cosa ha aprovat i implementat normativa interna reguladora del tractament de dades personals.  
De conformitat amb els Estatuts de la Universitat Jaume I, aprovats pel Decret 95/2021, de 9 de juliol, del Consell de la Generalitat (DOGV 9128/25.07.2021), la Universitat, d'acord amb el seu Codi ètic aprovat pel Consell de Govern del 28 de juny de 2017, en les diferents activitats de tractament de dades de les persones físiques que es relacionen i vinculen amb la institució, així com en les seues relacions amb altres administracions i entitats públiques o organitzacions privades, es compromet a complir els drets i llibertats dels usuaris i usuàries en l'ús d'entorns digitals i en la seua investigació; a garantir el compliment dels principis i valors ètics, i la legalitat vigent; a vetlar perquè no es lesionen la privacitat, la reputació o la dignitat de les persones en els entorns digitals, i a fomentar la formació, la transparència en l'ús i la no exclusió per motius de vulnerabilitat.  
  
És per això que, assumint el mandat normatiu del Reglament general de protecció de dades i la LOPDGDD, aquest Reglament regula la forma en què la Universitat tracta les dades personals i constitueix una eina que actualitza la normativa interna desenvolupada per aquesta institució en aquesta matèria i que defineix l'ús de les dades personals al seu àmbit.  
  
III. Estructura del reglament  
Aquest Reglament consta de 52 articles agrupats en cinc títols, dues disposicions addicionals, una disposició derogatòria i una disposició final. El títol preliminar estableix les disposicions generals, principis i criteris generals aplicables al tractament de dades personals a la Universitat; el títol I determina els drets vinculats al tractament de dades personals; el títol II estableix l'estructura orgànica de la Universitat per al tractament de dades personals; el títol III regula el tractament de dades personals en l'àmbit universitari, i finalment el títol IV aborda la seguretat i garantia en el tractament de dades personals a la Universitat.  
  
  
  
TÍTOL PRELIMINAR  
Disposicions, principis i criteris generals aplicables al tractament de dades personals a la Universitat  
  
CAPÍTOL I  
Objecte, àmbit d'aplicació i definicions  
  
Article 1. Objecte  
Aquest Reglament té per objecte regular l'actuació de la Universitat Jaume I (d'ara en avant, la Universitat) en el tractament de les dades personals i els drets digitals per a garantir la seua protecció en tots els seus àmbits d'activitat.  
  
Article 2. Àmbit d'aplicació  
Aquest Reglament és aplicable a totes les activitats que impliquen un tractament de dades personals amb motiu de l'exercici de les funcions que duga a terme la Universitat en l'àmbit de les seues competències, tant en el tractament efectuat, totalment o parcialment, en format automatitzat o manual, com en tota modalitat d'ús posterior d'aquestes dades.  
  
Article 3. Definicions  
A l'efecte d'aquest Reglament, s'entén per:  
a) Dades personals: qualsevol informació sobre una persona física identificada o identificable (persona interessada); es considera persona física identificable qualsevol persona de qui es pot determinar la identitat, directament o indirectament, en particular mitjançant un identificador, com per exemple un nom, un número d'identificació, dades de localització, un identificador en línia o un o diversos elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d'aquesta persona.  
b) Categories especials de dades: són aquelles que revelen l'origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques, o l'afiliació sindical, i el tractament de dades genètiques, dades biomètriques dirigides a identificar de manera unívoca a una persona física, dades relatives a la salut o dades relatives a la vida sexual o l'orientació sexual d'una persona. Són dades personals que mereixen una especial protecció atès que, per la seua naturalesa, són particularment sensibles en relació amb l'afectació als drets fonamentals i les llibertats públiques.  
c) Dades genètiques: dades personals relatives a les característiques genètiques heretades o adquirides d'una persona física, que proporcionen una informació única sobre la seua fisiologia o salut, obtingudes de l'anàlisi d'una mostra biològica d'aquesta persona.  
d) Dades biomètriques: dades personals obtingudes a partir d'un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d'una persona física, que permeten o confirmen la identificació única d'aquesta persona com, per exemple, imatges facials o dades dactiloscòpiques.  
e) Dades relatives a la salut: dades personals relatives a la salut física o mental d'una persona física que revelen informació sobre el seu estat de salut, incloent-hi la prestació de serveis d'atenció sanitària.  
f) Tractament: qualsevol operació o conjunt d'operacions realitzades sobre dades personals o conjunts de dades personals, ja siga per procediments automatitzats o no, com ara la recollida, el registre, l'organització, l'estructuració, la conservació, l'adaptació o la modificació, l'extracció, la consulta, la utilització, la comunicació per transmissió, la difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.  
g) Consentiment: declaració o acte afirmatiu clar que reflectisca la manifestació de voluntat lliure, específica, informada i inequívoca d'acceptar el tractament de dades de caràcter personal que concerneix la persona interessada, que haurà de reflectir-se en forma escrita o en format electrònic i que permeta la seua posterior verificació.  
h) Responsable del tractament o responsable: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que, sol o juntament amb uns altres, determina els fins i els mitjans del tractament.  
i) Encarregat del tractament o encarregat: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que tracta dades personals per compte del responsable del tractament.  
j) Destinatari: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme al qual es comuniquen dades personals, tant si és un tercer com si no.  
k) Tercer: persona física o jurídica, autoritat pública, servei o organisme diferent de la persona interessada, del responsable del tractament, de l'encarregat del tractament i de les persones autoritzades per a tractar les dades personals sota l'autoritat directa del responsable o de l'encarregat.  
l) Violació o bretxa de la seguretat de les dades personals: qualsevol violació de la seguretat que ocasiona la destrucció, la pèrdua o l'alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o l'accés no autoritzats a aquestes dades.  
m) Privacitat des del disseny i per defecte: aplicació, des del moment de determinar els mitjans de tractament, de mesures tècniques i organitzatives apropiades per a fer efectius els principis de protecció de dades, incloent-hi que, per defecte, només siguen objecte de tractament les dades personals que siguen necessàries per a cadascun dels fins específics del tractament.  
n) Transferències internacionals de dades: flux de dades personals des del territori espanyol a destinataris establits a països fora de l'Espai Econòmic Europeu.  
o) Autoritat de control: l'Agència Espanyola de Protecció de Dades (AEPD) és l'autoritat estatal de control independent encarregada de vetlar pel compliment de la normativa sobre protecció de dades en l'activitat de la Universitat Jaume I.  
p) Pseudonimització: el tractament de dades personals de manera que ja no puguen atribuir-se a una persona interessada sense utilitzar informació addicional, sempre que aquesta informació addicional figure per separat i estiga subjecta a mesures tècniques i organitzatives destinades a garantir que les dades personals no s'atribuïsquen a una persona física identificada o identificable.  
  
  
CAPÍTOL II  
Principis i criteris generals aplicables al tractament de dades personals a la Universitat  
  
Article 4. Principis generals aplicables al tractament de dades personals  
Els principis generals aplicables a la gestió de dades personals i als quals ha d'adaptar-se el tractament de dades a la Universitat Jaume I són:  
a) Principi de licitud, transparència i lleialtat, que consisteix en el fet que les dades han de ser tractades sobre la base d'un títol habilitant, oferint la suficient informació sobre el tractament i amb observació de la normativa aplicable.  
b) Principi de limitació de la finalitat que implica, d'una banda, l'obligació que les dades siguen tractades amb una o diverses finalitats determinades, explícites i legítimes i, per una altra, que es prohibeix que les dades recollides amb uns fins determinats, explícits i legítims siguen tractades posteriorment d'una manera incompatible amb aqueixos fins.  
c) Principi de minimització de dades, que implica que les dades siguen adequades, pertinents i limitades a allò necessari en relació amb els fins per als quals són tractades.  
d) Principi d'exactitud, que implica que les dades han de ser exactes i, si calguera, actualitzades; cal adoptar totes les mesures raonables perquè es rectifiquen o suprimisquen les dades inexactes en relació als fins que es persegueixen.  
e) Principi de limitació del termini de conservació que, relacionat amb el de minimització, implica que en la mesura que només poden tractar-se les dades adequades, pertinents i necessàries per a una finalitat, la conservació d'aqueixes dades ha de limitar-se en el temps a l'assoliment dels fins que el tractament persegueix.  
f) Principi d'integritat i confidencialitat, que imposa l'obligació d'actuar proactivament amb l'objectiu de protegir les dades que es manegen enfront de qualsevol risc que amenace la seua seguretat.  
g) Principi de responsabilitat proactiva, segons el qual els responsables aplicaran les mesures tècniques i organitzatives apropiades per a garantir i estaran en condicions de demostrar que el tractament de dades personals es duu a terme de conformitat amb la normativa de protecció de dades vigent.  
  
