Diari Oficial de la Generalitat Valenciana


Sumario DOGV 9219, del 19-11-2021 (2021/11159)

ACUERDO de 28 de octubre de 2021, del Consejo de Gobierno de la Universitat Jaume I, por el que se aprueba el Reglamento de protección de datos y garantía de derechos digitales de la universidad.
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Datos del documento

Número DOGV
:   9219

Fecha DOGV
:   19-11-2021

Sección del DOGV
:   III. ACTOS ADMINISTRATIVOS - C) OTROS ASUNTOS

Número del documento
:   2021/11847


Fecha del documento
:   28-10-2021

Organismo emisor
:   Universitat Jaume I de Castelló

Tipo de documento
:   Acuerdo

Análisis jurídico

ACUERDO de 28 de octubre de 2021, del Consejo de Gobierno de la Universitat Jaume I, por el que se aprueba el Reglamento de protección de datos y garantía de derechos digitales de la universidad. [2021/11569]  
Reglamento de protección de datos y garantía de derechos digitales de la Universitat Jaume I.  
  
Exposición de motivos  
  
I. Marco normativo  
El actual marco normativo se materializa en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) que ha supuesto un hito importante al pasar de un modelo basado en el control del cumplimiento a otro fundamentado en el principio de responsabilidad activa en el que la valoración del riesgo derivado del tratamiento de datos personales y la adopción de medidas correctoras técnicas u organizativas recae en la organización que trata dichos datos, a la vez que permite que el derecho estatal de los estados miembros desarrolle contenidos por razones de coherencia y para que las disposiciones nacionales sean comprensibles para las personas destinatarias.  
Esta previsión del Reglamento general de protección de datos se manifiesta en los contenidos de la Ley orgánica 3/2018, de 5 de diciembre, que pasa de ser la norma reguladora de datos personales a norma reguladora de la protección de datos y garantía de derechos digitales (LOPDGDD) que tiene por objeto: (1) adaptar el ordenamiento jurídico español al Reglamento general de protección de datos y completar sus disposiciones, y (2) garantizar los derechos digitales de la ciudadanía, en una novedosa referencia que tiene como objetivo la protección de las personas que hacen uso de las herramientas digitales y que permiten que puedan comunicarse con otros individuos sin afectación a la intimidad y la privacidad.  
Este contexto normativo permite amparar medidas específicas frente a urgencias y situaciones excepcionales como las derivadas de emergencias sanitarias en base a la protección de intereses vitales, el interés público esencial, la medicina preventiva o laboral, el diagnóstico médico, la asistencia sanitaria o salud pública, que pueden determinar, por razones de seguridad, el modo de actuar en la gestión docente y académica en tanto esta requiere la adaptación al alumnado o al profesorado con necesidades especiales, la investigación, el teletrabajo y el trabajo en remoto, y también prácticas que deben cumplir con los principios y deberes en materia de protección de datos.  
  
II. Compromiso y cumplimiento normativo  
La Universitat Jaume I siempre ha sido sensible al cumplimiento normativo en esta materia habiendo aprobado e implementado normativa interna reguladora del tratamiento de datos personales.  
De conformidad con los Estatutos de la Universitat Jaume I, aprobados por el Decreto 95/2021, de 9 de julio, del Consell de la Generalitat (DOGV 9128/25.07.2021), la Universitat, en consonancia con su Código ético aprobado por el Consejo de Gobierno del 28 de junio de 2017, en las distintas actividades de tratamiento de datos de las personas físicas que se relacionan y vinculan con la institución, así como en sus relaciones con otras administraciones y entidades públicas u organizaciones privadas, se compromete a cumplir los derechos y libertades de los usuarios y usuarias en el uso de entornos digitales y en su investigación; a garantizar el cumplimiento de los principios y valores éticos, y la legalidad vigente; a velar para que no se lesionen la privacidad, la reputación o la dignidad de las personas en los entornos digitales, y a fomentar la formación, la transparencia en el uso y la no exclusión por motivos de vulnerabilidad.  
Es por ello que, asumiendo el mandato normativo del Reglamento general de protección de datos y la LOPDGDD, este Reglamento regula la forma en que la Universitat trata los datos personales y constituye una herramienta que actualiza la normativa interna desarrollada por esta institución en esta materia y que define el uso de los datos personales en su ámbito.  
  
III. Estructura del Reglamento  
Este Reglamento consta de 52 artículos agrupados en cinco títulos, dos disposiciones adicionales, una disposición derogatoria y una disposición final. El título preliminar establece las disposiciones generales, principios y criterios generales aplicables al tratamiento de datos personales en la Universitat; el título I determina los derechos vinculados al tratamiento de datos personales; el título II establece la estructura orgánica de la Universitat para el tratamiento de los datos personales; el título III regula el tratamiento de datos personales en el ámbito universitario, i finalmente el título IV aborda la seguridad y garantía en el tratamiento de datos personales en la Universitat.  
  
  
TÍTULO PRELIMINAR  
Disposiciones, principios y criterios generales aplicables al tratamiento de datos personales en la Universitat  
  
CAPÍTULO I  
Objeto, ámbito de aplicación y definiciones  
  
Artículo 1. Objeto  
Este Reglamento tiene por objeto regular la actuación de la Universitat Jaume I (en adelante, la Universitat) en el tratamiento de los datos personales y los derechos digitales para garantizar su protección en todos sus ámbitos de actividad.  
  
Artículo 2. Ámbito de aplicación  
Este Reglamento es aplicable a todas las actividades que implican un tratamiento de datos personales con motivo del ejercicio de las funciones que lleve a cabo la Universitat en el ámbito de sus competencias, tanto en el tratamiento efectuado, total o parcialmente, en formato automatizado o manual, como en toda modalidad de uso posterior de dichos datos.  
  
Artículo 3. Definiciones  
A los efectos de este Reglamento, se entiende por:  
a) Datos personales: cualquier información sobre una persona física identificada o identificable (persona interesada); se considera persona física identificable cualquier persona de la que se puede determinar la identidad, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esta persona.  
b) Categorías especiales de datos: son aquellos que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona. Son datos personales que merecen una especial protección dado que, por su naturaleza, son particularmente sensibles en relación con la afectación a los derechos fundamentales y a las libertades públicas.  
c) Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física, que proporcionan una información única sobre su fisiología o salud, obtenidas del análisis de una muestra biológica de esta persona.  
d) Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, que permiten o confirman la identificación única de esta persona como, por ejemplo, imágenes faciales o datos dactiloscópicos.  
e) Datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física que revelan información sobre su estado de salud, incluida la prestación de servicios de atención sanitaria.  
f) Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.  
g) Consentimiento: declaración o acto afirmativo claro que refleje la manifestación de voluntad libre, específica, informada e inequívoca de aceptar el tratamiento de datos de carácter personal que concierne a la persona interesada, que deberá reflejarse en forma escrita o en formato electrónico y que permita su posterior verificación.  
h) Responsable del tratamiento o responsable: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o junto con otros, determina los fines y los medios del tratamiento.  
i) Encargado del tratamiento o encargado: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trata datos personales por cuenta del responsable del tratamiento.  
j) Destinatario: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo al que se comunican datos personales, tanto si es un tercero como si no.  
k) Tercero: persona física o jurídica, autoridad pública, servicio u organismo distinto de la persona interesada, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.  
l) Violación o brecha de la seguridad de los datos personales: cualquier violación de la seguridad que ocasiona la destrucción, la pérdida o la alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o el acceso no autorizados a estos datos.  
m) Privacidad desde el diseño y por defecto: aplicación, desde el momento de determinar los medios de tratamiento, de medidas técnicas y organizativas apropiadas para hacer efectivos los principios de protección de datos, incluyendo que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento.  
n) Transferencias internacionales de datos: flujo de datos personales desde el territorio español a destinatarios establecidos en países fuera del Espacio Económico Europeo.  
o) Autoridad de control: la Agencia Española de Protección de Datos (AEPD) es la autoridad estatal de control independiente encargada de velar por el cumplimiento de la normativa sobre protección de datos en la actividad de la Universitat Jaume I.  
p) Seudonimización: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a una persona interesada sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.  
  
