Diari Oficial de la Generalitat Valenciana




DOGV – Disposició
=================

Compartir

Compartir

Tornar

Guardar el document Descarregar les metadades en format XML

Sumari del DOGV 9219, del 19-11-2021 (2021/11313)

ACORD de 28 d'octubre de 2021, del Consell de Govern de la Universitat Jaume I, pel qual s'aprova el Reglament de protecció de dades i garantia de drets digitals de la universitat.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Dades del document

Número de DOGV
:   9219

Data del DOGV
:   19-11-2021

Secció del DOGV
:   III. ACTES ADMINISTRATIUS - C) ALTRES ASSUMPTES

Número del document
:   2021/11313

CVE


Data del document
:   28-10-2021

Organisme emissor
:   Universitat Jaume I de Castelló

Tipus de document
:   Acord

Anàlisi jurídica

ACORD de 28 d'octubre de 2021, del Consell de Govern de la Universitat Jaume I, pel qual s'aprova el Reglament de protecció de dades i garantia de drets digitals de la universitat. [2021/11313]  
Reglament de protecció de dades i garantia de drets digitals de la Universitat Jaume I  
  
Exposició de motius  
  
I. Marc normatiu  
L'actual marc normatiu es materialitza en el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades, i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades) que ha suposat una fita important en passar d'un model basat en el control del compliment a un altre fonamentat en el principi de responsabilitat activa en el qual la valoració del risc derivat del tractament de dades personals i l'adopció de mesures correctores tècniques o organitzatives recau en l'organització que tracta aquestes dades, alhora que permet que el dret estatal dels estats membres desenvolupe continguts per raons de coherència i perquè les disposicions nacionals siguen comprensibles per a les persones destinatàries.  
Aquesta previsió del Reglament general de protecció de dades es manifesta en els continguts de la Llei orgànica 3/2018, de 5 de desembre, que passa de ser la norma reguladora de dades personals a norma reguladora de la protecció de dades i garantia de drets digitals (LOPDGDD) que té per objecte: (1) adaptar l'ordenament jurídic espanyol al Reglament general de protecció de dades i completar les seues disposicions, i (2) garantir els drets digitals de la ciutadania, en una nova referència que té com a objectiu la protecció de les persones que fan ús de les eines digitals i que permeten que puguen comunicar-se amb altres individus sense afectació a la intimitat i la privacitat.  
  
Aquest context normatiu permet emparar mesures específiques enfront d'urgències i situacions excepcionals com les derivades d'emergències sanitàries sobre la base de la protecció d'interessos vitals, l'interès públic essencial, la medicina preventiva o laboral, el diagnòstic mèdic, l'assistència sanitària o salut pública, que poden determinar, per raons de seguretat, la manera d'actuar en la gestió docent i acadèmica en la mesura que aquesta requereix l'adaptació a l'alumnat o al professorat amb necessitats especials, la investigació, el teletreball i el treball en remot, i també pràctiques que han de complir amb els principis i deures en matèria de protecció de dades.  
  
II. Compromís i compliment normatiu  
La Universitat Jaume I sempre ha sigut sensible al compliment normatiu en aquesta matèria per a la qual cosa ha aprovat i implementat normativa interna reguladora del tractament de dades personals.  
De conformitat amb els Estatuts de la Universitat Jaume I, aprovats pel Decret 95/2021, de 9 de juliol, del Consell de la Generalitat (DOGV 9128/25.07.2021), la Universitat, d'acord amb el seu Codi ètic aprovat pel Consell de Govern del 28 de juny de 2017, en les diferents activitats de tractament de dades de les persones físiques que es relacionen i vinculen amb la institució, així com en les seues relacions amb altres administracions i entitats públiques o organitzacions privades, es compromet a complir els drets i llibertats dels usuaris i usuàries en l'ús d'entorns digitals i en la seua investigació; a garantir el compliment dels principis i valors ètics, i la legalitat vigent; a vetlar perquè no es lesionen la privacitat, la reputació o la dignitat de les persones en els entorns digitals, i a fomentar la formació, la transparència en l'ús i la no exclusió per motius de vulnerabilitat.  
  
És per això que, assumint el mandat normatiu del Reglament general de protecció de dades i la LOPDGDD, aquest Reglament regula la forma en què la Universitat tracta les dades personals i constitueix una eina que actualitza la normativa interna desenvolupada per aquesta institució en aquesta matèria i que defineix l'ús de les dades personals al seu àmbit.  
  
III. Estructura del reglament  
Aquest Reglament consta de 52 articles agrupats en cinc títols, dues disposicions addicionals, una disposició derogatòria i una disposició final. El títol preliminar estableix les disposicions generals, principis i criteris generals aplicables al tractament de dades personals a la Universitat; el títol I determina els drets vinculats al tractament de dades personals; el títol II estableix l'estructura orgànica de la Universitat per al tractament de dades personals; el títol III regula el tractament de dades personals en l'àmbit universitari, i finalment el títol IV aborda la seguretat i garantia en el tractament de dades personals a la Universitat.  
  
  
  
TÍTOL PRELIMINAR  
Disposicions, principis i criteris generals aplicables al tractament de dades personals a la Universitat  
  
CAPÍTOL I  
Objecte, àmbit d'aplicació i definicions  
  
Article 1. Objecte  
Aquest Reglament té per objecte regular l'actuació de la Universitat Jaume I (d'ara en avant, la Universitat) en el tractament de les dades personals i els drets digitals per a garantir la seua protecció en tots els seus àmbits d'activitat.  
  
Article 2. Àmbit d'aplicació  
Aquest Reglament és aplicable a totes les activitats que impliquen un tractament de dades personals amb motiu de l'exercici de les funcions que duga a terme la Universitat en l'àmbit de les seues competències, tant en el tractament efectuat, totalment o parcialment, en format automatitzat o manual, com en tota modalitat d'ús posterior d'aquestes dades.  
  
Article 3. Definicions  
A l'efecte d'aquest Reglament, s'entén per:  
a) Dades personals: qualsevol informació sobre una persona física identificada o identificable (persona interessada); es considera persona física identificable qualsevol persona de qui es pot determinar la identitat, directament o indirectament, en particular mitjançant un identificador, com per exemple un nom, un número d'identificació, dades de localització, un identificador en línia o un o diversos elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d'aquesta persona.  
b) Categories especials de dades: són aquelles que revelen l'origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques, o l'afiliació sindical, i el tractament de dades genètiques, dades biomètriques dirigides a identificar de manera unívoca a una persona física, dades relatives a la salut o dades relatives a la vida sexual o l'orientació sexual d'una persona. Són dades personals que mereixen una especial protecció atès que, per la seua naturalesa, són particularment sensibles en relació amb l'afectació als drets fonamentals i les llibertats públiques.  
c) Dades genètiques: dades personals relatives a les característiques genètiques heretades o adquirides d'una persona física, que proporcionen una informació única sobre la seua fisiologia o salut, obtingudes de l'anàlisi d'una mostra biològica d'aquesta persona.  
d) Dades biomètriques: dades personals obtingudes a partir d'un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d'una persona física, que permeten o confirmen la identificació única d'aquesta persona com, per exemple, imatges facials o dades dactiloscòpiques.  
e) Dades relatives a la salut: dades personals relatives a la salut física o mental d'una persona física que revelen informació sobre el seu estat de salut, incloent-hi la prestació de serveis d'atenció sanitària.  
f) Tractament: qualsevol operació o conjunt d'operacions realitzades sobre dades personals o conjunts de dades personals, ja siga per procediments automatitzats o no, com ara la recollida, el registre, l'organització, l'estructuració, la conservació, l'adaptació o la modificació, l'extracció, la consulta, la utilització, la comunicació per transmissió, la difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.  
g) Consentiment: declaració o acte afirmatiu clar que reflectisca la manifestació de voluntat lliure, específica, informada i inequívoca d'acceptar el tractament de dades de caràcter personal que concerneix la persona interessada, que haurà de reflectir-se en forma escrita o en format electrònic i que permeta la seua posterior verificació.  
h) Responsable del tractament o responsable: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que, sol o juntament amb uns altres, determina els fins i els mitjans del tractament.  
i) Encarregat del tractament o encarregat: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que tracta dades personals per compte del responsable del tractament.  
j) Destinatari: persona física o jurídica, autoritat pública, servei o qualsevol altre organisme al qual es comuniquen dades personals, tant si és un tercer com si no.  
k) Tercer: persona física o jurídica, autoritat pública, servei o organisme diferent de la persona interessada, del responsable del tractament, de l'encarregat del tractament i de les persones autoritzades per a tractar les dades personals sota l'autoritat directa del responsable o de l'encarregat.  
l) Violació o bretxa de la seguretat de les dades personals: qualsevol violació de la seguretat que ocasiona la destrucció, la pèrdua o l'alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o l'accés no autoritzats a aquestes dades.  
m) Privacitat des del disseny i per defecte: aplicació, des del moment de determinar els mitjans de tractament, de mesures tècniques i organitzatives apropiades per a fer efectius els principis de protecció de dades, incloent-hi que, per defecte, només siguen objecte de tractament les dades personals que siguen necessàries per a cadascun dels fins específics del tractament.  
n) Transferències internacionals de dades: flux de dades personals des del territori espanyol a destinataris establits a països fora de l'Espai Econòmic Europeu.  
o) Autoritat de control: l'Agència Espanyola de Protecció de Dades (AEPD) és l'autoritat estatal de control independent encarregada de vetlar pel compliment de la normativa sobre protecció de dades en l'activitat de la Universitat Jaume I.  
p) Pseudonimització: el tractament de dades personals de manera que ja no puguen atribuir-se a una persona interessada sense utilitzar informació addicional, sempre que aquesta informació addicional figure per separat i estiga subjecta a mesures tècniques i organitzatives destinades a garantir que les dades personals no s'atribuïsquen a una persona física identificada o identificable.  
  