Article 5. Informació relativa al tractament de dades personals  
La Universitat ha de proporcionar i facilitar a les persones la informació necessària perquè coneguen la finalitat del tractament per al qual es recapten les dades de manera precisa, comprensible i fàcilment accessible al moment de la recollida.  
En concret, ha d'informar les persones del seu deure de facilitar a la institució dades exactes i veraces, i del seu dret a rectificar-les, i ha de garantir l'autenticitat de les dades que aporte referides a la seua persona o a terceres persones i responsabilitzar-se de les manifestacions falses o inexactes que realitze, particularment respecte de la comunicació d'informació relativa a terceres persones, per a la qual ha de comptar amb la seua autorització, i respondre així mateix dels perjudicis que en aquest cas cause a la institució o a aquestes persones.  
Així mateix, s'ha d'informar les persones sobre la identitat del responsable del tractament, les dades de contacte de la seua delegada o delegat de Protecció de Dades i la resta d'aspectes previstos en la normativa aplicable.  
Aquest contingut informatiu s'ha de recollir en tots els seus formats documentals o en línia, així com en l'atenció presencial o telefònica en què es recullen dades personals i s'ha d'anteposar a la resta de tràmits de l'actuació que se seguisca.  
  
Article 6. Títols habilitants per al tractament de dades personals  
  
1. Els tractaments de dades personals per part de la Universitat necessaris per a l'exercici de les seues funcions pròpies es basen, en general, en el títol habilitant de l'interès públic. Aquesta habilitació no requereix el consentiment de la persona interessada per a la gestió de les seues dades personals.  
2. En els supòsits en què el títol habilitant no siga l'interès públic, el tractament de les dades s'empararà en algun dels títols següents:  
  
Execució d'un contracte o precontracte d'una relació negocial, laboral o administrativa i siguen necessàries per al seu manteniment o compliment.  
Satisfacció de l'interès legítim perseguit per la Universitat.  
Compliment d'obligacions legals aplicables a la Universitat.  
Consentiment de la persona interessada, entès com a manifestació de voluntat lliure, específica, informada i inequívoca per la qual accepta el tractament de les seues dades personals.  
Protecció de l'interès vital de la persona interessada.  
3. Quan el tractament de les dades personals implique l'ús de categories especials es disposarà de l'habilitació necessària entre les següents:  
Consentiment explícit de la persona interessada.  
Compliment d'obligacions i l'exercici de drets específics de la Universitat en l'àmbit del dret laboral i de la seguretat i protecció social.  
  
Protecció d'interessos vitals de la persona interessada o d'una altra persona física.  
Dades personals que la persona interessada ha fet manifestament públics.  
Formulació, exercici o defensa de reclamacions, o quan els tribunals actuen en exercici de la seua funció judicial.  
Interès públic essencial.  
Fins de medicina preventiva o laboral, avaluació de la capacitat laboral de treballadores i treballadors, diagnòstic mèdic, prestació d'assistència o tractament de tipus sanitari o social, o gestió dels sistemes i serveis d'assistència sanitària i social.  
Interès públic en l'àmbit de la salut pública.  
Arxiu en interès públic, fins d'investigació científica, històrica o fins estadístics.  
  
Article 7. Ús secundari de les dades personals  
El tractament de dades personals amb finalitats diferents d'aquelles per a les quals van ser inicialment recaptades només serà admissible quan siga compatible amb les finalitats de la seua recollida inicial tenint en compte la relació entre ambdues, el context en el qual es van recollir les dades i totes aquelles altres circumstàncies que hagueren pogut generar a les persones una expectativa raonable que les seues dades pogueren ser utilitzades per a una finalitat diferent a la inicial.  
Les operacions de tractament ulterior amb finalitats d'arxiu en interès públic, fins d'investigació científica i històrica o fins estadístics, es consideren operacions de tractament lícites compatibles.  
  
Article 8. Conservació de la informació, bloqueig i supressió de dades personals  
Les dades personals han de ser mantingudes de manera que es permeta la identificació de les persones durant el temps necessari per a gestionar les activitats del tractament i d'acord amb les seues finalitats.  
Les dades personals han de ser suprimides quan deixen de ser necessàries o pertinents per a les finalitats per a les quals es van recaptar. La supressió implica el bloqueig de les dades pel temps necessari per a donar resposta davant reclamacions i responsabilitats, i no poden ser tractades per a altres finalitats.  
L'anterior no impedirà la possibilitat de conservar la informació durant períodes més llargs sempre que es tracten exclusivament amb finalitats d'arxiu en interès públic, fins d'investigació científica i històrica o fins estadístics, i sense perjudici de l'aplicació de les corresponents mesures tècniques i organitzatives apropiades.  
En el Registre d'Activitats de Tractament s'ha de ressenyar el període de conservació de la informació aplicable per la Universitat a cada tractament.  
La forma de conservació de les dades per part de la Universitat ha de permetre l'exercici dels drets de la persona interessada i garantir-ne la seguretat.  
  
Article 9. Transferències internacionals de dades personals  
La Universitat únicament realitzarà transferències de dades personals a un tercer país o organització internacional d'acord amb les condicions establides en els contractes acordats entre les parts i ha de garantir un nivell de protecció adequat.  
  
Article 10. Responsabilitat proactiva a la Universitat  
La responsabilitat proactiva comprèn, tant el compliment de la normativa de protecció de dades, com la demostració d'aquest compliment, per a això la Universitat, com a responsable del tractament de dades personals, es compromet a complir les obligacions que a continuació es ressenyen:  
Dotar-se d'un registre d'activitats de tractament com a compendi o conjunt de totes les activitats internes i externes de tractaments de dades personals que efectua la institució.  
Realitzar anàlisis de riscos per a determinar les amenaces que suposa el tractament de les dades personals per als drets i llibertats de les persones i que s'han d'elevar a avaluacions d'impacte en la protecció de dades quan el tractament que es realitze puga comportar un risc alt per a aquells drets i llibertats.  
Incrementar la transparència en la informació relativa al tractament de les dades personals.  
Implantar les mesures tècniques i organitzatives adequades per a garantir la privacitat des del disseny i per defecte.  
Aplicar eines d'anonimització o pseudonimització de dades personals.  
Classificar i organitzar les dades i operacions de tractament sobre la base de perfils d'accés.  
Aplicar el xifratge per defecte de manera que l'estat natural de les dades en cas de pèrdua o robatori siga il·legible.  
Realitzar la destrucció segura i garantida de la informació al final del seu cicle de vida.  
Designar la figura del delegat o delegada de Protecció de Dades.  
Notificar, quan siga procedent, a l'autoritat de control i/o a les persones afectades, les bretxes de seguretat que afecten dades de caràcter personal.  
Definir les obligacions dels proveïdors de serveis contractats per la Universitat que, en la mesura que accedeixen i gestionen dades personals que són responsabilitat de la institució, tindran la consideració d'encarregats del tractament.  
Vigilar el compliment i adequació mitjançant auditories periòdiques internes o externes.  
Qualsevol altra obligació prevista en la normativa aplicable i d'acord amb els avanços tècnics disponibles.  
  
Article 11. Registre d'Activitats de Tractament  
Aquest Registre recull les activitats de tractament efectuades per l'organització i que conté els següents elements:  
Identificació i dades de contacte del responsable, corresponsable del tractament i del delegat o delegada de Protecció de Dades.  
Les finalitats del tractament.  
Categories de persones interessades i categories de dades personals.  
Categories de destinataris als qui es van comunicar o comunicaran les dades personals, incloent-hi els destinataris en tercers països o organitzacions internacionals.  
Les transferències de dades personals a un tercer país o a una organització internacional, si escau.  
Els terminis previstos per a la supressió de les diferents categories de dades, quan siga possible.  
Una descripció general de les mesures tècniques i organitzatives de seguretat, quan siga possible.  
Tots els serveis de la Universitat han de comprovar de manera periòdica que el tractament de dades personals que realitzen és conforme al contingut d'aquest Registre i han de comunicar a la Secretaria General qualsevol discrepància per a procedir a l'actualització del Registre.  
  