  
CAPÍTULO II  
Principios y criterios generales aplicables al tratamiento de datos personales en la Universitat  
  
Artículo 4. Principios generales aplicables al tratamiento de datos personales  
Los principios generales aplicables a la gestión de datos personales y a los que debe adaptarse el tratamiento de datos en la Universitat Jaume I son:  
a) Principio de licitud, transparencia y lealtad, que consiste en que los datos deben ser tratados en base a un título habilitante, ofreciendo la suficiente información sobre el tratamiento y con observación de la normativa aplicable.  
b) Principio de limitación de la finalidad que implica, por una parte, la obligación de que los datos sean tratados con una o varias finalidades determinadas, explícitas y legítimas y, por otra, que se prohíbe que los datos recogidos con unos fines determinados, explícitos y legítimos sean tratados posteriormente de una manera incompatible con esos fines.  
c) Principio de minimización de datos, que implica que los datos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.  
d) Principio de exactitud, que implica que los datos deben ser exactos y, si fuera preciso, actualizados, debiendo adoptarse todas las medidas razonables para que se rectifiquen o supriman los datos inexactos en relación a los fines que se persiguen.  
e) Principio de limitación del plazo de conservación que, relacionado con el de minimización, implica que, en tanto solo pueden tratarse los datos adecuados, pertinentes y necesarios para una finalidad, la conservación de esos datos debe limitarse en el tiempo al logro de los fines que el tratamiento persigue.  
f) Principio de integridad y confidencialidad, que impone la obligación de actuar proactivamente con el objetivo de proteger los datos que se manejan frente a cualquier riesgo que amenace su seguridad.  
g) Principio de responsabilidad proactiva, según el cual los responsables aplicarán las medidas técnicas y organizativas apropiadas para garantizar y estarán en condiciones de demostrar que el tratamiento de datos personales se lleva a cabo de conformidad con la normativa de protección de datos vigente.  
  
Artículo 5. Información relativa al tratamiento de datos personales  
La Universitat proporcionará y facilitará a las personas la información necesaria para que conozcan la finalidad del tratamiento para el que se recaban los datos de forma precisa, comprensible y fácilmente accesible en el momento de la recogida.  
En concreto, informará a las personas de su deber de facilitar a la institución datos exactos y veraces, y de su derecho a rectificarlos, debiendo garantizar la autenticidad de los datos que aporte referidos a su persona o a terceras personas y responsabilizarse de las manifestaciones falsas o inexactas que realice, particularmente respecto de la comunicación de información relativa a terceras personas, para la que debe contar con su autorización, y responder asimismo de los perjuicios que en tal caso cause a la institución o a dichas personas.  
Asimismo, se informará a las personas sobre la identidad del responsable del tratamiento, los datos de contacto de su delegada o delegado de Protección de Datos y el resto de aspectos previstos en la normativa aplicable.  
Este contenido informativo se recogerá en todos sus formatos documentales o en línea, así como en la atención presencial o telefónica en que se recaben datos personales, anteponiéndose al resto de trámites de la actuación que se siga.  
  
Artículo 6. Títulos habilitantes para el tratamiento de datos personales  
1. Los tratamientos de datos personales por parte de la Universitat necesarios para el ejercicio de sus funciones propias se basan, en general, en el título habilitante del interés público. Esta habilitación no requiere el consentimiento de la persona interesada para la gestión de sus datos personales.  
2. En los supuestos en que el título habilitante no sea el interés público, el tratamiento de los datos se amparará en alguno de los títulos siguientes:  
Ejecución de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.  
Satisfacción del interés legítimo perseguido por la Universitat.  
Cumplimiento de obligaciones legales aplicables a la Universitat.  
Consentimiento de la persona interesada, entendido como manifestación de voluntad libre, específica, informada e inequívoca por la que acepta el tratamiento de sus datos personales.  
Protección del interés vital de la persona interesada.  
3. Cuando el tratamiento de los datos personales implique el uso de categorías especiales se dispondrá de la habilitación necesaria entre las siguientes:  
Consentimiento explícito de la persona interesada.  
Cumplimiento de obligaciones y el ejercicio de derechos específicos de la Universitat en el ámbito del derecho laboral y de la seguridad y protección social.  
Protección de intereses vitales de la persona interesada o de otra persona física.  
Datos personales que la persona interesada ha hecho manifiestamente públicos.  
Formulación, ejercicio o defensa de reclamaciones, o cuando los tribunales actúen en ejercicio de su función judicial.  
Interés público esencial.  
Fines de medicina preventiva o laboral, evaluación de la capacidad laboral de trabajadoras y trabajadores, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social.  
Interés público en el ámbito de la salud pública.  
Archivo en interés público, fines de investigación científica, histórica o fines estadísticos.  
  
Artículo 7. Uso secundario de los datos personales  
El tratamiento de datos personales con finalidades distintas de aquellas para las que fueron inicialmente recabados solo será admisible cuando sea compatible con las finalidades de su recogida inicial teniendo en cuenta la relación entre ambas, el contexto en el que se recogieron los datos y todas aquellas otras circunstancias que hubieran podido generar a las personas una expectativa razonable de que sus datos pudieran ser utilizados para una finalidad distinta a la inicial.  
Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos se consideran operaciones de tratamiento lícitas compatibles.  
  
Artículo 8. Conservación de la información, bloqueo y supresión de datos personales  
Los datos personales serán mantenidos de forma que se permita la identificación de las personas durante el tiempo necesario para gestionar las actividades del tratamiento y de acuerdo con sus finalidades.  
Los datos personales serán suprimidos cuando hayan dejado de ser necesarios o pertinentes para las finalidades para las que se recabaron. La supresión implica el bloqueo de los datos por el tiempo necesario para dar respuesta ante reclamaciones y responsabilidades, i no pueden ser tratados para otras finalidades.  
Lo anterior no impedirá la posibilidad de conservar la información durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos, y sin perjuicio de la aplicación de las correspondientes medidas técnicas y organizativas apropiadas.  
En el Registro de Actividades de Tratamiento se reseñará el período de conservación de la información aplicable por la Universitat a cada tratamiento.  
La forma de conservación de los datos por parte de la Universitat permitirá el ejercicio de los derechos de la persona interesada y garantizará su seguridad.  
  
Artículo 9. Transferencias internacionales de datos personales  
La Universitat únicamente realizará transferencias de datos personales a un tercer país u organización internacional atendiendo a las condiciones establecidas en los contratos acordados entre las partes y garantizará un nivel de protección adecuado.  
  
Artículo 10. Responsabilidad proactiva en la Universitat  
La responsabilidad proactiva comprende, tanto el cumplimiento de la normativa de protección de datos, como la demostración de dicho cumplimiento, para lo cual la Universitat, como responsable del tratamiento de datos personales, se compromete a cumplir las obligaciones que a continuación se reseñan:  
Dotarse de un registro de actividades de tratamiento como compendio o conjunto de todas las actividades internas y externas de tratamientos de datos personales que efectúa la institución.  
Realizar análisis de riesgos para determinar las amenazas que supone el tratamiento de los datos personales para los derechos y libertades de las personas y que se elevarán a evaluaciones de impacto en la protección de datos cuando el tratamiento que se realice pueda entrañar un riesgo alto para aquellos derechos y libertades.  
Incrementar la transparencia en la información relativa al tratamiento de los datos personales.  
Implantar las medidas técnicas y organizativas adecuadas para garantizar la privacidad desde el diseño y por defecto.  
Aplicar herramientas de anonimización o seudonimización de datos personales.  
Clasificar y organizar los datos y operaciones de tratamiento en base a perfiles de acceso.  
Aplicar el cifrado por defecto de modo que el estado natural de los datos en caso de pérdida o robo sea ilegible.  
Realizar la destrucción segura y garantizada de la información al final de su ciclo de vida.  
Designar la figura del delegado o delegada de Protección de Datos.  
Notificar, cuando proceda, a la autoridad de control y/o a las personas afectadas, aquellas brechas de seguridad que afecten a datos de carácter personal.  
Definir las obligaciones de los proveedores de servicios contratados por la Universitat que, en tanto acceden y gestionan datos personales responsabilidad de la institución, tendrán la consideración de encargados del tratamiento.  
Vigilar el cumplimiento y adecuación mediante auditorías periódicas internas o externas.  
Cualquier otra obligación prevista en la normativa aplicable y en función de los avances técnicos disponibles.  
  