  
CAPÍTOL II  
Principis i criteris generals aplicables al tractament de dades personals a la Universitat  
  
Article 4. Principis generals aplicables al tractament de dades personals  
Els principis generals aplicables a la gestió de dades personals i als quals ha d'adaptar-se el tractament de dades a la Universitat Jaume I són:  
a) Principi de licitud, transparència i lleialtat, que consisteix en el fet que les dades han de ser tractades sobre la base d'un títol habilitant, oferint la suficient informació sobre el tractament i amb observació de la normativa aplicable.  
b) Principi de limitació de la finalitat que implica, d'una banda, l'obligació que les dades siguen tractades amb una o diverses finalitats determinades, explícites i legítimes i, per una altra, que es prohibeix que les dades recollides amb uns fins determinats, explícits i legítims siguen tractades posteriorment d'una manera incompatible amb aqueixos fins.  
c) Principi de minimització de dades, que implica que les dades siguen adequades, pertinents i limitades a allò necessari en relació amb els fins per als quals són tractades.  
d) Principi d'exactitud, que implica que les dades han de ser exactes i, si calguera, actualitzades; cal adoptar totes les mesures raonables perquè es rectifiquen o suprimisquen les dades inexactes en relació als fins que es persegueixen.  
e) Principi de limitació del termini de conservació que, relacionat amb el de minimització, implica que en la mesura que només poden tractar-se les dades adequades, pertinents i necessàries per a una finalitat, la conservació d'aqueixes dades ha de limitar-se en el temps a l'assoliment dels fins que el tractament persegueix.  
f) Principi d'integritat i confidencialitat, que imposa l'obligació d'actuar proactivament amb l'objectiu de protegir les dades que es manegen enfront de qualsevol risc que amenace la seua seguretat.  
g) Principi de responsabilitat proactiva, segons el qual els responsables aplicaran les mesures tècniques i organitzatives apropiades per a garantir i estaran en condicions de demostrar que el tractament de dades personals es duu a terme de conformitat amb la normativa de protecció de dades vigent.  
  
Article 5. Informació relativa al tractament de dades personals  
La Universitat ha de proporcionar i facilitar a les persones la informació necessària perquè coneguen la finalitat del tractament per al qual es recapten les dades de manera precisa, comprensible i fàcilment accessible al moment de la recollida.  
En concret, ha d'informar les persones del seu deure de facilitar a la institució dades exactes i veraces, i del seu dret a rectificar-les, i ha de garantir l'autenticitat de les dades que aporte referides a la seua persona o a terceres persones i responsabilitzar-se de les manifestacions falses o inexactes que realitze, particularment respecte de la comunicació d'informació relativa a terceres persones, per a la qual ha de comptar amb la seua autorització, i respondre així mateix dels perjudicis que en aquest cas cause a la institució o a aquestes persones.  
Així mateix, s'ha d'informar les persones sobre la identitat del responsable del tractament, les dades de contacte de la seua delegada o delegat de Protecció de Dades i la resta d'aspectes previstos en la normativa aplicable.  
Aquest contingut informatiu s'ha de recollir en tots els seus formats documentals o en línia, així com en l'atenció presencial o telefònica en què es recullen dades personals i s'ha d'anteposar a la resta de tràmits de l'actuació que se seguisca.  
  
Article 6. Títols habilitants per al tractament de dades personals  
  
1. Els tractaments de dades personals per part de la Universitat necessaris per a l'exercici de les seues funcions pròpies es basen, en general, en el títol habilitant de l'interès públic. Aquesta habilitació no requereix el consentiment de la persona interessada per a la gestió de les seues dades personals.  
2. En els supòsits en què el títol habilitant no siga l'interès públic, el tractament de les dades s'empararà en algun dels títols següents:  
  
Execució d'un contracte o precontracte d'una relació negocial, laboral o administrativa i siguen necessàries per al seu manteniment o compliment.  
Satisfacció de l'interès legítim perseguit per la Universitat.  
Compliment d'obligacions legals aplicables a la Universitat.  
Consentiment de la persona interessada, entès com a manifestació de voluntat lliure, específica, informada i inequívoca per la qual accepta el tractament de les seues dades personals.  
Protecció de l'interès vital de la persona interessada.  
3. Quan el tractament de les dades personals implique l'ús de categories especials es disposarà de l'habilitació necessària entre les següents:  
Consentiment explícit de la persona interessada.  
Compliment d'obligacions i l'exercici de drets específics de la Universitat en l'àmbit del dret laboral i de la seguretat i protecció social.  
  
Protecció d'interessos vitals de la persona interessada o d'una altra persona física.  
Dades personals que la persona interessada ha fet manifestament públics.  
Formulació, exercici o defensa de reclamacions, o quan els tribunals actuen en exercici de la seua funció judicial.  
Interès públic essencial.  
Fins de medicina preventiva o laboral, avaluació de la capacitat laboral de treballadores i treballadors, diagnòstic mèdic, prestació d'assistència o tractament de tipus sanitari o social, o gestió dels sistemes i serveis d'assistència sanitària i social.  
Interès públic en l'àmbit de la salut pública.  
Arxiu en interès públic, fins d'investigació científica, històrica o fins estadístics.  
  
Article 7. Ús secundari de les dades personals  
El tractament de dades personals amb finalitats diferents d'aquelles per a les quals van ser inicialment recaptades només serà admissible quan siga compatible amb les finalitats de la seua recollida inicial tenint en compte la relació entre ambdues, el context en el qual es van recollir les dades i totes aquelles altres circumstàncies que hagueren pogut generar a les persones una expectativa raonable que les seues dades pogueren ser utilitzades per a una finalitat diferent a la inicial.  
Les operacions de tractament ulterior amb finalitats d'arxiu en interès públic, fins d'investigació científica i històrica o fins estadístics, es consideren operacions de tractament lícites compatibles.  
  
Article 8. Conservació de la informació, bloqueig i supressió de dades personals  
Les dades personals han de ser mantingudes de manera que es permeta la identificació de les persones durant el temps necessari per a gestionar les activitats del tractament i d'acord amb les seues finalitats.  
Les dades personals han de ser suprimides quan deixen de ser necessàries o pertinents per a les finalitats per a les quals es van recaptar. La supressió implica el bloqueig de les dades pel temps necessari per a donar resposta davant reclamacions i responsabilitats, i no poden ser tractades per a altres finalitats.  
L'anterior no impedirà la possibilitat de conservar la informació durant períodes més llargs sempre que es tracten exclusivament amb finalitats d'arxiu en interès públic, fins d'investigació científica i històrica o fins estadístics, i sense perjudici de l'aplicació de les corresponents mesures tècniques i organitzatives apropiades.  
En el Registre d'Activitats de Tractament s'ha de ressenyar el període de conservació de la informació aplicable per la Universitat a cada tractament.  
La forma de conservació de les dades per part de la Universitat ha de permetre l'exercici dels drets de la persona interessada i garantir-ne la seguretat.  
  
Article 9. Transferències internacionals de dades personals  
La Universitat únicament realitzarà transferències de dades personals a un tercer país o organització internacional d'acord amb les condicions establides en els contractes acordats entre les parts i ha de garantir un nivell de protecció adequat.  
  