S'han de realitzar auditories periòdiques per a comprovar l'exactitud de les dades publicades i si s'ajusten a la realitat.  
  
  
TÍTOL I  
Drets vinculats al tractament de dades personals  
  
Article 12. Dret d'accés  
1. La persona interessada té dret a obtindre del responsable del tractament confirmació de si s'estan tractant dades personals que l'afecten i, si és així, té dret a accedir a aquestes dades i a la informació relativa als fins, destinataris, categories de dades tractades, el seu origen i període de conservació, reclamacions, existència de decisions automatitzades amb les seues conseqüències i a tots els drets addicionals de rectificació, supressió, limitació, oposició i portabilitat.  
2. Quan es transfereixen dades personals a un tercer país o a una organització internacional, la persona interessada té dret a ser informada de les garanties adequades relatives a la transferència.  
3. La Universitat, com a responsable del tractament, ha de facilitar una còpia de les dades personals objecte de tractament. Per a qualsevol altra còpia que sol·licite la persona interessada, la responsable té dret a percebre un cànon raonable basat en els costos administratius. Quan la persona interessada presente la sol·licitud per mitjans electrònics, i llevat que sol·licite que es faça d'una altra manera, la informació s'ha de facilitar en un format electrònic d'ús comú.  
  
Article 13. Dret de rectificació i supressió  
1. La persona interessada té dret a obtindre de la Universitat, com a responsable del tractament, la rectificació de les dades personals inexactes que l'afecten, sense dilació indeguda. Tenint en compte les finalitats del tractament, la persona interessada té dret al fet que es completen les dades personals incompletes, fins i tot mitjançant una declaració addicional.  
2. La persona interessada té dret a obtindre del responsable del tractament, sense dilació indeguda, la supressió de les dades personals que l'afecten. El responsable les ha de suprimir quan les dades ja no són necessàries o s'han tractat de manera il·lícita, quan la persona interessada retira el consentiment o s'oposa al tractament i no queda base jurídica que l'empare, quan s'ha de complir una obligació legal o les dades s'obtenen en relació amb l'oferta de serveis de la societat de la informació.  
3. Si el responsable del tractament ha fet públiques les dades personals i està obligat a suprimir-les, s'adoptaran mesures raonables per a informar els responsables que estan tractant aquestes dades de la sol·licitud de supressió de la persona interessada.  
4. L'anterior no s'aplicarà, entre altres supòsits, quan el tractament siga necessari per a complir una obligació legal, per raons d'interès públic o amb finalitats d'arxiu en interès públic, d'investigació científica o fins estadístics.  
  
Article 14. Dret de limitació  
1. La persona interessada té dret a obtindre del responsable del tractament la limitació del tractament de les dades:  
En casos d'impugnació de l'exactitud de les dades.  
Quan el tractament és il·lícit i la persona interessada s'oposa a la supressió, i quan la persona interessada necessita mantindre les dades per a formular o exercir reclamacions.  
Mentre es verifica si els motius legítims del responsable prevalen sobre els de la persona interessada, si la persona interessada s'oposa al tractament.  
2. En aquestes situacions, amb excepció de la seua conservació, les dades només es poden tractar amb el consentiment de la persona interessada, o per a formular, exercir o defensar reclamacions, o per a protegir els drets d'una altra persona física o jurídica, o per raons d'interès públic important de la Unió Europea o d'un determinat estat membre. Abans d'eliminar la limitació el responsable informarà la persona interessada d'aquesta situació.  
  
Article 15. Dret de portabilitat  
1. La persona interessada té dret a rebre, en un format estructurat, d'ús comú i de lectura mecànica, les dades personals que li afecten i que ha facilitat a un responsable del tractament. Té dret a transmetre-les a un altre responsable, sense que ho impedisca el responsable a qui les havia facilitades, quan el tractament està basat en el consentiment o en un contracte i el tractament s'efectua per mitjans automatitzats. Quan tècnicament siga possible, el responsable ha de transmetre directament les dades personals.  
2. Aquest dret no s'aplica al tractament necessari per a complir una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable del tractament.  
  
Article 16. Dret d'oposició  
1. La persona interessada té dret a oposar-se al fet que les dades personals que li afecten siguen objecte d'un tractament. El responsable del tractament ha de deixar de tractar aquestes dades personals, llevat que acredite motius legítims imperiosos per al tractament que prevalguen sobre els interessos, els drets i les llibertats de la persona interessada, o per a la formulació, l'exercici o la defensa de reclamacions.  
2. Si les dades personals es tracten amb finalitats d'investigació científica o històrica o amb finalitats estadístiques, per motius relacionats amb la seua situació particular, la persona interessada té dret a oposar-se al tractament de dades personals que li afecten, llevat que siga necessari per a complir una missió realitzada per raons d'interès públic.  
  
Article 17. Procediments per a exercir els drets  
1. Els drets d'accés, rectificació o supressió, limitació, portabilitat i, si escau, d'oposició tenen caràcter personal, per la qual cosa només pot exercir-los la persona afectada. Podrà, no obstant això, actuar el seu representant legal en els casos previstos per la legislació vigent.  
  
2. Pot exercir els seus drets dirigint-se a la Secretaria General de l'UJI mitjançant el Registre Electrònic o a l'Oficina d'Informació i Registre (InfoCampus).  
3. Així mateix, la persona pot obtindre informació addicional sobre els seus drets o presentar una reclamació, si ho considera oportú, davant l'Agència Espanyola de Protecció de Dades.  
4. Posteriorment a la presentació de l'escrit de la persona interessada en el Registre, o la seua recepció per un altre mitjà vàlid en dret, i la seua remissió a l'òrgan al qual vaja dirigida, els responsables interns dels tractaments afectats, una vegada comprovada la pertinència de la sol·licitud, han d'adoptar les mesures conduents a satisfer la petició.  
5. Es notificaran els resultats de la sol·licitud cursada mitjançant resolució de la Secretaria General en el termini màxim d'un mes. En cas de tractar-se d'una petició complexa el termini pot ser de fins a tres mesos i ha de notificar-se aquesta ampliació a la persona interessada.  
6. El responsable del tractament ha de comunicar a cadascun dels destinataris a qui s'ha comunicat les dades personals qualsevol rectificació o supressió de dades personals o limitació del tractament, llevat que siga impossible o exigisca un esforç desproporcionat. Si la persona interessada ho sol·licita, el responsable l'informarà sobre aquests destinataris.  
  
  
TÍTOL II  
Estructura orgànica de la Universitat per al tractament de dades personals  
  
Article 18. Responsable del tractament  
Conforme a la normativa de protecció de dades, la Universitat és la responsable de totes les activitats de tractament de dades personals com a entitat que determina els fins i mitjans del tractament.  
La figura de responsable del tractament se centralitza en la persona que dirigeix la Secretaria General de la Universitat, segons el que es preveu en els Estatuts d'aquesta.  
  
Article 19. Responsables interns del tractament  
Per al desenvolupament habitual de les activitats de tractament de dades personals el responsable delegarà la gestió ordinària en les figures dels responsables interns. Els responsables interns han de retre comptes al responsable, seran identificats en el Registre d'Activitats de Tractament i col·laboraran en la tramitació de les sol·licituds d'exercici de drets dels subjectes interessats.  
Són responsables interns les persones que dirigeixen les diferents unitats organitzatives i que, en el compliment de les seues tasques administratives, necessiten tractar dades de caràcter personal. Han de vetlar perquè el tractament s'ajuste en tot moment al que es preveu en la Llei, així com assegurar-se de l'establiment i compliment de les disposicions de seguretat adequades.  
En el cas dels tractaments sota la responsabilitat de grups d'investigació, la responsabilitat interna l'exerceix l'investigador o investigadora principal, o la persona en qui delegue.  
  