Artículo 11. Registro de Actividades de Tratamiento  
Este Registro recoge las actividades de tratamiento efectuadas por la organización y que contiene los siguientes elementos:  
Identificación y datos de contacto del responsable, corresponsable del tratamiento y del delegado o delegada de Protección de Datos.  
Las finalidades del tratamiento.  
Categorías de personas interesadas y categorías de datos personales.  
Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.  
Las transferencias de datos personales a un tercer país o a una organización internacional, en su caso.  
Los plazos previstos para la supresión de las diferentes categorías de datos, cuando sea posible.  
Una descripción general de las medidas técnicas y organizativas de seguridad, cuando sea posible.  
Todos los servicios de la Universitat comprobarán de forma periódica que el tratamiento de datos personales que realicen es conforme al contenido de dicho Registro y procederán a comunicar a la Secretaría General cualquier discrepancia para proceder a la actualización del Registro.  
Se realizarán auditorías periódicas para comprobar la exactitud de los datos publicados y si se ajustan a la realidad.  
  
  
TÍTULO I  
Derechos vinculados al tratamiento de datos personales  
  
Artículo 12. Derecho de acceso  
1. La persona interesada tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando datos personales que le afectan y, si es así, tiene derecho a acceder a estos datos y a la información relativa a los fines, destinatarios, categorías de datos tratadas, su origen y periodo de conservación, reclamaciones, existencia de decisiones automatizadas con sus consecuencias y a todos los derechos adicionales de rectificación, supresión, limitación, oposición y portabilidad.  
2. Cuando se transfieren datos personales a un tercer país o a una organización internacional, la persona interesada tiene derecho a ser informada de las garantías adecuadas relativas a la transferencia.  
3. La Universidad, como responsable del tratamiento, debe facilitar una copia de los datos personales objeto de tratamiento. Para cualquier otra copia que solicite la persona interesada, la responsable tiene derecho a percibir un canon razonable basado en los costes administrativos. Cuando la persona interesada presente la solicitud por medios electrónicos, y salvo que solicite que se haga de otra manera, la información se facilitará en un formato electrónico de uso común.  
  
Artículo 13. Derecho de rectificación y supresión  
1. La persona interesada tiene derecho a obtener de la Universitat, como responsable del tratamiento, la rectificación de los datos personales inexactos que le afectan, sin dilación indebida. Teniendo en cuenta las finalidades del tratamiento, la persona interesada tiene derecho a que se completen los datos personales incompletos, incluso mediante una declaración adicional.  
2. La persona interesada tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la supresión de los datos personales que le afectan. El responsable los ha de suprimir cuando los datos ya no son necesarios o se han tratado de forma ilícita, cuando la persona interesada retira el consentimiento o se opone al tratamiento y no queda base jurídica que lo ampare, cuando se debe cumplir una obligación legal o los datos se obtienen en relación con la oferta de servicios de la sociedad de la información.  
3. Si el responsable del tratamiento ha hecho públicos los datos personales y está obligado a suprimirlos, se adoptarán medidas razonables para informar a los responsables que están tratando estos datos de la solicitud de supresión de la persona interesada.  
4. Lo anterior no se aplicará, entre otros supuestos, cuando el tratamiento sea necesario para cumplir una obligación legal, por razones de interés público o con fines de archivo en interés público, de investigación científica o fines estadísticos.  
  
Artículo 14. Derecho de limitación  
1. La persona interesada tiene derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos:  
En casos de impugnación de la exactitud de los datos.  
Cuando el tratamiento es ilícito y la persona interesada se opone a la supresión, y cuando la persona interesada necesita mantener los datos para formular o ejercer reclamaciones.  
Mientras se verifica si los motivos legítimos del responsable prevalecen sobre los de la persona interesada, si la persona interesada se opone al tratamiento.  
2. En estas situaciones, con excepción de su conservación, los datos solo se pueden tratar con el consentimiento de la persona interesada, o para formular, ejercer o defender reclamaciones, o para proteger los derechos de otra persona física o jurídica, o por razones de interés público importante de la Unión Europea o de un determinado estado miembro. Antes de eliminar la limitación el responsable informará a la persona interesada de esta situación.  
  
Artículo 15. Derecho de portabilidad  
1. La persona interesada tiene derecho a recibir, en un formato estructurado, de uso común y de lectura mecánica, los datos personales que le afectan y que ha facilitado a un responsable del tratamiento. Tiene derecho a transmitirlos a otro responsable, sin que lo impida el responsable al que los había facilitado, cuando el tratamiento está basado en el consentimiento o en un contrato y el tratamiento se efectúa por medios automatizados. Cuando técnicamente sea posible, el responsable transmitirá directamente los datos personales.  
2. Este derecho no se aplica al tratamiento necesario para cumplir una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.  
  
Artículo 16. Derecho de oposición  
1. La persona interesada tiene derecho a oponerse a que los datos personales que le afectan sean objeto de un tratamiento. El responsable del tratamiento debe dejar de tratar estos datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades de la persona interesada, o para la formulación, el ejercicio o la defensa de reclamaciones.  
2. Si los datos personales se tratan con fines de investigación científica o histórica o con fines estadísticos, por motivos relacionados con su situación particular, la persona interesada tiene derecho a oponerse al tratamiento de datos personales que le afectan, salvo que sea necesario para cumplir una misión realizada por razones de interés público.  
  
Artículo 17. Procedimientos para ejercer los derechos  
1. Los derechos de acceso, rectificación o supresión, limitación, portabilidad y, en su caso, de oposición tienen carácter personal, por lo que solo puede ejercerlos la persona afectada. Podrá, sin embargo, actuar su representante legal en los casos previstos por la legislación vigente.  
2. Puede ejercer sus derechos dirigiéndose a la Secretaría General de la UJI mediante el Registro Electrónico o a la Oficina de Información y Registro (InfoCampus).  
3. Asimismo, la persona puede obtener información adicional sobre sus derechos o presentar una reclamación, si lo considera oportuno, ante la Agencia Española de Protección de Datos.  
4. Posteriormente a la presentación del escrito de la persona interesada en el Registro, o su recepción por otro medio válido en derecho, y su remisión al órgano al que vaya dirigida, los responsables internos de los tratamientos afectados, una vez comprobada la pertinencia de la solicitud, deben adoptar las medidas conducentes a satisfacer la petición.  
5. Se notificarán los resultados de la solicitud cursada mediante resolución de la Secretaría General en el plazo máximo de un mes. En caso de tratarse de una petición compleja el plazo puede ser de hasta tres meses y debe notificarse esta ampliación a la persona interesada.  
6. El responsable del tratamiento debe comunicar a cada uno de los destinatarios a los que se ha comunicado los datos personales cualquier rectificación o supresión de datos personales o limitación del tratamiento, a menos que sea imposible o exija un esfuerzo desproporcionado. Si la persona interesada lo solicita, el responsable lo informará sobre estos destinatarios.  
  
  
TÍTULO II  
Estructura orgánica de la Universitat para el tratamiento de datos personales  
  
Artículo 18. Responsable del tratamiento  
Conforme a la normativa de protección de datos, la Universitat es la responsable de todas las actividades de tratamiento de datos personales como entidad que determina los fines y medios del tratamiento.  
La figura de responsable del tratamiento se centraliza en la persona que dirige la Secretaría General de la Universitat, según lo previsto en los Estatutos de la misma.  
  