Article 10. Responsabilitat proactiva a la Universitat  
La responsabilitat proactiva comprèn, tant el compliment de la normativa de protecció de dades, com la demostració d'aquest compliment, per a això la Universitat, com a responsable del tractament de dades personals, es compromet a complir les obligacions que a continuació es ressenyen:  
Dotar-se d'un registre d'activitats de tractament com a compendi o conjunt de totes les activitats internes i externes de tractaments de dades personals que efectua la institució.  
Realitzar anàlisis de riscos per a determinar les amenaces que suposa el tractament de les dades personals per als drets i llibertats de les persones i que s'han d'elevar a avaluacions d'impacte en la protecció de dades quan el tractament que es realitze puga comportar un risc alt per a aquells drets i llibertats.  
Incrementar la transparència en la informació relativa al tractament de les dades personals.  
Implantar les mesures tècniques i organitzatives adequades per a garantir la privacitat des del disseny i per defecte.  
Aplicar eines d'anonimització o pseudonimització de dades personals.  
Classificar i organitzar les dades i operacions de tractament sobre la base de perfils d'accés.  
Aplicar el xifratge per defecte de manera que l'estat natural de les dades en cas de pèrdua o robatori siga il·legible.  
Realitzar la destrucció segura i garantida de la informació al final del seu cicle de vida.  
Designar la figura del delegat o delegada de Protecció de Dades.  
Notificar, quan siga procedent, a l'autoritat de control i/o a les persones afectades, les bretxes de seguretat que afecten dades de caràcter personal.  
Definir les obligacions dels proveïdors de serveis contractats per la Universitat que, en la mesura que accedeixen i gestionen dades personals que són responsabilitat de la institució, tindran la consideració d'encarregats del tractament.  
Vigilar el compliment i adequació mitjançant auditories periòdiques internes o externes.  
Qualsevol altra obligació prevista en la normativa aplicable i d'acord amb els avanços tècnics disponibles.  
  
Article 11. Registre d'Activitats de Tractament  
Aquest Registre recull les activitats de tractament efectuades per l'organització i que conté els següents elements:  
Identificació i dades de contacte del responsable, corresponsable del tractament i del delegat o delegada de Protecció de Dades.  
Les finalitats del tractament.  
Categories de persones interessades i categories de dades personals.  
Categories de destinataris als qui es van comunicar o comunicaran les dades personals, incloent-hi els destinataris en tercers països o organitzacions internacionals.  
Les transferències de dades personals a un tercer país o a una organització internacional, si escau.  
Els terminis previstos per a la supressió de les diferents categories de dades, quan siga possible.  
Una descripció general de les mesures tècniques i organitzatives de seguretat, quan siga possible.  
Tots els serveis de la Universitat han de comprovar de manera periòdica que el tractament de dades personals que realitzen és conforme al contingut d'aquest Registre i han de comunicar a la Secretaria General qualsevol discrepància per a procedir a l'actualització del Registre.  
  
S'han de realitzar auditories periòdiques per a comprovar l'exactitud de les dades publicades i si s'ajusten a la realitat.  
  
  
TÍTOL I  
Drets vinculats al tractament de dades personals  
  
Article 12. Dret d'accés  
1. La persona interessada té dret a obtindre del responsable del tractament confirmació de si s'estan tractant dades personals que l'afecten i, si és així, té dret a accedir a aquestes dades i a la informació relativa als fins, destinataris, categories de dades tractades, el seu origen i període de conservació, reclamacions, existència de decisions automatitzades amb les seues conseqüències i a tots els drets addicionals de rectificació, supressió, limitació, oposició i portabilitat.  
2. Quan es transfereixen dades personals a un tercer país o a una organització internacional, la persona interessada té dret a ser informada de les garanties adequades relatives a la transferència.  
3. La Universitat, com a responsable del tractament, ha de facilitar una còpia de les dades personals objecte de tractament. Per a qualsevol altra còpia que sol·licite la persona interessada, la responsable té dret a percebre un cànon raonable basat en els costos administratius. Quan la persona interessada presente la sol·licitud per mitjans electrònics, i llevat que sol·licite que es faça d'una altra manera, la informació s'ha de facilitar en un format electrònic d'ús comú.  
  
Article 13. Dret de rectificació i supressió  
1. La persona interessada té dret a obtindre de la Universitat, com a responsable del tractament, la rectificació de les dades personals inexactes que l'afecten, sense dilació indeguda. Tenint en compte les finalitats del tractament, la persona interessada té dret al fet que es completen les dades personals incompletes, fins i tot mitjançant una declaració addicional.  
2. La persona interessada té dret a obtindre del responsable del tractament, sense dilació indeguda, la supressió de les dades personals que l'afecten. El responsable les ha de suprimir quan les dades ja no són necessàries o s'han tractat de manera il·lícita, quan la persona interessada retira el consentiment o s'oposa al tractament i no queda base jurídica que l'empare, quan s'ha de complir una obligació legal o les dades s'obtenen en relació amb l'oferta de serveis de la societat de la informació.  
3. Si el responsable del tractament ha fet públiques les dades personals i està obligat a suprimir-les, s'adoptaran mesures raonables per a informar els responsables que estan tractant aquestes dades de la sol·licitud de supressió de la persona interessada.  
4. L'anterior no s'aplicarà, entre altres supòsits, quan el tractament siga necessari per a complir una obligació legal, per raons d'interès públic o amb finalitats d'arxiu en interès públic, d'investigació científica o fins estadístics.  
  
Article 14. Dret de limitació  
1. La persona interessada té dret a obtindre del responsable del tractament la limitació del tractament de les dades:  
En casos d'impugnació de l'exactitud de les dades.  
Quan el tractament és il·lícit i la persona interessada s'oposa a la supressió, i quan la persona interessada necessita mantindre les dades per a formular o exercir reclamacions.  
Mentre es verifica si els motius legítims del responsable prevalen sobre els de la persona interessada, si la persona interessada s'oposa al tractament.  
2. En aquestes situacions, amb excepció de la seua conservació, les dades només es poden tractar amb el consentiment de la persona interessada, o per a formular, exercir o defensar reclamacions, o per a protegir els drets d'una altra persona física o jurídica, o per raons d'interès públic important de la Unió Europea o d'un determinat estat membre. Abans d'eliminar la limitació el responsable informarà la persona interessada d'aquesta situació.  
  
Article 15. Dret de portabilitat  
1. La persona interessada té dret a rebre, en un format estructurat, d'ús comú i de lectura mecànica, les dades personals que li afecten i que ha facilitat a un responsable del tractament. Té dret a transmetre-les a un altre responsable, sense que ho impedisca el responsable a qui les havia facilitades, quan el tractament està basat en el consentiment o en un contracte i el tractament s'efectua per mitjans automatitzats. Quan tècnicament siga possible, el responsable ha de transmetre directament les dades personals.  
2. Aquest dret no s'aplica al tractament necessari per a complir una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable del tractament.  
  
Article 16. Dret d'oposició  
1. La persona interessada té dret a oposar-se al fet que les dades personals que li afecten siguen objecte d'un tractament. El responsable del tractament ha de deixar de tractar aquestes dades personals, llevat que acredite motius legítims imperiosos per al tractament que prevalguen sobre els interessos, els drets i les llibertats de la persona interessada, o per a la formulació, l'exercici o la defensa de reclamacions.  
2. Si les dades personals es tracten amb finalitats d'investigació científica o històrica o amb finalitats estadístiques, per motius relacionats amb la seua situació particular, la persona interessada té dret a oposar-se al tractament de dades personals que li afecten, llevat que siga necessari per a complir una missió realitzada per raons d'interès públic.  
  
Article 17. Procediments per a exercir els drets  
1. Els drets d'accés, rectificació o supressió, limitació, portabilitat i, si escau, d'oposició tenen caràcter personal, per la qual cosa només pot exercir-los la persona afectada. Podrà, no obstant això, actuar el seu representant legal en els casos previstos per la legislació vigent.  
  
2. Pot exercir els seus drets dirigint-se a la Secretaria General de l'UJI mitjançant el Registre Electrònic o a l'Oficina d'Informació i Registre (InfoCampus).  
3. Així mateix, la persona pot obtindre informació addicional sobre els seus drets o presentar una reclamació, si ho considera oportú, davant l'Agència Espanyola de Protecció de Dades.  
4. Posteriorment a la presentació de l'escrit de la persona interessada en el Registre, o la seua recepció per un altre mitjà vàlid en dret, i la seua remissió a l'òrgan al qual vaja dirigida, els responsables interns dels tractaments afectats, una vegada comprovada la pertinència de la sol·licitud, han d'adoptar les mesures conduents a satisfer la petició.  
5. Es notificaran els resultats de la sol·licitud cursada mitjançant resolució de la Secretaria General en el termini màxim d'un mes. En cas de tractar-se d'una petició complexa el termini pot ser de fins a tres mesos i ha de notificar-se aquesta ampliació a la persona interessada.  
6. El responsable del tractament ha de comunicar a cadascun dels destinataris a qui s'ha comunicat les dades personals qualsevol rectificació o supressió de dades personals o limitació del tractament, llevat que siga impossible o exigisca un esforç desproporcionat. Si la persona interessada ho sol·licita, el responsable l'informarà sobre aquests destinataris.  
  