Article 20. Encarregats del tractament  
1. En aquells casos en què la Universitat preste serveis per a altres organitzacions també pot ser considerat encarregat del tractament, recaient la responsabilitat interna en l'òrgan o unitat administrativa que millor puga realitzar les accions concretes de cada encàrrec o en la figura de l'investigador principal o responsable del grup d'investigació que, si escau, haguera rebut l'encàrrec.  
2. En tot cas, la condició de responsable o encarregat s'avaluarà respecte de les activitats de tractament desenvolupe la Universitat, igual que la determinació de responsabilitats de tractament en aquelles activitats que es realitzen conjuntament amb altres organitzacions, tot això de conformitat amb els processos de contractació que regeixen en aquesta universitat.  
3. La Universitat garanteix les condicions adequades per al tractament de dades personals i ha de definir en el corresponent contracte d'encàrrec de tractament les obligacions relatives al tractament de dades personals que competeix complir als proveïdors de serveis encarregats del tractament, així com a les activitats derivades de col·laboracions entre la Universitat i el sector empresarial previstes en l'article 83 de la Llei orgànica 6/2001,d'Universitats, compres, contractes (fins i tot els de serveis docents o de formació), ajudes, convenis o projectes, amb continguts específics de confidencialitat i privacitat en aquelles activitats que puguen presentar la possibilitat incidental d'accedir a informació d'accés restringit.  
4. Les unitats organitzatives o grups d'investigació que reben o gestionen un encàrrec de tractament de terceres parts han d'informar d'aquesta situació a la Secretaria General per a facilitar-ne el registre i mantindre actualitzada aquesta informació.  
Article 21. Corresponsables del tractament  
1. En aquells supòsits en què la Universitat determine, conjuntament amb una altra organització, els fins i els mitjans d'un tractament de dades personals, serà corresponsable del tractament.  
2. A aquest efecte es formalitzarà entre els corresponsables un acord que determine les funcions que corresponen a cadascun respecte al tractament i els procediments i mecanismes que s'utilitzaran per a l'exercici dels drets de les persones interessades.  
3. En aquests escenaris, la Universitat serà responsable del tractament de les activitats que li hagen sigut assignades mitjançant l'esmentat acord amb les altres organitzacions participants que, com a tals, estaran obligades a complir la normativa de protecció de dades en tot el que els afecte com a responsables del tractament.  
  
Article 22. Delegat o delegada de Protecció de Dades  
1. La Universitat Jaume I comptarà amb un delegat o delegada de Protecció de Dades que actue com a garant del compliment de la normativa de la protecció de dades en l'organització i exercisca les seues funcions amb independència i confidencialitat.  
2. Les funcions del delegat o delegada de Protecció de Dades de la Universitat Jaume I són, entre altres, les següents:  
Informar i assessorar el responsable o encarregat del tractament i els empleats que s'ocupen del tractament de dades de les obligacions que els incumbeixen en virtut del Reglament general de protecció de dades i altres disposicions de protecció de dades de la Unió Europea o dels estats membres.  
Supervisar el compliment del que es disposa en aquest Reglament i en la resta de normatives aplicables, així com de les polítiques del responsable o encarregat del tractament en matèria de protecció de dades personals.  
3. El nomenament del delegat o delegada de Protecció de Dades s'efectua mitjançant resolució de la rectora o rector. Les dades de contacte de la delegada o delegat de Protecció de Dades es publicaran i es comunicaran a l'autoritat de control.  
  
  
TÍTOL III  
Els tractaments de dades personals en l'àmbit universitari  
  
CAPÍTOL I  
Tractament de dades personals en la docència i en la gestió acadèmica  
  
Article 23. Tractaments de dades vinculades a la docència i a la gestió acadèmica  
En l'àmbit de la docència i la gestió acadèmica la Universitat tractarà les dades personals que són necessàries per a prestació de:  
1. Estudis de grau, postgrau, estudis propis o qualssevol altres ensenyaments universitaris i que són necessàries per al desenvolupament del servei públic d'educació superior en l'exercici de les funcions que li atribueixen la legislació vigent i els seus Estatuts:  
La docència presencial o virtual.  
La gestió acadèmica dels estudis.  
La realització de pràctiques en empreses i estades en altres centres educatius com a part de la formació universitària.  
Qualsevol altra funció determinada per la normativa vigent.  
2. Serveis dirigits a l'orientació i inserció laboral i desenvolupament d'activitats vinculades a aquestes.  
3. Accions formatives per a la promoció i foment de projectes.  
4. Gestió d'ajudes, beques i concursos propis.  
  
Article 24. Criteris per al tractament de dades personals en activitats docents  
1. En els espais docents físics i virtuals de la Universitat només es poden realitzar aquelles activitats de tractament de dades personals que estiguen emparades en la normativa vigent, incloent l'enregistrament o difusió en línia (streaming).  
2. Per a realitzar activitats en línia en recursos externs als proporcionats per la Universitat s'han d'utilitzar preferentment dades anònimes. Aquest anonimat ha de garantir-se en totes les fases del tractament.  
  
3. Si de manera justificada a criteri de la persona responsable de l'activitat, es tracten dades personals, la persona responsable de l'activitat ha de sol·licitar la inscripció en el Registre d'Activitats de Tractament de la Universitat. Així mateix, ha d'elaborar la informació que cal oferir als usuaris i usuàries, aplicar les mesures de seguretat necessàries i proporcionar la informació requerida durant els processos d'auditoria i adoptar, si escau, les mesures correctores que aquestes auditories aconsellen.  
  
Article 25. Gestió acadèmica  
La Universitat ha de tractar les dades personals dels qui es matriculen per a cursar estudis de grau, postgrau, estudis propis o qualssevol altres activitats docents o formatives oferides per la Universitat que siguen imprescindibles i necessàries per a la gestió acadèmica, econòmica i administrativa a partir de la inscripció i matriculació, amb les següents finalitats:  
Identificació de l'alumnat com a col·lectiu usuari dels serveis de la Universitat que facilite l'accés a aquests serveis.  
Control d'assistència a classes i d'accés a instal·lacions.  
Accés i ús de recursos electrònics.  
Elaboració d'estudis, estadístiques i controls del compliment normatiu.  
Trasllat d'informació d'interès vinculada a l'activitat universitària.  
  
I tota aquella finalitat derivada de la normativa vigent aplicable.  
  
Article 26. Gestió d'ajudes, beques i concursos propis  
1. La Universitat ha de tractar les dades personals dels qui sol·liciten beques i ajudes o es presenten a concursos propis, així com la informació personal de les persones que formen part de la unitat familiar o convivencial que foren necessaris, si escau, per a valorar la seua adjudicació de conformitat amb les bases de la seua convocatòria.  
2. Serà possible la comunicació a institucions públiques o privades que tinguen subscrits acords de col·laboració amb la Universitat per a la concessió de beques a l'alumnat, però limitarà aquesta comunicació a dades estrictament necessàries, i sense perjudici del deure d'informar d'aquesta circumstància a les persones sol·licitants en les bases de cada convocatòria.  
  
Article 27. Comunicació de les qualificacions o altres resultats avaluadors de l'alumnat  
1. Les qualificacions seran publicades pels mitjans electrònics de la Universitat a l'Aula Virtual de l'assignatura o en l'aplicació virtual d'actes, sense perjudici d'utilitzar-se a més altres formes de comunicació complementària, si escau.  
2. En cap cas es publicaran qualificacions o altres resultats avaluadors en taulers d'anuncis de cap ubicació del centre universitari ni en internet amb accés obert.  
3. El període de temps en què les dades estaran accessibles serà l'estrictament necessari. En el cas de qualificacions provisionals, es mantindran fins que transcórrega el termini per a presentar reclamacions. En el cas de les qualificacions definitives, durant el termini imprescindible que garantisca el seu coneixement per les persones interessades.  
  