Artículo 19. Responsables internos del tratamiento  
Para el desarrollo habitual de las actividades de tratamiento de datos personales el responsable delegará la gestión ordinaria en las figuras de los responsables internos. Los responsables internos rendirán cuentas al responsable, serán identificados en el Registro de Actividades de Tratamiento y colaborarán en la tramitación de las solicitudes de ejercicio de derechos de los sujetos interesados.  
Son responsables internos las personas que dirigen las diferentes unidades organizativas y que, en el cumplimiento de sus tareas administrativas, necesiten tratar datos de carácter personal. Deben velar para que el tratamiento se ajuste en todo momento a lo previsto en la Ley, así como asegurarse del establecimiento y cumplimiento de las disposiciones de seguridad adecuadas.  
En el caso de los tratamientos bajo la responsabilidad de grupos de investigación, la responsabilidad interna la ejerce el investigador o investigadora principal, o la persona en quien delegue.  
  
Artículo 20. Encargados del tratamiento  
1. En aquellos casos en que la Universitat preste servicios para otras organizaciones también puede ser considerado encargado del tratamiento, recayendo la responsabilidad interna en el órgano o unidad administrativa que mejor pueda realizar las acciones concretas de cada encargo o en la figura del investigador principal o responsable del grupo de investigación que, en su caso, hubiera recibido el encargo.  
2. En todo caso, la condición de responsable o encargado se evaluará respecto de las actividades de tratamiento desarrolle la Universitat, al igual que la determinación de responsabilidades de tratamiento en aquellas actividades que se realicen conjuntamente con otras organizaciones, todo ello de conformidad con los procesos de contratación que rigen en esta universidad.  
3. La Universitat garantiza las condiciones adecuadas para el tratamiento de datos personales y ha de definir en el correspondiente contrato de encargo de tratamiento las obligaciones relativas al tratamiento de datos personales que compete cumplir a los proveedores de servicios encargados de tratamiento, así como a las actividades derivadas de colaboraciones entre la Universitat y el sector empresarial previstas en el artículo 83 de la Ley orgánica 6/2001 de universidades, compras, contratos (incluso los de servicios docentes o de formación), ayudas, convenios o proyectos, con contenidos específicos de confidencialidad y privacidad en aquellas actividades que puedan presentar la posibilidad incidental de acceder a información de acceso restringido.  
4. Las unidades organizativas o grupos de investigación que reciban o gestionen un encargo de tratamiento de terceras partes deben informar de esta situación a la Secretaría General para facilitar su registro y mantener actualizada dicha información.  
Artículo 21. Corresponsables del tratamiento  
1. En aquellos supuestos en que la Universitat determine, conjuntamente con otra organización, los fines y los medios de un tratamiento de datos personales, será corresponsable del tratamiento.  
2. A tal efecto se formalizará entre los corresponsables un acuerdo que determine las funciones que corresponden a cada uno con respecto al tratamiento y los procedimientos y mecanismos que se utilizarán para el ejercicio de los derechos de las personas interesadas.  
3. En estos escenarios, la Universitat será responsable del tratamiento de las actividades que le hayan sido asignadas mediante el mencionado acuerdo con las demás organizaciones participantes que, como tales, estarán obligadas a cumplir la normativa de protección de datos en todo lo que les afecte como responsables del tratamiento.  
  
Artículo 22. Delegado o delegada de Protección de Datos  
1. La Universitat Jaume I contará con un delegado o delegada de Protección de Datos que actúe como garante del cumplimiento de la normativa de la protección de datos en la organización y ejerza sus funciones con independencia y confidencialidad.  
2. Las funciones del delegado o delegada de protección de datos de la Universitat Jaume I son, entre otras, las siguientes:  
Informar y asesorar al responsable o encargado del tratamiento y a los empleados que se ocupan del tratamiento de datos de las obligaciones que les incumben en virtud del Reglamento general de protección de datos y otras disposiciones de protección de datos de la Unión Europea o de los estados miembros.  
Supervisar el cumplimiento de lo dispuesto en este Reglamento y en el resto de normativas aplicables, así como de las políticas del responsable o encargado del tratamiento en materia de protección de datos personales.  
3. El nombramiento del delegado o delegada de Protección de Datos se efectúa mediante resolución de la rectora o rector. Los datos de contacto de la delegada o delegado de Protección de Datos se publicarán y se comunicarán a la autoridad de control.  
  
  
TÍTULO III  
Los tratamientos de datos personales en el ámbito universitario  
  
CAPÍTULO I  
Tratamiento de datos personales en la docencia y en la gestión académica  
  
Artículo 23. Tratamientos de datos vinculados a la docencia y a la gestión académica  
En el ámbito de la docencia y la gestión académica la Universitat tratará los datos personales que son necesarios para prestación de:  
1. Estudios de grado, postgrado, estudios propios o cualesquiera otras enseñanzas universitarias y que son necesarios para el desarrollo del servicio público de educación superior en el ejercicio de las funciones que le atribuyen la legislación vigente y sus Estatutos:  
La docencia presencial o virtual.  
La gestión académica de los estudios.  
La realización de prácticas en empresas y estancias en otros centros educativos como parte de la formación universitaria.  
Cualquier otra función determinada por la normativa vigente.  
2. Servicios dirigidos a la orientación e inserción laboral y desarrollo de actividades vinculadas a estas.  
3. Acciones formativas para la promoción y fomento de proyectos.  
4. Gestión de ayudas, becas y concursos propios.  
  
Artículo 24. Criterios para el tratamiento de datos personales en actividades docentes  
1. En los espacios docentes físicos y virtuales de la Universitat solo se pueden realizar aquellas actividades de tratamiento de datos personales que estén amparadas en la normativa vigente, incluyendo la grabación o difusión en línea (streaming).  
2. Para realizar actividades en línea en recursos externos a los proporcionados por la Universidad se usarán preferentemente datos anónimos. Este anonimato debe garantizarse en todas las fases del tratamiento.  
3. Si de manera justificada a criterio de la persona responsable de la actividad, se tratan datos personales, la persona responsable de la actividad debe solicitar la inscripción en el Registro de Actividades de Tratamiento de la Universitat. Asimismo, debe elaborar la información que hay que ofrecer a los usuarios y usuarias, aplicar las medidas de seguridad necesarias y proporcionar la información requerida durante los procesos de auditoría y adoptar, en su caso, las medidas correctoras que estas auditorías aconsejen.  
  
Artículo 25. Gestión académica  
La Universitat tratará los datos personales de quienes se matriculen para cursar estudios de grado, postgrado, estudios propios o cualesquiera otras actividades docentes o formativas ofertadas por la Universitat que sean imprescindibles y necesarias para la gestión académica, económica y administrativa a partir de la inscripción y matriculación, con las siguientes finalidades:  
Identificación del alumnado como colectivo usuario de los servicios de la Universitat que facilite el acceso a estos servicios.  
Control de asistencia a clases y de acceso a instalaciones.  
Acceso y uso de recursos electrónicos.  
Elaboración de estudios, estadísticas y controles del cumplimiento normativo.  
Traslado de información de interés vinculada a la actividad universitaria.  
Y toda aquella finalidad derivada de la normativa vigente aplicable.  
  
Artículo 26. Gestión de ayudas, becas y concursos propios  
1. La Universitat tratará los datos personales de quienes soliciten becas y ayudas o se presenten a concursos propios, así como la información personal de las personas que formen parte de la unidad familiar o convivencial que fueran necesarios, en su caso, para valorar su adjudicación de conformidad con las bases de su convocatoria.  
2. Será posible la comunicación a instituciones públicas o privadas que tengan suscritos acuerdos de colaboración con la Universitat para la concesión de becas al alumnado, pero limitará dicha comunicación a datos estrictamente necesarios, y sin perjuicio del deber de informar de esta circunstancia a las personas solicitantes en las bases de cada convocatoria.  
  