  
TÍTOL II  
Estructura orgànica de la Universitat per al tractament de dades personals  
  
Article 18. Responsable del tractament  
Conforme a la normativa de protecció de dades, la Universitat és la responsable de totes les activitats de tractament de dades personals com a entitat que determina els fins i mitjans del tractament.  
La figura de responsable del tractament se centralitza en la persona que dirigeix la Secretaria General de la Universitat, segons el que es preveu en els Estatuts d'aquesta.  
  
Article 19. Responsables interns del tractament  
Per al desenvolupament habitual de les activitats de tractament de dades personals el responsable delegarà la gestió ordinària en les figures dels responsables interns. Els responsables interns han de retre comptes al responsable, seran identificats en el Registre d'Activitats de Tractament i col·laboraran en la tramitació de les sol·licituds d'exercici de drets dels subjectes interessats.  
Són responsables interns les persones que dirigeixen les diferents unitats organitzatives i que, en el compliment de les seues tasques administratives, necessiten tractar dades de caràcter personal. Han de vetlar perquè el tractament s'ajuste en tot moment al que es preveu en la Llei, així com assegurar-se de l'establiment i compliment de les disposicions de seguretat adequades.  
En el cas dels tractaments sota la responsabilitat de grups d'investigació, la responsabilitat interna l'exerceix l'investigador o investigadora principal, o la persona en qui delegue.  
  
Article 20. Encarregats del tractament  
1. En aquells casos en què la Universitat preste serveis per a altres organitzacions també pot ser considerat encarregat del tractament, recaient la responsabilitat interna en l'òrgan o unitat administrativa que millor puga realitzar les accions concretes de cada encàrrec o en la figura de l'investigador principal o responsable del grup d'investigació que, si escau, haguera rebut l'encàrrec.  
2. En tot cas, la condició de responsable o encarregat s'avaluarà respecte de les activitats de tractament desenvolupe la Universitat, igual que la determinació de responsabilitats de tractament en aquelles activitats que es realitzen conjuntament amb altres organitzacions, tot això de conformitat amb els processos de contractació que regeixen en aquesta universitat.  
3. La Universitat garanteix les condicions adequades per al tractament de dades personals i ha de definir en el corresponent contracte d'encàrrec de tractament les obligacions relatives al tractament de dades personals que competeix complir als proveïdors de serveis encarregats del tractament, així com a les activitats derivades de col·laboracions entre la Universitat i el sector empresarial previstes en l'article 83 de la Llei orgànica 6/2001,d'Universitats, compres, contractes (fins i tot els de serveis docents o de formació), ajudes, convenis o projectes, amb continguts específics de confidencialitat i privacitat en aquelles activitats que puguen presentar la possibilitat incidental d'accedir a informació d'accés restringit.  
4. Les unitats organitzatives o grups d'investigació que reben o gestionen un encàrrec de tractament de terceres parts han d'informar d'aquesta situació a la Secretaria General per a facilitar-ne el registre i mantindre actualitzada aquesta informació.  
Article 21. Corresponsables del tractament  
1. En aquells supòsits en què la Universitat determine, conjuntament amb una altra organització, els fins i els mitjans d'un tractament de dades personals, serà corresponsable del tractament.  
2. A aquest efecte es formalitzarà entre els corresponsables un acord que determine les funcions que corresponen a cadascun respecte al tractament i els procediments i mecanismes que s'utilitzaran per a l'exercici dels drets de les persones interessades.  
3. En aquests escenaris, la Universitat serà responsable del tractament de les activitats que li hagen sigut assignades mitjançant l'esmentat acord amb les altres organitzacions participants que, com a tals, estaran obligades a complir la normativa de protecció de dades en tot el que els afecte com a responsables del tractament.  
  
Article 22. Delegat o delegada de Protecció de Dades  
1. La Universitat Jaume I comptarà amb un delegat o delegada de Protecció de Dades que actue com a garant del compliment de la normativa de la protecció de dades en l'organització i exercisca les seues funcions amb independència i confidencialitat.  
2. Les funcions del delegat o delegada de Protecció de Dades de la Universitat Jaume I són, entre altres, les següents:  
Informar i assessorar el responsable o encarregat del tractament i els empleats que s'ocupen del tractament de dades de les obligacions que els incumbeixen en virtut del Reglament general de protecció de dades i altres disposicions de protecció de dades de la Unió Europea o dels estats membres.  
Supervisar el compliment del que es disposa en aquest Reglament i en la resta de normatives aplicables, així com de les polítiques del responsable o encarregat del tractament en matèria de protecció de dades personals.  
3. El nomenament del delegat o delegada de Protecció de Dades s'efectua mitjançant resolució de la rectora o rector. Les dades de contacte de la delegada o delegat de Protecció de Dades es publicaran i es comunicaran a l'autoritat de control.  
  
  
TÍTOL III  
Els tractaments de dades personals en l'àmbit universitari  
  
CAPÍTOL I  
Tractament de dades personals en la docència i en la gestió acadèmica  
  
Article 23. Tractaments de dades vinculades a la docència i a la gestió acadèmica  
En l'àmbit de la docència i la gestió acadèmica la Universitat tractarà les dades personals que són necessàries per a prestació de:  
1. Estudis de grau, postgrau, estudis propis o qualssevol altres ensenyaments universitaris i que són necessàries per al desenvolupament del servei públic d'educació superior en l'exercici de les funcions que li atribueixen la legislació vigent i els seus Estatuts:  
La docència presencial o virtual.  
La gestió acadèmica dels estudis.  
La realització de pràctiques en empreses i estades en altres centres educatius com a part de la formació universitària.  
Qualsevol altra funció determinada per la normativa vigent.  
2. Serveis dirigits a l'orientació i inserció laboral i desenvolupament d'activitats vinculades a aquestes.  
3. Accions formatives per a la promoció i foment de projectes.  
4. Gestió d'ajudes, beques i concursos propis.  
  
Article 24. Criteris per al tractament de dades personals en activitats docents  
1. En els espais docents físics i virtuals de la Universitat només es poden realitzar aquelles activitats de tractament de dades personals que estiguen emparades en la normativa vigent, incloent l'enregistrament o difusió en línia (streaming).  
2. Per a realitzar activitats en línia en recursos externs als proporcionats per la Universitat s'han d'utilitzar preferentment dades anònimes. Aquest anonimat ha de garantir-se en totes les fases del tractament.  
  
3. Si de manera justificada a criteri de la persona responsable de l'activitat, es tracten dades personals, la persona responsable de l'activitat ha de sol·licitar la inscripció en el Registre d'Activitats de Tractament de la Universitat. Així mateix, ha d'elaborar la informació que cal oferir als usuaris i usuàries, aplicar les mesures de seguretat necessàries i proporcionar la informació requerida durant els processos d'auditoria i adoptar, si escau, les mesures correctores que aquestes auditories aconsellen.  
  
Article 25. Gestió acadèmica  
La Universitat ha de tractar les dades personals dels qui es matriculen per a cursar estudis de grau, postgrau, estudis propis o qualssevol altres activitats docents o formatives oferides per la Universitat que siguen imprescindibles i necessàries per a la gestió acadèmica, econòmica i administrativa a partir de la inscripció i matriculació, amb les següents finalitats:  
Identificació de l'alumnat com a col·lectiu usuari dels serveis de la Universitat que facilite l'accés a aquests serveis.  
Control d'assistència a classes i d'accés a instal·lacions.  
Accés i ús de recursos electrònics.  
Elaboració d'estudis, estadístiques i controls del compliment normatiu.  
Trasllat d'informació d'interès vinculada a l'activitat universitària.  
  
I tota aquella finalitat derivada de la normativa vigent aplicable.  
  