Article 28. Accés per les persones progenitores o tutors legals a dades acadèmiques  
1. Els pares, mares i tutors legals podran ser informats de dades acadèmiques de l'estudiantat que tinguen al seu càrrec sempre que, de conformitat amb la normativa interna aprovada per la Universitat:  
Se sol·licite formalment al Servei de Gestió de la Docència i Estudiants a través del Registre General de la Universitat, exposant els motius en els quals es fonamenta la sol·licitud.  
S'acredite un interès legítim en el coneixement d'aqueixes dades mitjançant l'aportació de la documentació oportuna, com puga ser el llibre de família, sentències judicials, rebuts de pagament de taxes o qualsevol altra que contribuïsca a acreditar aqueix interès.  
2. L'estudiantat a qui es referisca la sol·licitud serà informat i es podrà oposar a aquesta comunicació de les seues dades acadèmiques, exposant els motius fundats i legítims en els quals fonamenta la seua oposició a aquest tractament. La Secretària General ha de resoldre sobre la concessió o denegació de l'accés sol·licitat.  
3. En tot cas, l'abast de la informació a comunicar ha de respectar:  
Es remetrà estrictament la informació sol·licitada.  
La informació remesa es limitarà a les qualificacions acadèmiques finals que figuren en l'expedient, les dades de matrícula per any acadèmic i aquella que es considere justificada en funció dels motius en els quals es fonamenta la sol·licitud.  
  
Article 29. Captació i difusió de material audiovisual en el context docent  
1. El personal docent pot gravar les sessions de classe, incloent-hi la imatge i veu de l'estudiantat, sense necessitat de recaptar el seu consentiment solament si és necessari per a complir la missió docent. En tot cas, aquests enregistraments només seran accessibles a l'estudiantat i professorat participants en l'activitat de la qual la sessió forma part a través de la plataforma docent oficial de la Universitat.  
2. En sessions de classe desenvolupades mitjançant videoconferència, l'estudiantat pot desactivar la seua càmera o micròfon. Es fomentarà l'ús del xat per a les interaccions entre l'estudiantat i el professorat.  
  
3. Es prohibeix qualsevol altre ús ulterior dels enregistraments, com ara la difusió, distribució o compartició en xarxes socials, excepte consentiment exprés de totes les persones enregistrades.  
4. Per a garantir els procediments de verificació dels coneixements de l'estudiantat, el professorat pot obligar l'estudiantat a activar la seua càmera per a monitorar la realització de les proves d'avaluació a distància no orals, però no es pot gravar la realització de la prova.  
  
5. Quan es realitzen processos d'avaluació orals en línia, i per a garantir l'exercici dels drets de revisió o de recurs contra la qualificació, el professorat gravarà la prova en àudio, vídeo o en un altre suport que permeta la conservació.  
6. Els enregistraments es conservaran durant el període de vigència de l'activitat, que serà el curs acadèmic en el cas de classes o el termini legal de custòdia en el cas d'evidències del procés avaluador.  
7. En la supervisió de les proves d'avaluació es prohibeix l'ús de sistemes automatitzats d'identificació biomètrica o de tècniques d'intel·ligència artificial.  
  
  
CAPÍTOL II  
Tractament de dades personals en la investigació  
  
Article 30. Projectes d'investigació que impliquen tractament de dades personals  
1. El desenvolupament d'un projecte d'investigació ha de respectar les següents obligacions:  
Obtindre l'informe favorable de la Comissió Deontològica de la Universitat abans d'iniciar la investigació.  
Inscriure's en el Registre d'Activitats de Tractament.  
Identificar un responsable intern del tractament, que serà l'investigador o investigadora principal, o la persona en qui delegue.  
3. No tenen la consideració de tractaments de dades personals aquells que processen o tracten informació que haja sigut prèviament desagregada i no siga possible vincular les dades tractades amb persones físiques identificades o identificables en cap moment del processament.  
  
4. La Universitat pot comunicar dades personals de les quals és responsable a grups d'investigació, si hi ha una legitimació prèvia que ho habilite.  
5. Si és necessària la dissociació de les dades personals, les persones interessades han d'assumir el cost d'aquests procediments de dissociació.  
6. La Universitat publica un conjunt de dades en obert per a la seua reutilització, en el marc de la iniciativa Dades obertes, que poden ser usades per qualsevol persona. L'ús d'aquestes dades vindrà delimitat per la llicència de reutilització de dades de la Universitat.  
  
Article 31. Participació de la comunitat universitària en projectes investigadors  
1. La participació de l'estudiantat en projectes d'investigació requereix, en tot cas, el seu consentiment previ, lliure i explícit, que ha de ser recaptat pel responsable del tractament. Aquesta participació no pot, en cap cas, repercutir en la seua avaluació.  
2. L'enviament de comunicacions generals, o per col·lectius, en què es convide a participar la comunitat universitària en enquestes, proves o altres activitats relacionades amb projectes d'investigació requereix l'aprovació prèvia de la Comissió Deontològica.  
  
Article 32. Tesis doctorals  
1. En la realització de tesis doctorals s'han d'emprar preferentment dades anònimes i s'ha de garantir-se aquest anonimat en totes les fases del tractament.  
2. Quan es realitzen tesis doctorals amb persones o amb les seues dades personals serà necessari obtindre l'informe favorable de la Comissió Deontològica abans d'iniciar els treballs.  
3. Si el tractament anònim de les dades no és possible, el tractament pot tindre naturalesa pública o privada.  
4. Són de naturalesa pública i estan sota la responsabilitat de la Universitat els tractaments de dades personals que es duen a terme amb finalitats d'investigació i per al desenvolupament d'una tesi doctoral que reunisca les següents condicions:  
Formar part d'un dels plans anuals de promoció de la investigació de la Universitat.  
Dur-se a terme dins d'un grup d'investigació de la Universitat i per part de personal investigador que forme part de la seua plantilla.  
Ser el director o directora de la tesi i ser personal de la Universitat, i que assumisca la responsabilitat de prendre les decisions oportunes sobre les finalitats i els mitjans del tractament al qual seran sotmeses les dades de caràcter personal. El director o directora de la tesi o la investigadora o investigador principal del grup d'investigació serà designat com a responsable intern de les dades sotmeses a tractament.  
Estar els mitjans de tractament de les dades personals sota el control del director o directora de tesi o del grup d'investigació, ja siga directament o per mitjà d'un contracte per encàrrec de tractament.  
5. Els tractaments de dades personals de naturalesa pública han de ser inscrits en el Registre d'Activitats de Tractament de la Universitat.  
  
6. Aquells tractaments de dades personals que no puguen acollir-se a la consideració de naturalesa pública són responsabilitat de l'investigador o investigadora, qui ha de complir amb les exigències legals previstes i, en particular, la d'informar les persones afectades de la finalitat concreta del tractament de les seues dades, la seua identificació com a responsable del tractament, la seua adreça postal i electrònica, i la possibilitat d'exercir els drets que confereix la legislació vigent.  
  
Article 33. Treballs de fi de màster (TFM) i treballs de fi de grau (TFG)  
1. En la realització de TFG o TFM han d'utilitzar-se preferentment dades anònimes. Aquest anonimat ha de garantir-se en totes les fases del tractament.  
2. Si, excepcionalment i de manera justificada a criteri del tutor o tutora del treball, s'utilitzen dades personals, l'alumne o alumna serà responsable de complir les exigències legals previstes i, en particular, la d'informar les persones afectades de la finalitat concreta del tractament, la seua identificació com a responsable del tractament, la seua adreça postal i electrònica, i la possibilitat d'exercir els drets que confereix la vigent legislació de protecció de dades de caràcter personal.  
3. En tot cas, si impliquen persones o es tracten dades personals serà necessari obtindre l'informe favorable de la Comissió Deontològica abans d'iniciar els treballs.  
  
  
CAPÍTOL III  
Tractament de dades personals en les relacions amb tercers  
  
Article 34. Col·laboració amb altres organitzacions públiques o privades  
1. Tot acord amb altres organitzacions públiques o privades ha de comportar un conjunt d'activitats que poden tractar dades personals en diferents moments i formes. Abans d'iniciar cada activitat és necessari aplicar-li la privacitat des del disseny inicial i per defecte. Aquesta obligació serà recollida de manera expressa en el text de l'acord.  
2. En cas de realitzar-se un tractament de dades personals per alguna de les parts s'ha de garantir que s'ha planificat abans de l'execució, s'han pres les mesures oportunes de registre de l'activitat, s'han identificat les figures de responsable, corresponsables i encarregats, les seues obligacions, les dades afectades i el seu flux al llarg de totes les activitats recollides en l'acord.  
3. Quan siga necessària la subcontractació per part de la Universitat per a realitzar l'activitat s'ha de sol·licitar permís exprés a la part sol·licitant de l'activitat i la Universitat ha de traslladar a la part subcontractada les mateixes obligacions respecte a l'activitat que té la Universitat.  
  