Artículo 27. Comunicación de las calificaciones u otros resultados evaluadores del alumnado  
1. Las calificaciones serán publicadas por los medios electrónicos de la Universitat en el Aula Virtual de la asignatura o en la aplicación virtual de actas, sin perjuicio de utilizarse además otras formas de comunicación complementaria, si se considera oportuno.  
2. En ningún caso se publicarán calificaciones u otros resultados evaluadores en tablones de anuncios de ninguna ubicación del centro universitario ni en internet con acceso abierto.  
3. El período de tiempo en que los datos estarán accesibles será el estrictamente necesario. En el caso de calificaciones provisionales, se mantendrán hasta que transcurra el plazo para presentar reclamaciones. En el caso de las calificaciones definitivas, durante el plazo imprescindible que garantice su conocimiento por las personas interesadas.  
  
Artículo 28. Acceso por las personas progenitoras o tutores legales a datos académicos  
1. Los padres, madres y tutores legales podrán ser informados de datos académicos del estudiantado que tengan a su cargo siempre que, de conformidad con la normativa interna aprobada por la Universitat:  
Se solicite formalmente al Servicio de Gestión de la Docencia y Estudiantes a través del Registro General de la Universitat, exponiendo los motivos en los que se fundamenta la solicitud.  
Se acredite un interés legítimo en el conocimiento de esos datos mediante la aportación de la documentación oportuna, como pueda ser el libro de familia, sentencias judiciales, recibos de pago de tasas o cualquier otra que contribuya a acreditar ese interés.  
2. El estudiantado a quien se refiera la solicitud será informado i se podrá oponer a esta comunicación de sus datos académicos, exponiendo los motivos fundados y legítimos en los que fundamenta su oposición a este tratamiento. La Secretaria General resolverá sobre la concesión o denegación del acceso solicitado.  
3. En todo caso, el alcance de la información a comunicar respetará:  
Se remitirá estrictamente la información solicitada.  
La información remitida se limitará a las calificaciones académicas finales que figuren en el expediente, los datos de matrícula por año académico y aquella que se considere justificada en función de los motivos en los que se fundamente la solicitud.  
  
Artículo 29. Captación y difusión de material audiovisual en el contexto docente  
1. El personal docente puede grabar las sesiones de clase, incluyendo la imagen y voz del estudiantado, sin necesidad de recabar su consentimiento solamente si es necesario para cumplir la misión docente. En todo caso, dichas grabaciones solo serán accesibles al estudiantado y profesorado participantes en la actividad de la que la sesión forme parte a través de la plataforma docente oficial de la Universitat.  
2. En sesiones de clase desarrolladas mediante videoconferencia, el estudiantado puede desactivar su cámara o micrófono. Se fomentará el uso del chat para las interacciones entre el estudiantado y el profesorado.  
3. Se prohíbe cualquier otro uso ulterior de las grabaciones, como la difusión, distribución o compartición en redes sociales, salvo consentimiento expreso de todas las personas grabadas.  
4. Para garantizar los procedimientos de verificación de los conocimientos del estudiantado, el profesorado puede obligar al estudiantado a activar su cámara para monitorizar la realización de las pruebas de evaluación a distancia no orales, pero no se grabará la realización de la prueba.  
5. Cuando se realicen procesos de evaluación orales en línea, y para garantizar el ejercicio de los derechos de revisión o de recurso contra la calificación, el profesorado grabará la prueba en audio, vídeo o en otro soporte que permita la conservación.  
6. Las grabaciones se conservarán durante el periodo de vigencia de la actividad, que será el curso académico en el caso de clases o el plazo legal de custodia en el caso de evidencias del proceso evaluador.  
7. En la supervisión de las pruebas de evaluación se prohíbe el uso de sistemas automatizados de identificación biométrica o de técnicas de inteligencia artificial.  
  
  
CAPÍTULO II  
Tratamiento de datos personales en la investigación  
  
Artículo 30. Proyectos de investigación que impliquen tratamiento de datos personales  
1. El desarrollo de un proyecto de investigación debe respetar las siguientes obligaciones:  
Obtener el informe favorable de la Comisión Deontológica de la Universitat antes de iniciar la investigación.  
Inscribirse en el Registro de Actividades de Tratamiento.  
Identificar un responsable interno del tratamiento, que será el investigador o investigadora principal, o la persona en quien delegue.  
3. No tienen la consideración de tratamientos de datos personales aquellos que procesan o tratan información que haya sido previamente desagregada y no sea posible vincular los datos tratados con personas físicas identificadas o identificables en ningún momento del procesamiento.  
4. La Universitat puede comunicar datos personales de los que es responsable a grupos de investigación, si existe una legitimación previa que lo habilite.  
5. Si es necesaria la disociación de los datos personales, las personas interesadas deben asumir el coste de dichos procedimientos de disociación.  
6. La Universitat publica un conjunto de datos en abierto para su reutilización, en el marco de la iniciativa Open Data, que pueden ser usados por cualquier persona. El uso de estos datos vendrá delimitado por la licencia de reutilización de datos de la Universitat.  
  
Artículo 31. Participación de la comunidad universitaria en proyectos investigadores  
1. La participación del estudiantado en proyectos de investigación requiere, en todo caso, su consentimiento previo, libre y explícito, que debe ser recabado por el responsable del tratamiento. Esta participación no puede, en ningún caso, repercutir en su evaluación.  
2. El envío de comunicaciones generales, o por colectivos, en que se invite a participar a la comunidad universitaria en encuestas, pruebas u otras actividades relacionadas con proyectos de investigación requiere la aprobación previa de la Comisión Deontológica.  
  
Artículo 32. Tesis doctorales  
1. En la realización de tesis doctorales se emplearán preferentemente datos anónimos y se debe garantizar este anonimato en todas las fases del tratamiento.  
2. Cuando se realicen tesis doctorales con personas o con sus datos personales será necesario obtener el informe favorable de la Comisión Deontológica antes de iniciar los trabajos.  
3. Si el tratamiento anónimo de los datos no es posible, el tratamiento puede tener naturaleza pública o privada.  
4. Son de naturaleza pública y están bajo la responsabilidad de la Universitat los tratamientos de datos personales que se llevan a cabo con fines de investigación y para el desarrollo de una tesis doctoral que reúna las siguientes condiciones:  
Formar parte de uno de los planes anuales de promoción de la investigación de la Universitat.  
Llevarse a cabo dentro de un grupo de investigación de la Universitat y por parte de personal investigador que forme parte de su plantilla.  
Ser el director o directora de la tesis y ser personal de la Universitat, y que asuma la responsabilidad de tomar las decisiones oportunas sobre las finalidades y los medios del tratamiento al que serán sometidos los datos de carácter personal. El director o directora de la tesis o la investigadora o investigador principal del grupo de investigación será designado como responsable interno de los datos sometidos a tratamiento.  
Estar los medios de tratamiento de los datos personales bajo el control del director o directora de tesis o del grupo de investigación, ya sea directamente o por medio de un contrato de encargo de tratamiento.  
5. Los tratamientos de datos personales de naturaleza pública deben ser inscritos en el Registro de Actividades de Tratamiento de la Universitat.  
6. Aquellos tratamientos de datos personales que no puedan acogerse a la consideración de naturaleza pública son responsabilidad del investigador o investigadora, quien debe cumplir con las exigencias legales previstas y, en particular, la de informar a las personas afectadas de la finalidad concreta del tratamiento de sus datos, su identificación como responsable del tratamiento, su dirección postal y electrónica, y la posibilidad de ejercer los derechos que confiere la legislación vigente.  
  
Artículo 33. Trabajos de fin de máster (TFM) y trabajos de fin de grado (TFG)  
1. En la realización de TFG o TFM deben utilizarse preferentemente datos anónimos. Este anonimato debe garantizarse en todas las fases del tratamiento.  
2. Si, excepcionalmente y de manera justificada a criterio del tutor o tutora del trabajo, se utilizan datos personales, el alumno o alumna será responsable de cumplir las exigencias legales previstas y, en particular, la de informar a las personas afectadas de la finalidad concreta del tratamiento, su identificación como responsable del tratamiento, su dirección postal y electrónica, y la posibilidad de ejercer los derechos que confiere la vigente legislación de protección de datos de carácter personal.  
3. En todo caso, si implican a personas o se tratan datos personales será necesario obtener el informe favorable de la Comisión Deontológica antes de iniciar los trabajos.  
  