Article 26. Gestió d'ajudes, beques i concursos propis  
1. La Universitat ha de tractar les dades personals dels qui sol·liciten beques i ajudes o es presenten a concursos propis, així com la informació personal de les persones que formen part de la unitat familiar o convivencial que foren necessaris, si escau, per a valorar la seua adjudicació de conformitat amb les bases de la seua convocatòria.  
2. Serà possible la comunicació a institucions públiques o privades que tinguen subscrits acords de col·laboració amb la Universitat per a la concessió de beques a l'alumnat, però limitarà aquesta comunicació a dades estrictament necessàries, i sense perjudici del deure d'informar d'aquesta circumstància a les persones sol·licitants en les bases de cada convocatòria.  
  
Article 27. Comunicació de les qualificacions o altres resultats avaluadors de l'alumnat  
1. Les qualificacions seran publicades pels mitjans electrònics de la Universitat a l'Aula Virtual de l'assignatura o en l'aplicació virtual d'actes, sense perjudici d'utilitzar-se a més altres formes de comunicació complementària, si escau.  
2. En cap cas es publicaran qualificacions o altres resultats avaluadors en taulers d'anuncis de cap ubicació del centre universitari ni en internet amb accés obert.  
3. El període de temps en què les dades estaran accessibles serà l'estrictament necessari. En el cas de qualificacions provisionals, es mantindran fins que transcórrega el termini per a presentar reclamacions. En el cas de les qualificacions definitives, durant el termini imprescindible que garantisca el seu coneixement per les persones interessades.  
  
Article 28. Accés per les persones progenitores o tutors legals a dades acadèmiques  
1. Els pares, mares i tutors legals podran ser informats de dades acadèmiques de l'estudiantat que tinguen al seu càrrec sempre que, de conformitat amb la normativa interna aprovada per la Universitat:  
Se sol·licite formalment al Servei de Gestió de la Docència i Estudiants a través del Registre General de la Universitat, exposant els motius en els quals es fonamenta la sol·licitud.  
S'acredite un interès legítim en el coneixement d'aqueixes dades mitjançant l'aportació de la documentació oportuna, com puga ser el llibre de família, sentències judicials, rebuts de pagament de taxes o qualsevol altra que contribuïsca a acreditar aqueix interès.  
2. L'estudiantat a qui es referisca la sol·licitud serà informat i es podrà oposar a aquesta comunicació de les seues dades acadèmiques, exposant els motius fundats i legítims en els quals fonamenta la seua oposició a aquest tractament. La Secretària General ha de resoldre sobre la concessió o denegació de l'accés sol·licitat.  
3. En tot cas, l'abast de la informació a comunicar ha de respectar:  
Es remetrà estrictament la informació sol·licitada.  
La informació remesa es limitarà a les qualificacions acadèmiques finals que figuren en l'expedient, les dades de matrícula per any acadèmic i aquella que es considere justificada en funció dels motius en els quals es fonamenta la sol·licitud.  
  
Article 29. Captació i difusió de material audiovisual en el context docent  
1. El personal docent pot gravar les sessions de classe, incloent-hi la imatge i veu de l'estudiantat, sense necessitat de recaptar el seu consentiment solament si és necessari per a complir la missió docent. En tot cas, aquests enregistraments només seran accessibles a l'estudiantat i professorat participants en l'activitat de la qual la sessió forma part a través de la plataforma docent oficial de la Universitat.  
2. En sessions de classe desenvolupades mitjançant videoconferència, l'estudiantat pot desactivar la seua càmera o micròfon. Es fomentarà l'ús del xat per a les interaccions entre l'estudiantat i el professorat.  
  
3. Es prohibeix qualsevol altre ús ulterior dels enregistraments, com ara la difusió, distribució o compartició en xarxes socials, excepte consentiment exprés de totes les persones enregistrades.  
4. Per a garantir els procediments de verificació dels coneixements de l'estudiantat, el professorat pot obligar l'estudiantat a activar la seua càmera per a monitorar la realització de les proves d'avaluació a distància no orals, però no es pot gravar la realització de la prova.  
  
5. Quan es realitzen processos d'avaluació orals en línia, i per a garantir l'exercici dels drets de revisió o de recurs contra la qualificació, el professorat gravarà la prova en àudio, vídeo o en un altre suport que permeta la conservació.  
6. Els enregistraments es conservaran durant el període de vigència de l'activitat, que serà el curs acadèmic en el cas de classes o el termini legal de custòdia en el cas d'evidències del procés avaluador.  
7. En la supervisió de les proves d'avaluació es prohibeix l'ús de sistemes automatitzats d'identificació biomètrica o de tècniques d'intel·ligència artificial.  
  
  
CAPÍTOL II  
Tractament de dades personals en la investigació  
  
Article 30. Projectes d'investigació que impliquen tractament de dades personals  
1. El desenvolupament d'un projecte d'investigació ha de respectar les següents obligacions:  
Obtindre l'informe favorable de la Comissió Deontològica de la Universitat abans d'iniciar la investigació.  
Inscriure's en el Registre d'Activitats de Tractament.  
Identificar un responsable intern del tractament, que serà l'investigador o investigadora principal, o la persona en qui delegue.  
3. No tenen la consideració de tractaments de dades personals aquells que processen o tracten informació que haja sigut prèviament desagregada i no siga possible vincular les dades tractades amb persones físiques identificades o identificables en cap moment del processament.  
  
4. La Universitat pot comunicar dades personals de les quals és responsable a grups d'investigació, si hi ha una legitimació prèvia que ho habilite.  
5. Si és necessària la dissociació de les dades personals, les persones interessades han d'assumir el cost d'aquests procediments de dissociació.  
6. La Universitat publica un conjunt de dades en obert per a la seua reutilització, en el marc de la iniciativa Dades obertes, que poden ser usades per qualsevol persona. L'ús d'aquestes dades vindrà delimitat per la llicència de reutilització de dades de la Universitat.  
  
Article 31. Participació de la comunitat universitària en projectes investigadors  
1. La participació de l'estudiantat en projectes d'investigació requereix, en tot cas, el seu consentiment previ, lliure i explícit, que ha de ser recaptat pel responsable del tractament. Aquesta participació no pot, en cap cas, repercutir en la seua avaluació.  
2. L'enviament de comunicacions generals, o per col·lectius, en què es convide a participar la comunitat universitària en enquestes, proves o altres activitats relacionades amb projectes d'investigació requereix l'aprovació prèvia de la Comissió Deontològica.  
  
Article 32. Tesis doctorals  
1. En la realització de tesis doctorals s'han d'emprar preferentment dades anònimes i s'ha de garantir-se aquest anonimat en totes les fases del tractament.  
2. Quan es realitzen tesis doctorals amb persones o amb les seues dades personals serà necessari obtindre l'informe favorable de la Comissió Deontològica abans d'iniciar els treballs.  
3. Si el tractament anònim de les dades no és possible, el tractament pot tindre naturalesa pública o privada.  
4. Són de naturalesa pública i estan sota la responsabilitat de la Universitat els tractaments de dades personals que es duen a terme amb finalitats d'investigació i per al desenvolupament d'una tesi doctoral que reunisca les següents condicions:  
Formar part d'un dels plans anuals de promoció de la investigació de la Universitat.  
Dur-se a terme dins d'un grup d'investigació de la Universitat i per part de personal investigador que forme part de la seua plantilla.  
Ser el director o directora de la tesi i ser personal de la Universitat, i que assumisca la responsabilitat de prendre les decisions oportunes sobre les finalitats i els mitjans del tractament al qual seran sotmeses les dades de caràcter personal. El director o directora de la tesi o la investigadora o investigador principal del grup d'investigació serà designat com a responsable intern de les dades sotmeses a tractament.  
Estar els mitjans de tractament de les dades personals sota el control del director o directora de tesi o del grup d'investigació, ja siga directament o per mitjà d'un contracte per encàrrec de tractament.  
5. Els tractaments de dades personals de naturalesa pública han de ser inscrits en el Registre d'Activitats de Tractament de la Universitat.  
  
6. Aquells tractaments de dades personals que no puguen acollir-se a la consideració de naturalesa pública són responsabilitat de l'investigador o investigadora, qui ha de complir amb les exigències legals previstes i, en particular, la d'informar les persones afectades de la finalitat concreta del tractament de les seues dades, la seua identificació com a responsable del tractament, la seua adreça postal i electrònica, i la possibilitat d'exercir els drets que confereix la legislació vigent.  
  
Article 33. Treballs de fi de màster (TFM) i treballs de fi de grau (TFG)  
1. En la realització de TFG o TFM han d'utilitzar-se preferentment dades anònimes. Aquest anonimat ha de garantir-se en totes les fases del tractament.  
2. Si, excepcionalment i de manera justificada a criteri del tutor o tutora del treball, s'utilitzen dades personals, l'alumne o alumna serà responsable de complir les exigències legals previstes i, en particular, la d'informar les persones afectades de la finalitat concreta del tractament, la seua identificació com a responsable del tractament, la seua adreça postal i electrònica, i la possibilitat d'exercir els drets que confereix la vigent legislació de protecció de dades de caràcter personal.  
3. En tot cas, si impliquen persones o es tracten dades personals serà necessari obtindre l'informe favorable de la Comissió Deontològica abans d'iniciar els treballs.  
  