4. Les clàusules de l'encàrrec de tractament que es desprèn de l'acord es podran negociar prèviament si no es pot aplicar el model genèric de la Universitat. Aquest encàrrec ha d'estar inclòs com a part de l'acord de manera inseparable i la seua signatura implica també la signatura de l'encàrrec.  
5. Tot acord en el qual participe la Universitat ha d'incloure sempre una clàusula de confidencialitat.  
  
Article 35. Mobilitat en la comunitat universitària  
1. La Universitat pot tractar dades personals necessàries per a realitzar estades formatives d'alumnat, professorat i altre personal de la Universitat en altres centres, institucions o empreses o, recíprocament, les dades personals dels qui accedisquen a la Universitat Jaume I.  
2. Els convenis de mobilitat han de reflectir les activitats que requerisca cada part participant i les responsabilitats que corresponguen a cadascuna en relació amb les activitats de tractament que se'ls atribuïsca.  
3. S'ha de vetlar perquè s'assegure el compliment de la normativa europea de protecció de dades en les transferències internacionals de dades personals que fora necessari efectuar, encara que la contrapart no es trobe dins de l'Espai Econòmic Europeu.  
  
Article 36. Pràctiques externes  
1. La Universitat ha de tractar dades personals per a la gestió de les pràctiques externes, com ara dades identificatives, imatge, veu o qualsevol altra que es puga vincular amb una persona, exclusivament per a les finalitats pròpies de les pràctiques i no es poden comunicar a tercers per cap mitjà. Les empreses o entitats col·laboradores conservaran només les dades que necessiten i durant el temps necessari per a informar sobre aqueixes pràctiques.  
2. S'ha de guardar confidencialitat sobre la informació i les dades personals que es coneguen durant la realització de les pràctiques, de manera que per accedir-hi s'ha d'obtindre autorització de les supervisores o supervisors, i estar en disposició de demostrar-ho.  
3. No se sotmetrà al personal de les empreses o institucions on es realitzen les pràctiques, o a qui donen servei, a tests, proves o avaluacions de qualsevol tipus que no siguen autoritzades i controlades per les persones que supervisen les destinacions ni fer fotografies, vídeos o enregistrament de sons no previstos entre les finalitats pròpies de les pràctiques.  
4. En la documentació que es genera a conseqüència de les pràctiques, com ara informes, treballs, memòries, o altres, no es pot identificar al personal de la destinació de les pràctiques amb cap dada de caràcter personal, a excepció de les persones responsables de la tutorització d'aqueixes pràctiques.  
  
Article 37. Venda i distribució comercial  
1. El tractament de dades personals que requerisca la venda i distribució comercial de les publicacions, entrades i dels productes oficials de la Universitat té per objecte gestionar les compres que a través d'aquesta plataforma efectuen les persones, tenint la seua base d'habilitació en la relació jurídica establida en l'adquisició del producte o servei.  
  
2. Es podrà oferir la possibilitat de rebre informació comercial amb ofertes i novetats comercialitzades per la Universitat legitimada en el consentiment previ de la persona titular de les dades.  
  
Article 38. Gestió d'esdeveniments  
1. El tractament de dades personals necessari per a la celebració presencial o a distància d'esdeveniments, com ara congressos i jornades, concursos, premis i esdeveniments anàlegs té com a finalitat la gestió de les diferents fases de l'esdeveniment com ara la invitació, inscripció, desenvolupament i emissió de certificats, així com la seua difusió pública per mitjans físics o telemàtics i el seu ús promocional.  
2. La participació de la persona en l'esdeveniment de què es tracte ha d'anar precedida de la informació necessària en matèria de protecció de dades personals.  
3. El tractament de les dades personals necessàries per a la inscripció i participació en l'esdeveniment es basa en el desenvolupament d'una missió en interès públic per la difusió de la cultura i el coneixement.  
4. S'ha de recaptar el consentiment exprés de les persones que participen activament per a l'obtenció i difusió d'imatges, vídeos o àudios en què apareguen.  
5. La Universitat no es fa responsable de les activitats individuals de captació i difusió de material audiovisual realitzades per les persones assistents a un esdeveniment i que respondran de les conseqüències legals que es deriven per l'inadequat tractament de dades personals, dels drets d'imatge o qualsevol altra normativa d'aplicació.  
  
Article 39. Accions de divulgació  
1. La Universitat pot utilitzar la informació de contacte de les persones assistents a esdeveniments per a l'enviament d'informació i difusió d'altres esdeveniments vinculats als prèviament participats quan obtinga el consentiment d'aquestes persones.  
2. Les accions de comunicació institucionals es regeixen pels principis i procediments del Pla de comunicació de la Universitat i respectarà el Codi ètic propi. S'ha de distingir de manera clara la posició i informació particular de la institucional en l'ús de xarxes socials o en la presència pública.  
  
  
CAPÍTOL IV  
Tractament de dades personals en els serveis de gestió  
  
Article 40. Gestió econòmica  
1. A més de la gestió de dades personals vinculades a la gestió docent, acadèmica i d'investigació, la Universitat tracta el conjunt de dades personals per a tasques pròpies de la gestió administrativa, econòmica i financera de la seua activitat relatives o derivades de la prestació dels seus serveis, les relacions amb proveïdors de servei, transaccions vinculades a l'activitat de la Universitat, el desenvolupament i execució de contractes i licitacions, el compliment d'obligacions legals i qualssevol altres actuacions requerides per a l'administració de la institució.  
  
2. La gestió d'aquestes dades s'efectua en compliment de les seues obligacions i exercici de drets de la Universitat que legitimen aquestes activitats de tractament.  
  
Article 41. Gestió de personal  
1. El tractament de dades relatives al personal ocupat en actiu i jubilat de la Universitat té per objecte el desenvolupament i gestió de la relació laboral i el compliment de les obligacions legals en relació al personal i que habiliten el tractament d'aquestes dades.  
2. Qualssevol altres tractaments de dades per a la realització d'activitats vinculades a la prestació de la relació laboral o el compliment d'obligacions legals se sustenten en algun o alguns dels títols o bases jurídiques habilitants del tractament de dades establit en la normativa de protecció de dades del que la persona ha de ser informada a través dels canals que la Universitat tinga establits per a la comunicació amb el personal de la institució.  
3. La Universitat ha de publicar dades personals del personal docent i investigador (PDI) i del personal d'administració i serveis (PAS) relatius a la seua participació en l'organització vinculada a la seua activitat.  
S'han de facilitar les dades de contacte relatives al nom i cognoms, perfil professional del lloc de treball, telèfon i adreça de correu corporatius a la Universitat proporcionats per aquesta, així com l'horari de classes o tutories, en cas del personal docent i investigador. Es pot obviar aquesta publicació de dades personals, parcialment o totalment, en compliment d'una obligació legal que s'aplique a la Universitat.  
  
  
Article 42. Gestió de dades personals de salut  
1. En el disseny d'activitats que comporten un tractament de dades personals de salut s'ha de prioritzar el lliurament i custòdia d'aquesta mena de dades a la unitat responsable de la vigilància i prevenció de la salut, la qual pot delegar en altres serveis de la Universitat que estiguen estrictament vinculats, per raó de la seua competència, amb el tractament de dades de salut que requerisca l'específica activitat que desenvolupen. S'ha d'afavorir el lliurament d'un informe bàsic amb les dades reduïdes.  
2. Les dades personals relatives a baixes mèdiques, situacions de conciliació familiar i altres procediments habituals de l'àrea de recursos humans s'han de reduir als mínims imprescindibles per a poder realitzar-se. Les dades personals han d'incloure, tant les pròpies de la persona interessada, com les de terceres persones relacionades que ho autoritzen i que puguen ser necessàries per al desenvolupament del procediment.  
  