  
CAPÍTULO III  
Tratamiento de datos personales en las relaciones con terceros  
  
Artículo 34. Colaboración con otras organizaciones públicas o privadas  
1. Todo acuerdo con otras organizaciones públicas o privadas comportará un conjunto de actividades que pueden tratar datos personales en diferentes momentos y formas. Antes de iniciar cada actividad es necesario aplicarle la privacidad desde el diseño inicial y por defecto. Esta obligación será recogida de forma expresa en el texto del acuerdo.  
2. En caso de realizarse un tratamiento de datos personales por alguna de las partes se debe garantizar que se ha planificado antes de la ejecución, se han tomado las medidas oportunas de registro de la actividad, se han identificado las figuras de responsable, corresponsables y encargados, sus obligaciones, los datos afectados y su flujo a lo largo de todas las actividades recogidas en el acuerdo.  
3. Cuando sea necesaria la subcontratación por parte de la Universitat para realizar la actividad se solicitará permiso expreso a la parte solicitante de la actividad y la Universitat debe trasladar a la parte subcontratada las mismas obligaciones respecto a la actividad que tiene la Universitat.  
4. Las cláusulas del encargo de tratamiento que se desprende del acuerdo se podrán negociar previamente si no se puede aplicar el modelo genérico de la Universitat. Dicho encargo estará incluido como parte del acuerdo de forma inseparable y su firma implica también la firma del encargo.  
5. Todo acuerdo en el que participe la Universitat incluirá siempre una cláusula de confidencialidad.  
  
Artículo 35. Movilidad en la comunidad universitaria  
1. La Universitat puede tratar datos personales necesarios para realizar estancias formativas de alumnado, profesorado y demás personal de la Universidad en otros centros, instituciones o empresas o, recíprocamente, los datos personales de quienes accedan a la Universitat Jaume I.  
2. Los convenios de movilidad reflejarán las actividades que requiera cada parte participante y las responsabilidades que correspondan a cada una en relación con las actividades de tratamiento que se les atribuya.  
3. Se velará porque se asegure el cumplimiento de la normativa europea de protección de datos en las transferencias internacionales de datos personales que fuera necesario efectuar, aun cuando la contraparte no se encuentre dentro del Espacio Económico Europeo.  
  
Artículo 36. Prácticas externas  
1. La Universitat tratará datos personales para la gestión de las prácticas externas, tales como datos identificativos, imagen, voz o cualquier otro que se pueda vincular con una persona, exclusivamente para las finalidades propias de las prácticas y no se comunicarán a terceros por ningún medio. Las empresas o entidades colaboradoras conservarán solo los datos que necesiten y durante el tiempo necesario para informar sobre esas prácticas.  
2. Se guardará confidencialidad sobre la información y los datos personales que se conozcan durante la realización de las prácticas, de modo tal que para su acceso se debe obtener autorización de las supervisoras o supervisores, y estar en disposición de demostrarlo.  
3. No se someterá al personal de las empresas o instituciones donde se realicen las prácticas, o a quien den servicio, a test, pruebas o evaluaciones de cualquier tipo que no sean autorizadas y controladas por las personas que supervisen los destinos ni hacer fotografías, vídeos o grabación de sonidos no previstos entre las finalidades propias de las prácticas.  
4. En la documentación que se genera como consecuencia de las prácticas, tales como informes, trabajos, memorias, u otros, no se puede identificar al personal del destino de las prácticas con ningún dato de carácter personal, a excepción de las personas responsables de la tutorización de esas prácticas.  
  
Artículo 37. Venta y distribución comercial  
1. El tratamiento de datos personales que requiera la venta y distribución comercial de las publicaciones, entradas y de los productos oficiales de la Universitat tiene por objeto gestionar las compras que a través de dicha plataforma efectúen las personas, teniendo su base de habilitación en la relación jurídica establecida en la adquisición del producto o servicio.  
2. Se podrá ofrecer la posibilidad de recibir información comercial con ofertas y novedades comercializadas por la Universitat legitimada en el consentimiento previo de la persona titular de los datos.  
  
Artículo 38. Gestión de eventos  
1. El tratamiento de datos personales necesario para la celebración presencial o a distancia de eventos, tales como congresos y jornadas, concursos, premios y eventos análogos tiene como finalidad la gestión de las diferentes fases del evento tales como la invitación, inscripción, desarrollo y emisión de certificados, así como su difusión pública por medios físicos o telemáticos y su uso promocional.  
2. La participación de la persona en el evento de que se trate irá precedida de la información necesaria en materia de protección de datos personales.  
3. El tratamiento de los datos personales necesarios para la inscripción y participación en el evento se basa en el desarrollo de una misión en interés público por la difusión de la cultura y el conocimiento.  
  
4. Se debe recabar el consentimiento expreso de las personas que participen activamente para la obtención y difusión de imágenes, vídeos o audios en los que aparezcan.  
5. La Universitat no se hace responsable de las actividades individuales de captación y difusión de material audiovisual realizadas por las personas asistentes a un evento y que responderán de las consecuencias legales que se deriven por el inadecuado tratamiento de datos personales, de los derechos de imagen o cualquier otra normativa de aplicación.  
  
Artículo 39. Acciones de divulgación  
1. La Universitat puede utilizar la información de contacto de las personas asistentes a eventos para el envío de información y difusión de otros eventos vinculados a los previamente participados cuando obtenga el consentimiento de dichas personas.  
2. Las acciones de comunicación institucionales se rigen por los principios y procedimientos del Plan de comunicación de la Universitat y respetará el Código ético propio. Se distinguirá de manera clara la posición e información particular de la institucional en el uso de redes sociales o en la presencia pública.  
  
  
CAPÍTULO IV  
Tratamiento de datos personales en los servicios de gestión  
  
Artículo 40. Gestión económica  
1. Además de la gestión de datos personales vinculados a la gestión docente, académica y de investigación, la Universitat trata el conjunto de datos personales para tareas propias de la gestión administrativa, económica y financiera de su actividad relativos o derivados de la prestación de sus servicios, las relaciones con proveedores de servicio, transacciones vinculadas a la actividad de la Universitat, el desarrollo y ejecución de contratos y licitaciones, el cumplimiento de obligaciones legales y cualesquiera otras actuaciones requeridas para la administración de la institución.  
2. La gestión de estos datos se efectúa en cumplimiento de sus obligaciones y ejercicio de derechos de la Universitat que legitiman estas actividades de tratamiento.  
  
Artículo 41. Gestión de personal  
1. El tratamiento de datos relativos al personal empleado en activo y jubilado de la Universitat tiene por objeto el desarrollo y gestión de la relación laboral y el cumplimiento de las obligaciones legales en relación al personal y que habilitan el tratamiento de dichos datos.  
2. Cualesquiera otros tratamientos de datos para la realización de actividades vinculadas a la prestación de la relación laboral o el cumplimiento de obligaciones legales se sustentan en alguno o algunos de los títulos o bases jurídicas habilitantes del tratamiento de datos establecido en la normativa de protección de datos de lo que la persona será informada a través de los canales que la Universitat tenga establecidos para la comunicación con el personal de la institución.  
3. La Universitat publicará datos personales del personal docente e investigador (PDI) y del personal de administración y servicios (PAS) relativos a su participación en la organización vinculada a su actividad.  
Se facilitarán los datos de contacto relativos al nombre y apellidos, perfil profesional del puesto de trabajo, teléfono y dirección de correo corporativos en la Universitat proporcionados por esta, así como el horario de clases o tutorías, en caso del personal docente e investigador. Se puede obviar esta publicación de datos personales, parcial o totalmente, en cumplimiento de una obligación legal que se aplique a la Universitat.  
  