  
CAPÍTOL III  
Tractament de dades personals en les relacions amb tercers  
  
Article 34. Col·laboració amb altres organitzacions públiques o privades  
1. Tot acord amb altres organitzacions públiques o privades ha de comportar un conjunt d'activitats que poden tractar dades personals en diferents moments i formes. Abans d'iniciar cada activitat és necessari aplicar-li la privacitat des del disseny inicial i per defecte. Aquesta obligació serà recollida de manera expressa en el text de l'acord.  
2. En cas de realitzar-se un tractament de dades personals per alguna de les parts s'ha de garantir que s'ha planificat abans de l'execució, s'han pres les mesures oportunes de registre de l'activitat, s'han identificat les figures de responsable, corresponsables i encarregats, les seues obligacions, les dades afectades i el seu flux al llarg de totes les activitats recollides en l'acord.  
3. Quan siga necessària la subcontractació per part de la Universitat per a realitzar l'activitat s'ha de sol·licitar permís exprés a la part sol·licitant de l'activitat i la Universitat ha de traslladar a la part subcontractada les mateixes obligacions respecte a l'activitat que té la Universitat.  
  
4. Les clàusules de l'encàrrec de tractament que es desprèn de l'acord es podran negociar prèviament si no es pot aplicar el model genèric de la Universitat. Aquest encàrrec ha d'estar inclòs com a part de l'acord de manera inseparable i la seua signatura implica també la signatura de l'encàrrec.  
5. Tot acord en el qual participe la Universitat ha d'incloure sempre una clàusula de confidencialitat.  
  
Article 35. Mobilitat en la comunitat universitària  
1. La Universitat pot tractar dades personals necessàries per a realitzar estades formatives d'alumnat, professorat i altre personal de la Universitat en altres centres, institucions o empreses o, recíprocament, les dades personals dels qui accedisquen a la Universitat Jaume I.  
2. Els convenis de mobilitat han de reflectir les activitats que requerisca cada part participant i les responsabilitats que corresponguen a cadascuna en relació amb les activitats de tractament que se'ls atribuïsca.  
3. S'ha de vetlar perquè s'assegure el compliment de la normativa europea de protecció de dades en les transferències internacionals de dades personals que fora necessari efectuar, encara que la contrapart no es trobe dins de l'Espai Econòmic Europeu.  
  
Article 36. Pràctiques externes  
1. La Universitat ha de tractar dades personals per a la gestió de les pràctiques externes, com ara dades identificatives, imatge, veu o qualsevol altra que es puga vincular amb una persona, exclusivament per a les finalitats pròpies de les pràctiques i no es poden comunicar a tercers per cap mitjà. Les empreses o entitats col·laboradores conservaran només les dades que necessiten i durant el temps necessari per a informar sobre aqueixes pràctiques.  
2. S'ha de guardar confidencialitat sobre la informació i les dades personals que es coneguen durant la realització de les pràctiques, de manera que per accedir-hi s'ha d'obtindre autorització de les supervisores o supervisors, i estar en disposició de demostrar-ho.  
3. No se sotmetrà al personal de les empreses o institucions on es realitzen les pràctiques, o a qui donen servei, a tests, proves o avaluacions de qualsevol tipus que no siguen autoritzades i controlades per les persones que supervisen les destinacions ni fer fotografies, vídeos o enregistrament de sons no previstos entre les finalitats pròpies de les pràctiques.  
4. En la documentació que es genera a conseqüència de les pràctiques, com ara informes, treballs, memòries, o altres, no es pot identificar al personal de la destinació de les pràctiques amb cap dada de caràcter personal, a excepció de les persones responsables de la tutorització d'aqueixes pràctiques.  
  
Article 37. Venda i distribució comercial  
1. El tractament de dades personals que requerisca la venda i distribució comercial de les publicacions, entrades i dels productes oficials de la Universitat té per objecte gestionar les compres que a través d'aquesta plataforma efectuen les persones, tenint la seua base d'habilitació en la relació jurídica establida en l'adquisició del producte o servei.  
  
2. Es podrà oferir la possibilitat de rebre informació comercial amb ofertes i novetats comercialitzades per la Universitat legitimada en el consentiment previ de la persona titular de les dades.  
  
Article 38. Gestió d'esdeveniments  
1. El tractament de dades personals necessari per a la celebració presencial o a distància d'esdeveniments, com ara congressos i jornades, concursos, premis i esdeveniments anàlegs té com a finalitat la gestió de les diferents fases de l'esdeveniment com ara la invitació, inscripció, desenvolupament i emissió de certificats, així com la seua difusió pública per mitjans físics o telemàtics i el seu ús promocional.  
2. La participació de la persona en l'esdeveniment de què es tracte ha d'anar precedida de la informació necessària en matèria de protecció de dades personals.  
3. El tractament de les dades personals necessàries per a la inscripció i participació en l'esdeveniment es basa en el desenvolupament d'una missió en interès públic per la difusió de la cultura i el coneixement.  
4. S'ha de recaptar el consentiment exprés de les persones que participen activament per a l'obtenció i difusió d'imatges, vídeos o àudios en què apareguen.  
5. La Universitat no es fa responsable de les activitats individuals de captació i difusió de material audiovisual realitzades per les persones assistents a un esdeveniment i que respondran de les conseqüències legals que es deriven per l'inadequat tractament de dades personals, dels drets d'imatge o qualsevol altra normativa d'aplicació.  
  
Article 39. Accions de divulgació  
1. La Universitat pot utilitzar la informació de contacte de les persones assistents a esdeveniments per a l'enviament d'informació i difusió d'altres esdeveniments vinculats als prèviament participats quan obtinga el consentiment d'aquestes persones.  
2. Les accions de comunicació institucionals es regeixen pels principis i procediments del Pla de comunicació de la Universitat i respectarà el Codi ètic propi. S'ha de distingir de manera clara la posició i informació particular de la institucional en l'ús de xarxes socials o en la presència pública.  
  
  
CAPÍTOL IV  
Tractament de dades personals en els serveis de gestió  
  
Article 40. Gestió econòmica  
1. A més de la gestió de dades personals vinculades a la gestió docent, acadèmica i d'investigació, la Universitat tracta el conjunt de dades personals per a tasques pròpies de la gestió administrativa, econòmica i financera de la seua activitat relatives o derivades de la prestació dels seus serveis, les relacions amb proveïdors de servei, transaccions vinculades a l'activitat de la Universitat, el desenvolupament i execució de contractes i licitacions, el compliment d'obligacions legals i qualssevol altres actuacions requerides per a l'administració de la institució.  
  
2. La gestió d'aquestes dades s'efectua en compliment de les seues obligacions i exercici de drets de la Universitat que legitimen aquestes activitats de tractament.  
  
Article 41. Gestió de personal  
1. El tractament de dades relatives al personal ocupat en actiu i jubilat de la Universitat té per objecte el desenvolupament i gestió de la relació laboral i el compliment de les obligacions legals en relació al personal i que habiliten el tractament d'aquestes dades.  
2. Qualssevol altres tractaments de dades per a la realització d'activitats vinculades a la prestació de la relació laboral o el compliment d'obligacions legals se sustenten en algun o alguns dels títols o bases jurídiques habilitants del tractament de dades establit en la normativa de protecció de dades del que la persona ha de ser informada a través dels canals que la Universitat tinga establits per a la comunicació amb el personal de la institució.  
3. La Universitat ha de publicar dades personals del personal docent i investigador (PDI) i del personal d'administració i serveis (PAS) relatius a la seua participació en l'organització vinculada a la seua activitat.  
S'han de facilitar les dades de contacte relatives al nom i cognoms, perfil professional del lloc de treball, telèfon i adreça de correu corporatius a la Universitat proporcionats per aquesta, així com l'horari de classes o tutories, en cas del personal docent i investigador. Es pot obviar aquesta publicació de dades personals, parcialment o totalment, en compliment d'una obligació legal que s'aplique a la Universitat.  
  