3. Les dades personals relatives a necessitats específiques de suport educatiu o necessitats d'adaptació al lloc de treball que estiguen relacionades amb el Pla d'atenció a la diversitat han de ser compartides i el seu tractament ha de ser delegat a la unitat organitzativa responsable de dur a terme aquest pla.  
4. Les dades personals relatives al desenvolupament de plans de prevenció de riscos laborals aplicables a les circumstàncies individuals o col·lectives del personal laboral de la Universitat s'han de limitar al conjunt mínim possible i no seran compartits excepte per necessitat per a poder desenvolupar correctament el Pla o per obligació legal.  
5. Les dades personals de salut i qualsevol altra dada personal relacionada que siga necessària dins d'un context d'emergència sanitària, pandèmia, desastre natural o altres similars han de ser tractades per la unitat responsable de la vigilància i prevenció de la salut, que s'ha de coordinar amb els organismes i institucions encarregades legalment de la seua gestió. S'han de comunicar a les institucions i organismes implicats les dades mínimes que permeten el seu correcte funcionament i coordinació, així com a les diferents unitats organitzatives de la Universitat estrictament vinculades, per raó de la seua competència, amb el tractament de dades de salut.  
6. Els serveis sanitaris relatius als reconeixements mèdics preventius oferits a la plantilla de personal treballador de la Universitat han de ser duts a terme per empreses externes sense que hi haja comunicació del seu resultat a la Universitat ni consegüent tractament de dades per aquesta.  
7. La Universitat pot autoritzar la creació d'unitats d'assistència sanitària, reconegudes oficialment per la conselleria competent en matèria de salut, per a exercir altres serveis complementaris als descrits i que puguen tindre vincles amb activitats investigadores dels diferents grups d'investigació de la Universitat. En aquest cas, les possibles dades personals de salut seran responsabilitat d'aquest servei sanitari o del grup d'investigació associat i cadascun haurà de complir amb les obligacions pròpies de cada tipus d'activitat conforme als procediments establits internament per la Universitat.  
  
Article 43. Serveis complementaris  
1. Aquesta categoria engloba aquells serveis addicionals oferits per la Universitat i relatius a diverses activitats artístiques, culturals, esportives, recreatives i de responsabilitat social, i que constitueixen serveis complementaris per a la comunitat universitària i accessoris a l'activitat docent i acadèmica, com ara el servei de biblioteca i préstec interbibliotecari, servei editorial, reserva d'espais i/o de materials, activitats esportives, capacitació de llengües, guia de professorat expert, voluntariat o antic alumnat, sense perjudici de qualssevol altres que pogueren desenvolupar-se en el futur.  
2. També integren aquesta consideració els serveis que s'ofereixen a la ciutadania en general, com ara la difusió de l'oferta formativa i cultural de la Universitat, el foment i suport a la investigació, la cultura i l'educació o la promoció de l'activitat de la Universitat, així com l'atenció a consultes de la ciutadania o visites a les seues instal·lacions.  
  
3. La prestació del servei a la persona interessada ha d'anar precedida de la informació necessària en matèria de protecció de dades específicament vinculada al servei de què es tracte.  
  
Article 44. Antics membres de la comunitat universitària  
1. La Universitat disposa de diversos programes dirigits a l'alumnat i personal que haja finalitzat el seu vincle. Aquests programes tenen per objecte mantindre la relació amb la institució, facilitar la inserció laboral i millora professional, i difondre l'oferta formativa, acadèmica, científica i cultural mitjançant l'enviament d'informació relacionada amb l'organització de trobades, actes de graduació i activitats socials i culturals.  
2. El tractament de les dades personals de l'antic alumnat i personal que voluntàriament s'haguera adherit a algun d'aquests programes estarà legitimat en la prestació dels serveis associats a aquests programes.  
  
3. Els programes han de disposar dels mitjans necessaris perquè les persones adherides puguen seleccionar el tipus d'activitats que els són d'interès dins del marc del programa. La Universitat només enviarà informació sobre aquestes activitats i ha d'evitar l'enviament indiscriminat.  
4. El tractament de dades personals de l'estudiantat i personal que ja haja abandonat la Universitat i no estiga inscrit en cap dels programes quedarà restringit als supòsits previstos per la legislació.  
  
  
  
CAPÍTOL V  
Òrgans col·legiats i publicació de dades  
  
Article 45. Òrgans col·legiats  
1. La Universitat ha de tractar les dades personals dels qui participen en els diferents òrgans col·legiats amb les condicions establides en la normativa administrativa vigent.  
2. S'ha d'informar de les condicions d'aquest tractament de manera prèvia a les persones que pertanguen als òrgans col·legiats, sense necessitat de recaptar el seu consentiment.  
3. Els enregistraments que es produïsquen durant la realització de les sessions de l'òrgan col·legiat han de formar part de l'acta i ser accessibles per a les persones participants. Se li ha de donar difusió idèntica a l'àmbit de comunicació de l'òrgan.  
  
Article 46. Publicació de dades personals en processos de concurrència competitiva  
1. Quan siga obligatòria la publicació d'un acte administratiu que continguera dades personals, s'ha d'identificar a la persona interessada mitjançant el seu nom i cognoms, afegint-hi quatre xifres numèriques aleatòries del document nacional d'identitat, número d'identitat d'estranger, passaport o document equivalent. Quan la publicació es referisca a una pluralitat de persones aquestes xifres aleatòries han d'alternar-se.  
Es publicarà el document identificatiu (document nacional d'identitat, número d'identitat d'estranger, passaport o document equivalent de les persones) seguint l'Orientació per a l'aplicació provisional de la disposició addicional setena de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, aprovada per l'Agència Espanyola de Protecció de Dades, excepte en aquells supòsits en els quals legalment no s'exigisca la publicació del número del document identificatiu, i en aquest cas s'ometrà aquesta dada personal, o existisca una coincidència de nom i cognoms i, per tant, estaria justificada la inclusió també del segon element identificador.  
   
2. La publicació s'ha de fer de manera que no supose un accés indiscriminat a la informació als efectes de la qual es realitzarà en els mitjans adequats a cada procediment i es retirarà la publicació una vegada hagen transcorreguts els terminis legals.  
3. En cap cas es publicarà informació relativa a circumstàncies personals, familiars o socials, llevat que siga estrictament necessària per a garantir la transparència de l'activitat relacionada amb el funcionament i control de l'actuació pública o vinga expressament disposat en norma de rang legal.  
4. En el cas que en la informació que es publique hi haja categories especials de dades o un altre tipus de dades protegides per normativa específica, se n'ha de preservar la confidencialitat.  
  
  
  
TÍTOL IV  
Seguretat i garantia en el tractament de dades personals de la Universitat  
  
Article 47. Seguretat en les activitats de tractament de dades personals  
La Universitat Jaume I, com a universitat pública, ha de garantir el compliment de l'Esquema Nacional de Seguretat en totes les seues activitats de tractament de dades personals. Aquest compliment s'ha de verificar mitjançant auditories concurrents amb les de conformitat en matèria de protecció de dades.  
Quan una tercera part preste un servei en règim de concessió, encàrrec de gestió o contracte, les mesures de seguretat s'han de correspondre amb les de l'administració pública d'origen i s'ajustaran a l'Esquema Nacional de Seguretat.  
De conformitat amb la política de seguretat de la informació aprovada per la Universitat, s'estableix una segregació de funcions, en relació amb l'organització de la seguretat de la informació, que distingeix entre responsable de la informació, responsable del servei i responsable de seguretat, conforme a la següent separació de funcions:  
  