Artículo 42. Gestión de datos personales de salud  
1. En el diseño de actividades que comporten un tratamiento de datos personales de salud se priorizará la entrega y custodia de este tipo de datos a la unidad responsable de la vigilancia y prevención de la salud, quien puede delegar en otros servicios de la Universitat que estén estrictamente vinculados, por razón de su competencia, con el tratamiento de datos de salud que requiera la específica actividad que desarrollen. Se favorecerá la entrega de un informe básico con los datos reducidos.  
2. Los datos personales relativos a bajas médicas, situaciones de conciliación familiar y otros procedimientos habituales del área de recursos humanos se reducirán a los mínimos imprescindibles para poder realizarse. Los datos personales incluirán, tanto los propios de la persona interesada, como los de terceras personas relacionadas que lo autoricen y que puedan ser necesarios para el desarrollo del procedimiento.  
3. Los datos personales relativos a necesidades específicas de apoyo educativo o necesidades de adaptación al puesto de trabajo que estén relacionadas con el Plan de atención a la diversidad serán compartidos y su tratamiento será delegado a la unidad organizativa responsable de llevar a cabo dicho plan.  
4. Los datos personales relativos al desarrollo de planes de prevención de riesgos laborales aplicables a las circunstancias individuales o colectivas del personal laboral de la Universitat se limitarán al conjunto mínimo posible y no serán compartidos salvo necesidad para poder desarrollar correctamente el Plan o por obligación legal.  
5. Los datos personales de salud y cualquier otro dato personal relacionado que sea necesario dentro de un contexto de emergencia sanitaria, pandemia, desastre natural u otros similares serán tratados por la unidad responsable de la vigilancia y prevención de la salud, que se coordinará con los organismos e instituciones encargadas legalmente de su gestión. Se comunicarán a las instituciones y organismos implicados los datos mínimos que permitan su correcto funcionamiento y coordinación, así como a las diferentes unidades organizativas de la Universitat estrictamente vinculadas, por razón de su competencia, con el tratamiento de datos de salud.  
6. Los servicios sanitarios relativos a los reconocimientos médicos preventivos ofrecidos a la plantilla de personal trabajador de la Universitat serán llevados a cabo por empresas externas sin que haya comunicación de su resultado a la Universidad ni consiguiente tratamiento de datos por esta.  
7. La Universitat puede autorizar la creación de unidades de asistencia sanitaria, reconocidas oficialmente por la conselleria competente en materia de salud, para ejercer otros servicios complementarios a los descritos y que puedan tener vínculos con actividades investigadoras de los diferentes grupos de investigación de la Universitat. En este caso, los posibles datos personales de salud serán responsabilidad de dicho servicio sanitario o del grupo de investigación asociado y cada uno deberá cumplir con las obligaciones propias de cada tipo de actividad conforme a los procedimientos establecidos internamente por la Universitat.  
  
Artículo 43. Servicios complementarios  
1. Esta categoría engloba aquellos servicios adicionales ofrecidos por la Universitat y relativos a diversas actividades artísticas, culturales, deportivas, recreativas y de responsabilidad social, y que constituyen servicios complementarios para la comunidad universitaria y accesorios a la actividad docente y académica, tales como el servicio de biblioteca y préstamo interbibliotecario, servicio editorial, reserva de espacios y/o de materiales, actividades deportivas, capacitación de lenguas, guía de profesorado experto, voluntariado o antiguo alumnado, sin perjuicio de cualesquiera otros que pudieran desarrollarse en el futuro.  
2. También integran esta consideración los servicios que se ofrecen a la ciudadanía en general, tales como la difusión de la oferta formativa y cultural de la Universitat, el fomento y apoyo a la investigación, la cultura y la educación o la promoción de la actividad de la Universitat, así como la atención a consultas de la ciudadanía o visitas a sus instalaciones.  
3. La prestación del servicio a la persona interesada irá precedida de la información necesaria en materia de protección de datos específicamente vinculada al servicio de que se trate.  
  
Artículo 44. Antiguos miembros de la comunidad universitaria  
1. La Universitat dispone de diversos programas dirigidos al alumnado y personal que haya finalizado su vínculo. Estos programas tienen por objeto mantener la relación con la institución, facilitar la inserción laboral y mejora profesional, y difundir la oferta formativa, académica, científica y cultural mediante el envío de información relacionada con la organización de encuentros, actos de graduación y actividades sociales y culturales.  
2. El tratamiento de los datos personales del antiguo alumnado y personal que voluntariamente se hubiera adherido a alguno de estos programas estará legitimado en la prestación de los servicios asociados a dichos programas.  
3. Los programas dispondrán de los medios necesarios para que las personas adheridas puedan seleccionar el tipo de actividades que les son de interés dentro del marco del programa. La Universitat solo enviará información sobre estas actividades y evitará el envío indiscriminado.  
  
4. El tratamiento de datos personales del estudiantado y personal que ya haya abandonado la Universitat y no esté inscrito en ninguno de los programas queda restringido a los supuestos previstos por la legislación.  
  
  
CAPÍTULO V  
Órganos colegiados y publicación de datos  
  
Artículo 45. Órganos colegiados  
1. La Universitat tratará los datos personales de quienes participen en los diferentes órganos colegiados con las condiciones establecidas en la normativa administrativa vigente.  
2. Se debe informar de las condiciones de dicho tratamiento de forma previa a las personas que pertenezcan a los órganos colegiados, sin necesidad de recabar su consentimiento.  
3. Las grabaciones que se produzcan durante la realización de las sesiones del órgano colegiado formarán parte del acta y serán accesibles por parte de las personas participantes. Se le dará difusión idéntica al ámbito de comunicación del órgano.  
  
Artículo 46. Publicación de datos personales en procesos de concurrencia competitiva   
1. Cuando sea obligatoria la publicación de un acto administrativo que contuviese datos personales, se identificará a la persona interesada mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de personas estas cifras aleatorias deben alternarse.  
Se publicará el documento identificativo (documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de las personas) siguiendo la Orientación para la aplicación provisional de la disposición adicional séptima de la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, aprobada por la Agencia Española de Protección de Datos, salvo en aquellos supuestos en los que legalmente no se exija la publicación del número del documento identificativo, en cuyo caso se omitirá este dato personal, o exista una coincidencia de nombre y apellidos y, por tanto, estaría justificada la inclusión también del segundo elemento identificador.  
2. La publicación debe realizarse de manera que no suponga un acceso indiscriminado a la información a cuyos efectos se realizará en los medios adecuados a cada procedimiento y se retirará la publicación una vez hayan transcurridos los plazos legales.  
3. En ningún caso se publicará información relativa a circunstancias personales, familiares o sociales, salvo que sea estrictamente necesaria para garantizar la transparencia de la actividad relacionada con el funcionamiento y control de la actuación pública o venga expresamente dispuesto en norma de rango legal.  
4. En caso de que en la información que se publique haya categorías especiales de datos u otro tipo de datos protegidos por normativa específica, debe preservarse su confidencialidad.  
  
  
  
TÍTULO IV  
Seguridad y garantía en el tratamiento de datos personales de la Universitat  
  