  
Article 42. Gestió de dades personals de salut  
1. En el disseny d'activitats que comporten un tractament de dades personals de salut s'ha de prioritzar el lliurament i custòdia d'aquesta mena de dades a la unitat responsable de la vigilància i prevenció de la salut, la qual pot delegar en altres serveis de la Universitat que estiguen estrictament vinculats, per raó de la seua competència, amb el tractament de dades de salut que requerisca l'específica activitat que desenvolupen. S'ha d'afavorir el lliurament d'un informe bàsic amb les dades reduïdes.  
2. Les dades personals relatives a baixes mèdiques, situacions de conciliació familiar i altres procediments habituals de l'àrea de recursos humans s'han de reduir als mínims imprescindibles per a poder realitzar-se. Les dades personals han d'incloure, tant les pròpies de la persona interessada, com les de terceres persones relacionades que ho autoritzen i que puguen ser necessàries per al desenvolupament del procediment.  
  
3. Les dades personals relatives a necessitats específiques de suport educatiu o necessitats d'adaptació al lloc de treball que estiguen relacionades amb el Pla d'atenció a la diversitat han de ser compartides i el seu tractament ha de ser delegat a la unitat organitzativa responsable de dur a terme aquest pla.  
4. Les dades personals relatives al desenvolupament de plans de prevenció de riscos laborals aplicables a les circumstàncies individuals o col·lectives del personal laboral de la Universitat s'han de limitar al conjunt mínim possible i no seran compartits excepte per necessitat per a poder desenvolupar correctament el Pla o per obligació legal.  
5. Les dades personals de salut i qualsevol altra dada personal relacionada que siga necessària dins d'un context d'emergència sanitària, pandèmia, desastre natural o altres similars han de ser tractades per la unitat responsable de la vigilància i prevenció de la salut, que s'ha de coordinar amb els organismes i institucions encarregades legalment de la seua gestió. S'han de comunicar a les institucions i organismes implicats les dades mínimes que permeten el seu correcte funcionament i coordinació, així com a les diferents unitats organitzatives de la Universitat estrictament vinculades, per raó de la seua competència, amb el tractament de dades de salut.  
6. Els serveis sanitaris relatius als reconeixements mèdics preventius oferits a la plantilla de personal treballador de la Universitat han de ser duts a terme per empreses externes sense que hi haja comunicació del seu resultat a la Universitat ni consegüent tractament de dades per aquesta.  
7. La Universitat pot autoritzar la creació d'unitats d'assistència sanitària, reconegudes oficialment per la conselleria competent en matèria de salut, per a exercir altres serveis complementaris als descrits i que puguen tindre vincles amb activitats investigadores dels diferents grups d'investigació de la Universitat. En aquest cas, les possibles dades personals de salut seran responsabilitat d'aquest servei sanitari o del grup d'investigació associat i cadascun haurà de complir amb les obligacions pròpies de cada tipus d'activitat conforme als procediments establits internament per la Universitat.  
  
Article 43. Serveis complementaris  
1. Aquesta categoria engloba aquells serveis addicionals oferits per la Universitat i relatius a diverses activitats artístiques, culturals, esportives, recreatives i de responsabilitat social, i que constitueixen serveis complementaris per a la comunitat universitària i accessoris a l'activitat docent i acadèmica, com ara el servei de biblioteca i préstec interbibliotecari, servei editorial, reserva d'espais i/o de materials, activitats esportives, capacitació de llengües, guia de professorat expert, voluntariat o antic alumnat, sense perjudici de qualssevol altres que pogueren desenvolupar-se en el futur.  
2. També integren aquesta consideració els serveis que s'ofereixen a la ciutadania en general, com ara la difusió de l'oferta formativa i cultural de la Universitat, el foment i suport a la investigació, la cultura i l'educació o la promoció de l'activitat de la Universitat, així com l'atenció a consultes de la ciutadania o visites a les seues instal·lacions.  
  
3. La prestació del servei a la persona interessada ha d'anar precedida de la informació necessària en matèria de protecció de dades específicament vinculada al servei de què es tracte.  
  
Article 44. Antics membres de la comunitat universitària  
1. La Universitat disposa de diversos programes dirigits a l'alumnat i personal que haja finalitzat el seu vincle. Aquests programes tenen per objecte mantindre la relació amb la institució, facilitar la inserció laboral i millora professional, i difondre l'oferta formativa, acadèmica, científica i cultural mitjançant l'enviament d'informació relacionada amb l'organització de trobades, actes de graduació i activitats socials i culturals.  
2. El tractament de les dades personals de l'antic alumnat i personal que voluntàriament s'haguera adherit a algun d'aquests programes estarà legitimat en la prestació dels serveis associats a aquests programes.  
  
3. Els programes han de disposar dels mitjans necessaris perquè les persones adherides puguen seleccionar el tipus d'activitats que els són d'interès dins del marc del programa. La Universitat només enviarà informació sobre aquestes activitats i ha d'evitar l'enviament indiscriminat.  
4. El tractament de dades personals de l'estudiantat i personal que ja haja abandonat la Universitat i no estiga inscrit en cap dels programes quedarà restringit als supòsits previstos per la legislació.  
  
  
  
CAPÍTOL V  
Òrgans col·legiats i publicació de dades  
  
Article 45. Òrgans col·legiats  
1. La Universitat ha de tractar les dades personals dels qui participen en els diferents òrgans col·legiats amb les condicions establides en la normativa administrativa vigent.  
2. S'ha d'informar de les condicions d'aquest tractament de manera prèvia a les persones que pertanguen als òrgans col·legiats, sense necessitat de recaptar el seu consentiment.  
3. Els enregistraments que es produïsquen durant la realització de les sessions de l'òrgan col·legiat han de formar part de l'acta i ser accessibles per a les persones participants. Se li ha de donar difusió idèntica a l'àmbit de comunicació de l'òrgan.  
  
Article 46. Publicació de dades personals en processos de concurrència competitiva  
1. Quan siga obligatòria la publicació d'un acte administratiu que continguera dades personals, s'ha d'identificar a la persona interessada mitjançant el seu nom i cognoms, afegint-hi quatre xifres numèriques aleatòries del document nacional d'identitat, número d'identitat d'estranger, passaport o document equivalent. Quan la publicació es referisca a una pluralitat de persones aquestes xifres aleatòries han d'alternar-se.  
Es publicarà el document identificatiu (document nacional d'identitat, número d'identitat d'estranger, passaport o document equivalent de les persones) seguint l'Orientació per a l'aplicació provisional de la disposició addicional setena de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, aprovada per l'Agència Espanyola de Protecció de Dades, excepte en aquells supòsits en els quals legalment no s'exigisca la publicació del número del document identificatiu, i en aquest cas s'ometrà aquesta dada personal, o existisca una coincidència de nom i cognoms i, per tant, estaria justificada la inclusió també del segon element identificador.  
   
2. La publicació s'ha de fer de manera que no supose un accés indiscriminat a la informació als efectes de la qual es realitzarà en els mitjans adequats a cada procediment i es retirarà la publicació una vegada hagen transcorreguts els terminis legals.  
3. En cap cas es publicarà informació relativa a circumstàncies personals, familiars o socials, llevat que siga estrictament necessària per a garantir la transparència de l'activitat relacionada amb el funcionament i control de l'actuació pública o vinga expressament disposat en norma de rang legal.  
4. En el cas que en la informació que es publique hi haja categories especials de dades o un altre tipus de dades protegides per normativa específica, se n'ha de preservar la confidencialitat.  
  
  
  
TÍTOL IV  
Seguretat i garantia en el tractament de dades personals de la Universitat  
  
Article 47. Seguretat en les activitats de tractament de dades personals  
La Universitat Jaume I, com a universitat pública, ha de garantir el compliment de l'Esquema Nacional de Seguretat en totes les seues activitats de tractament de dades personals. Aquest compliment s'ha de verificar mitjançant auditories concurrents amb les de conformitat en matèria de protecció de dades.  
Quan una tercera part preste un servei en règim de concessió, encàrrec de gestió o contracte, les mesures de seguretat s'han de correspondre amb les de l'administració pública d'origen i s'ajustaran a l'Esquema Nacional de Seguretat.  
De conformitat amb la política de seguretat de la informació aprovada per la Universitat, s'estableix una segregació de funcions, en relació amb l'organització de la seguretat de la informació, que distingeix entre responsable de la informació, responsable del servei i responsable de seguretat, conforme a la següent separació de funcions:  
  