És responsable de la informació el secretari o secretària general de la Universitat.  
És responsable del servei el vicerector o vicerectora competent en matèria de tecnologia de la informació com a responsable de garantir la prestació de serveis en condicions òptimes de disponibilitat, accessibilitat i interoperabilitat, i complir les directrius del sistema de gestió de la seguretat de la informació.  
És responsable de seguretat la persona titular de la Gerència amb l'obligació de vetlar per la seguretat de la informació, dels serveis prestats pels sistemes d'informació i dirigir el sistema de gestió de la seua seguretat, d'acord amb el que s'estableix en la política de seguretat i normativa vigent que siga aplicable, i que delegarà les seues funcions en l'Oficina d'Innovació i Auditoria TI.  
És responsable d'auditoria de tecnologies de la informació qui dirigisca l'Oficina d'Innovació i Auditoria TI.  
És responsable del sistema qui dirigisca el Servei d'Informàtica, que pot delegar funcions en les i els administradors de seguretat que han d'existir, almenys, en les àrees de sistemes i microinformàtica, comunicacions i sistemes d'informació, explotació i desenvolupament.  
És responsable de la coordinació de la seguretat de la informació el Comitè de Seguretat de la Informació, que dirigirà l'estratègia corporativa en matèria de tecnologies de la informació.  
És responsable de vetlar per l'organització del procés tecnològic de la Universitat la Comissió Tècnica de Projectes, que té la finalitat d'analitzar l'impacte i coordinar les iniciatives concretes dirigides a evitar disfuncions que puguen propiciar errors o punts febles en els sistemes, tant en l'àmbit organitzatiu, com a tècnic.  
El responsable de la informació, segons l'Esquema Nacional de Seguretat, es correspon amb el responsable del tractament definit en el Reglament general de protecció de dades.  
El responsable del servei, el responsable de seguretat i el responsable del sistema, juntament amb les i els administradors de seguretat i la resta de personal tècnic vetlaran per l'establiment i manteniment de les mesures tècniques, humanes i organitzatives que permeten realitzar les activitats de tractament de dades personals amb les garanties exigibles en la normativa vigent.  
  
Article 48. Gestió de registres electrònics d'activitat d'usuaris (logs)  
1. Amb la finalitat exclusiva de garantir la seguretat dels sistemes d'informació de la Universitat, amb plenes garanties del dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge dels membres de la comunitat universitària, i d'acord amb la normativa sobre protecció de dades personals, de funció pública o laboral, i altres disposicions que resulten d'aplicació, la Universitat ha de registrar les activitats dels usuaris d'aquests sistemes d'informació i retindre la informació necessària per a monitorar, analitzar, investigar i documentar activitats indegudes o no autoritzades, per tal de permetre identificar a cada moment la persona que actua.  
2. La Universitat ha de disposar d'un inventari de tots els registres d'activitats d'usuari, amb les seues característiques. Aquest inventari s'ha de mantindre actualitzat dins del sistema de gestió de seguretat de la informació.  
3. Els administradors de seguretat dels sistemes d'informació tindran la responsabilitat de mantindre l'inventari actualitzat i garantiran que no s'emmagatzema cap registre d'activitat d'usuari que no forme part d'aquest.  
4. El període de conservació de les dades personals del registre és d'un any. Una vegada transcorregut aquest període, les dades han de ser esborrades. En els casos en què l'esborrat no siga tècnicament viable, i amb l'aprovació del responsable del tractament, es procedirà al bloqueig d'aquestes dades.  
  
Article 49. Seguretat i confidencialitat de la informació  
Les dades han de ser tractades de manera confidencial i estar sotmeses a mesures tècniques i organitzatives de seguretat adequades per a evitar-ne l'alteració, pèrdua, tractament o accés no autoritzat als efectes del qual el tractament de dades s'efectuarà conforme als processos interns de seguretat adoptats per la Universitat.  
Tot el personal de la Universitat i els qui intervinguen en qualsevol fase del tractament de les dades personals estan obligats a guardar confidencialitat respecte de les dades personals a què tinguen accés i coneixement, encara després de finalitzar la seua relació amb la Universitat.  
  
S'han de desenvolupar i mantindre normes d'ús dels recursos informàtics i de comunicacions que garantisquen la seguretat i protecció de les dades personals requerides per la legislació vigent.  
Aquestes normes han d'estar emmarcades en la política de seguretat de la informació i els seus procediments s'incorporaran al sistema de gestió de seguretat de la informació, que han d'estar sempre actualitzats.  
  
  
Article 50. Seguretat en els equips i sistemes d'informació que tracten dades personals  
Tots els equips, dispositius i sistemes d'informació de la Universitat que tracten dades personals han de complir amb les obligacions legals aplicables en matèria de protecció de dades i de seguretat.  
L'equipament informàtic i de comunicacions de la Universitat ha de complir amb els requisits de seguretat definits en el sistema de gestió de seguretat de la informació, tant el que gestione la Universitat, com el que tinga la seua gestió delegada.  
S'han de disposar de polítiques i procediments específics per a definir un nivell de seguretat equivalent en el cas d'equips i dispositius de terceres parts que s'hagen d'integrar en o utilitzar els recursos de la Universitat, com en el cas de personal que utilitze equipament propi per a realitzar les seues funcions o dispositius connectats a la xarxa de la Universitat.  
Tots aquests recursos han d'estar correctament administrats i configurats. S'ha d'impedir l'accés o ús no autoritzat d'aquestes dades i de l'equip utilitzat en el tractament.  
  
Article 51. Garantia dels drets digitals en l'ús personal de recursos corporatius  
1. Els recursos informàtics i la informació que contenen han de ser utilitzats únicament per a activitats de producció, desenvolupament, investigació i docència relacionades amb la Universitat i de manera que no interferisquen l'activitat dels membres de la comunitat universitària. Queda prohibit l'ús per a finalitats diferents com poden ser la comercial, de propaganda o altres.  
2. El compte corporatiu de correu electrònic i els serveis digitals que proporciona la Universitat a tota la comunitat universitària amb qui té vincle estable són eines professionals la titularitat de les quals recau en la institució.  
3. Tota la informació generada per les persones amb vincle actiu en l'acompliment de les seues funcions ha de situar-se en el sistema d'informació i eines corporatives de l'UJI.  
4. La Universitat ha de protegir la intimitat de les persones en l'ús dels dispositius digitals posats a la seua disposició.  
5. La Universitat pot accedir als continguts derivats de l'ús dels recursos corporatius facilitats per a controlar el compliment de les obligacions laborals, garantir la integritat d'aquests dispositius o atendre una obligació legal.  
6. La Universitat ha d'establir criteris per a l'ús d'aquests dispositius que estaran acordats amb la representació de les persones treballadores. S'ha d'informar d'aquests criteris a les persones que utilitzen els recursos.  
7. S'ha d'establir instruccions específiques i protocols d'actuació per a gestionar aquests continguts quan es produïsca una finalització del vincle amb l'UJI.  
  
Article 52. Garantia de drets digitals en la videovigilància i seguretat  
1. La Universitat tracta les dades personals necessàries per a garantir la seguretat de les persones, béns i instal·lacions de la institució a través de càmeres i/o videocàmeres, així com per al control d'accés a l'interior dels seus edificis, instal·lacions i dependències.  
2. Amb aquesta finalitat poden captar-se imatges en la via pública o llocs de trànsit públic dins de les instal·lacions de la Universitat com ara accessos o corredors.  
3. En cap cas s'instal·laran càmeres o videocàmeres en espais protegits pel dret a la intimitat com ara lavabos o vestuaris.  
4. Les altes, baixes o modificacions en la instal·lació de dispositius de videovigilància han de comptar amb l'aprovació prèvia de la Comissió de Control dels Dispositius de Videovigilància.  
5. S'ha de crear i mantindre actualitzada una relació dels dispositius de videovigilància que siguen responsabilitat de la Universitat o es troben en les seues instal·lacions.  
  
  
DISPOSICIONS ADDICIONALS  
  
Primera  
El contingut d'aquest Reglament ha sigut elaborat respectant l'ús inclusiu del llenguatge de conformitat amb la Llei orgànica 3/2007, de 22 de març, per a la igualtat efectiva de dones i homes, a excepció de l'esment literal a conceptes únicament recollits en gènere masculí en la normativa d'aplicació.  
  
Segona  
S'autoritza la Secretaria General per a dictar les instruccions i circulars que resulten necessàries per al desenvolupament i execució d'aquest reglament.  
  
  
DISPOSICIÓ DEROGATÒRIA  
  
Única  
Queda derogada qualsevol disposició d'igual o inferior rang aprovada per la Universitat Jaume I que contradiga el que s'estableix en aquest Reglament.  
  
  
DISPOSICIÓ FINAL  
  
Única  
Aquest reglament entrarà en vigor l'endemà de la publicació en el Diari Oficial de la Generalitat Valenciana.  
  
Castelló de la Plana, 28 d'octubre de 2021.- La secretària del Consell de Govern: Cristina Pauner Chulvi.