Artículo 47. Seguridad en las actividades de tratamiento de datos personales  
La Universitat Jaume I, como universidad pública, garantizará el cumplimiento del Esquema Nacional de Seguridad en todas sus actividades de tratamiento de datos personales. Este cumplimiento se verificará mediante auditorías concurrentes con las de conformidad en materia de protección de datos.  
Cuando una tercera parte preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.  
De conformidad con la política de seguridad de la información aprobada por la Universitat, se establece una segregación de funciones, en relación con la organización de la seguridad de la información, que distingue entre responsable de la información, responsable del servicio y responsable de seguridad conforme a la siguiente separación de funciones:  
Es responsable de la información el secretario o secretaria general de la Universitat.  
Es responsable del servicio el vicerrector o vicerrectora competente en materia de tecnología de la información como responsable de garantizar la prestación de servicios en condiciones óptimas de disponibilidad, accesibilidad e interoperabilidad, y cumplir las directrices del sistema de gestión de la seguridad de la información.  
Es responsable de seguridad la persona titular de la Gerencia con la obligación de velar por la seguridad de la información, de los servicios prestados por los sistemas de información y dirigir el sistema de gestión de su seguridad, de acuerdo con lo establecido en la política de seguridad y normativa vigente que sea aplicable, y que delegará sus funciones en la Oficina de Innovación y Auditoría TI.  
Es responsable de auditoría de tecnologías de la información quien dirija la Oficina de Innovación y Auditoría TI.  
Es responsable del sistema quien dirija el Servicio de Informática, que puede delegar funciones en las y los administradores de seguridad que existirán, al menos, en las áreas de sistemas y microinformática, comunicaciones y sistemas de información, explotación y desarrollo.  
Es responsable de la coordinación de la seguridad de la información el Comité de Seguridad de la Información, que dirigirá la estrategia corporativa en materia de tecnologías de la información.  
Es responsable de velar por la organización del proceso tecnológico de la Universitat la Comisión Técnica de Proyectos, que tiene la finalidad de analizar el impacto y coordinar las iniciativas concretas dirigidas a evitar disfunciones que puedan propiciar errores o puntos débiles en los sistemas, tanto en el ámbito organizativo, como técnico.  
El responsable de la información, según el Esquema Nacional de Seguridad, se corresponde con el responsable del tratamiento definido en el Reglamento general de protección de datos.  
El responsable del servicio, el responsable de seguridad y el responsable del sistema, junto con las y los administradores de seguridad y el resto de personal técnico velarán por el establecimiento y mantenimiento de las medidas técnicas, humanas y organizativas que permitan realizar las actividades de tratamiento de datos personales con las garantías exigibles en la normativa vigente.  
  
Artículo 48. Gestión de registros electrónicos de actividad de usuarios (logs)  
1. Con la finalidad exclusiva de garantizar la seguridad de los sistemas de información de la Universitat, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los miembros de la comunidad universitaria, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, la Universitat registrará las actividades de los usuarios de dichos sistemas de información y retendrá la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, para permitir identificar en cada momento a la persona que actúa.  
2. La Universitat dispondrá de un inventario de todos los registros de actividades de usuario, con sus características. Este inventario se mantendrá actualizado dentro del sistema de gestión de seguridad de la información.  
3. Los administradores de seguridad de los sistemas de información tendrán la responsabilidad de mantener el inventario actualizado y garantizarán que no se almacena ningún registro de actividad de usuario que no forme parte del mismo.  
4. El periodo de conservación de los datos personales del registro es de un año. Una vez transcurrido dicho periodo, los datos serán borrados. En los casos en que el borrado no sea técnicamente viable, y con la aprobación del responsable del tratamiento, se procederá al bloqueo de dichos datos.  
  
Artículo 49. Seguridad y confidencialidad de la información  
Los datos serán tratados de forma confidencial y estarán sometidos a medidas técnicas y organizativas de seguridad adecuadas para evitar su alteración, pérdida, tratamiento o acceso no autorizado a cuyos efectos el tratamiento de datos se efectuará conforme a los procesos internos de seguridad adoptados por la Universitat.  
Todo el personal de la Universitat y quienes intervengan en cualquier fase del tratamiento de los datos personales están obligados a guardar confidencialidad respecto de los datos personales a que tengan acceso y conocimiento, aún después de finalizar su relación con la Universitat.  
Se desarrollarán y mantendrán normas de uso de los recursos informáticos y de comunicaciones que garanticen la seguridad y protección de los datos personales requeridos por la legislación vigente.  
Estas normas deben estar enmarcadas en la política de seguridad de la información y sus procedimientos se incorporarán al sistema de gestión de seguridad de la información, que han de estar siempre actualizados.  
  
Artículo 50. Seguridad en los equipos y sistemas de información que traten datos personales  
Todos los equipos, dispositivos y sistemas de información de la Universitat que traten datos personales deben cumplir con las obligaciones legales aplicables en materia de protección de datos y de seguridad.  
El equipamiento informático y de comunicaciones de la Universitat cumplirá con los requisitos de seguridad definidos en el sistema de gestión de seguridad de la información, tanto el que gestione la Universitat, como el que tenga su gestión delegada.  
Se dispondrá de políticas y procedimientos específicos para definir un nivel de seguridad equivalente en el caso de equipos y dispositivos de terceras partes que se deban integrar en o utilizar los recursos de la Universitat, como en el caso de personal que utilice equipamiento propio para realizar sus funciones o dispositivos conectados a la red de la Universitat.  
Todos estos recursos deben estar correctamente administrados y configurados. Se impedirá el acceso o uso no autorizado de dichos datos y del equipo utilizado en el tratamiento.  
  
Artículo 51. Garantía de los derechos digitales en el uso personal de recursos corporativos  
1. Los recursos informáticos y la información que contienen deben ser utilizados únicamente para actividades de producción, desarrollo, investigación y docencia relacionadas con la Universitat y de forma que no interfieran la actividad de los miembros de la comunidad universitaria. Queda prohibido el uso para finalidades distintas como pueden ser la comercial, de propaganda u otros.  
2. La cuenta corporativa de correo electrónico y los servicios digitales que proporciona la Universitat a toda la comunidad universitaria con quien tiene vínculo estable son herramientas profesionales cuya titularidad recae en la institución.  
3. Toda la información generada por las personas con vínculo activo en el desempeño de sus funciones debe ubicarse en el sistema de información y herramientas corporativas de la UJI.  
4. La Universitat protegerá la intimidad de las personas en el uso de los dispositivos digitales puestos a su disposición.  
5. La Universitat puede acceder a los contenidos derivados del uso de los recursos corporativos facilitados para controlar el cumplimiento de las obligaciones laborales, garantizar la integridad de dichos dispositivos o atender una obligación legal.  
6. La Universitat establecerá criterios para el uso de estos dispositivos que estarán acordados con la representación de las personas trabajadoras. Se informará de estos criterios a las personas que utilicen los recursos.  
7. Se establecerán instrucciones específicas y protocolos de actuación para gestionar dichos contenidos cuando se produzca una finalización del vínculo con la UJI.  
  
Artículo 52. Garantía de derechos digitales en la videovigilancia y seguridad  
1. La Universitat trata los datos personales necesarios para garantizar la seguridad de las personas, bienes e instalaciones de la institución a través de cámaras y/o videocámaras, así como para el control de acceso al interior de sus edificios, instalaciones y dependencias.  
2. Con esta finalidad pueden captarse imágenes en la vía pública o lugares de tránsito público dentro de las instalaciones de la Universitat tales como accesos o pasillos.  
3. En ningún caso se instalarán cámaras o videocámaras en espacios protegidos por el derecho a la intimidad como aseos o vestuarios.  
4. Las altas, bajas o modificaciones en la instalación de dispositivos de videovigilancia deben contar con la aprobación previa de la Comisión de Control de los Dispositivos de Videovigilancia.  
5. Se creará y mantendrá actualizada una relación de los dispositivos de videovigilancia que sean responsabilidad de la Universitat o se encuentren en sus instalaciones.  
  
  
DISPOSICIONES ADICIONALES  
  
Primera  
El contenido del presente Reglamento ha sido elaborado respetando el uso inclusivo del lenguaje de conformidad con la Ley orgánica 3/2007, de 22 de marzo, para la igualdad efectiva de mujeres y hombres, a excepción de la mención literal a conceptos únicamente recogidos en género masculino en la normativa de aplicación.  
  
Segunda  
Se autoriza a la Secretaría General para dictar las instrucciones y circulares que resulten necesarias para el desarrollo y ejecución del presente Reglamento.  
  
  
DISPOSICIÓN DEROGATORIA  
  
Única  
Queda derogada cualquier disposición de igual o inferior rango aprobada por la Universitat Jaume I que contradiga lo establecido en el presente Reglamento.  
  
  
DISPOSICIÓN FINAL  
  
Única  
El presente reglamento entrará en vigor el día siguiente al de su publicación en el Diari Oficial de la Generalitat Valenciana.  
  
Castelló de la Plana, 28 de octubre de 2021.- La secretaria del Consejo de Gobierno: Cristina Pauner Chulvi.