És responsable de la informació el secretari o secretària general de la Universitat.  
És responsable del servei el vicerector o vicerectora competent en matèria de tecnologia de la informació com a responsable de garantir la prestació de serveis en condicions òptimes de disponibilitat, accessibilitat i interoperabilitat, i complir les directrius del sistema de gestió de la seguretat de la informació.  
És responsable de seguretat la persona titular de la Gerència amb l'obligació de vetlar per la seguretat de la informació, dels serveis prestats pels sistemes d'informació i dirigir el sistema de gestió de la seua seguretat, d'acord amb el que s'estableix en la política de seguretat i normativa vigent que siga aplicable, i que delegarà les seues funcions en l'Oficina d'Innovació i Auditoria TI.  
És responsable d'auditoria de tecnologies de la informació qui dirigisca l'Oficina d'Innovació i Auditoria TI.  
És responsable del sistema qui dirigisca el Servei d'Informàtica, que pot delegar funcions en les i els administradors de seguretat que han d'existir, almenys, en les àrees de sistemes i microinformàtica, comunicacions i sistemes d'informació, explotació i desenvolupament.  
És responsable de la coordinació de la seguretat de la informació el Comitè de Seguretat de la Informació, que dirigirà l'estratègia corporativa en matèria de tecnologies de la informació.  
És responsable de vetlar per l'organització del procés tecnològic de la Universitat la Comissió Tècnica de Projectes, que té la finalitat d'analitzar l'impacte i coordinar les iniciatives concretes dirigides a evitar disfuncions que puguen propiciar errors o punts febles en els sistemes, tant en l'àmbit organitzatiu, com a tècnic.  
El responsable de la informació, segons l'Esquema Nacional de Seguretat, es correspon amb el responsable del tractament definit en el Reglament general de protecció de dades.  
El responsable del servei, el responsable de seguretat i el responsable del sistema, juntament amb les i els administradors de seguretat i la resta de personal tècnic vetlaran per l'establiment i manteniment de les mesures tècniques, humanes i organitzatives que permeten realitzar les activitats de tractament de dades personals amb les garanties exigibles en la normativa vigent.  
  
Article 48. Gestió de registres electrònics d'activitat d'usuaris (logs)  
1. Amb la finalitat exclusiva de garantir la seguretat dels sistemes d'informació de la Universitat, amb plenes garanties del dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge dels membres de la comunitat universitària, i d'acord amb la normativa sobre protecció de dades personals, de funció pública o laboral, i altres disposicions que resulten d'aplicació, la Universitat ha de registrar les activitats dels usuaris d'aquests sistemes d'informació i retindre la informació necessària per a monitorar, analitzar, investigar i documentar activitats indegudes o no autoritzades, per tal de permetre identificar a cada moment la persona que actua.  
2. La Universitat ha de disposar d'un inventari de tots els registres d'activitats d'usuari, amb les seues característiques. Aquest inventari s'ha de mantindre actualitzat dins del sistema de gestió de seguretat de la informació.  
3. Els administradors de seguretat dels sistemes d'informació tindran la responsabilitat de mantindre l'inventari actualitzat i garantiran que no s'emmagatzema cap registre d'activitat d'usuari que no forme part d'aquest.  
4. El període de conservació de les dades personals del registre és d'un any. Una vegada transcorregut aquest període, les dades han de ser esborrades. En els casos en què l'esborrat no siga tècnicament viable, i amb l'aprovació del responsable del tractament, es procedirà al bloqueig d'aquestes dades.  
  
Article 49. Seguretat i confidencialitat de la informació  
Les dades han de ser tractades de manera confidencial i estar sotmeses a mesures tècniques i organitzatives de seguretat adequades per a evitar-ne l'alteració, pèrdua, tractament o accés no autoritzat als efectes del qual el tractament de dades s'efectuarà conforme als processos interns de seguretat adoptats per la Universitat.  
Tot el personal de la Universitat i els qui intervinguen en qualsevol fase del tractament de les dades personals estan obligats a guardar confidencialitat respecte de les dades personals a què tinguen accés i coneixement, encara després de finalitzar la seua relació amb la Universitat.  
  
S'han de desenvolupar i mantindre normes d'ús dels recursos informàtics i de comunicacions que garantisquen la seguretat i protecció de les dades personals requerides per la legislació vigent.  
Aquestes normes han d'estar emmarcades en la política de seguretat de la informació i els seus procediments s'incorporaran al sistema de gestió de seguretat de la informació, que han d'estar sempre actualitzats.  
  
  
Article 50. Seguretat en els equips i sistemes d'informació que tracten dades personals  
Tots els equips, dispositius i sistemes d'informació de la Universitat que tracten dades personals han de complir amb les obligacions legals aplicables en matèria de protecció de dades i de seguretat.  
L'equipament informàtic i de comunicacions de la Universitat ha de complir amb els requisits de seguretat definits en el sistema de gestió de seguretat de la informació, tant el que gestione la Universitat, com el que tinga la seua gestió delegada.  
S'han de disposar de polítiques i procediments específics per a definir un nivell de seguretat equivalent en el cas d'equips i dispositius de terceres parts que s'hagen d'integrar en o utilitzar els recursos de la Universitat, com en el cas de personal que utilitze equipament propi per a realitzar les seues funcions o dispositius connectats a la xarxa de la Universitat.  
Tots aquests recursos han d'estar correctament administrats i configurats. S'ha d'impedir l'accés o ús no autoritzat d'aquestes dades i de l'equip utilitzat en el tractament.  
  
Article 51. Garantia dels drets digitals en l'ús personal de recursos corporatius  
1. Els recursos informàtics i la informació que contenen han de ser utilitzats únicament per a activitats de producció, desenvolupament, investigació i docència relacionades amb la Universitat i de manera que no interferisquen l'activitat dels membres de la comunitat universitària. Queda prohibit l'ús per a finalitats diferents com poden ser la comercial, de propaganda o altres.  
2. El compte corporatiu de correu electrònic i els serveis digitals que proporciona la Universitat a tota la comunitat universitària amb qui té vincle estable són eines professionals la titularitat de les quals recau en la institució.  
3. Tota la informació generada per les persones amb vincle actiu en l'acompliment de les seues funcions ha de situar-se en el sistema d'informació i eines corporatives de l'UJI.  
4. La Universitat ha de protegir la intimitat de les persones en l'ús dels dispositius digitals posats a la seua disposició.  
5. La Universitat pot accedir als continguts derivats de l'ús dels recursos corporatius facilitats per a controlar el compliment de les obligacions laborals, garantir la integritat d'aquests dispositius o atendre una obligació legal.  
6. La Universitat ha d'establir criteris per a l'ús d'aquests dispositius que estaran acordats amb la representació de les persones treballadores. S'ha d'informar d'aquests criteris a les persones que utilitzen els recursos.  
7. S'ha d'establir instruccions específiques i protocols d'actuació per a gestionar aquests continguts quan es produïsca una finalització del vincle amb l'UJI.  
  
Article 52. Garantia de drets digitals en la videovigilància i seguretat  
1. La Universitat tracta les dades personals necessàries per a garantir la seguretat de les persones, béns i instal·lacions de la institució a través de càmeres i/o videocàmeres, així com per al control d'accés a l'interior dels seus edificis, instal·lacions i dependències.  
2. Amb aquesta finalitat poden captar-se imatges en la via pública o llocs de trànsit públic dins de les instal·lacions de la Universitat com ara accessos o corredors.  
3. En cap cas s'instal·laran càmeres o videocàmeres en espais protegits pel dret a la intimitat com ara lavabos o vestuaris.  
4. Les altes, baixes o modificacions en la instal·lació de dispositius de videovigilància han de comptar amb l'aprovació prèvia de la Comissió de Control dels Dispositius de Videovigilància.  
5. S'ha de crear i mantindre actualitzada una relació dels dispositius de videovigilància que siguen responsabilitat de la Universitat o es troben en les seues instal·lacions.  
  
  
DISPOSICIONS ADDICIONALS  
  
Primera  
El contingut d'aquest Reglament ha sigut elaborat respectant l'ús inclusiu del llenguatge de conformitat amb la Llei orgànica 3/2007, de 22 de març, per a la igualtat efectiva de dones i homes, a excepció de l'esment literal a conceptes únicament recollits en gènere masculí en la normativa d'aplicació.  
  
Segona  
S'autoritza la Secretaria General per a dictar les instruccions i circulars que resulten necessàries per al desenvolupament i execució d'aquest reglament.  
  
  
DISPOSICIÓ DEROGATÒRIA  
  
Única  
Queda derogada qualsevol disposició d'igual o inferior rang aprovada per la Universitat Jaume I que contradiga el que s'estableix en aquest Reglament.  
  
  
DISPOSICIÓ FINAL  
  
Única  
Aquest reglament entrarà en vigor l'endemà de la publicació en el Diari Oficial de la Generalitat Valenciana.  
  
Castelló de la Plana, 28 d'octubre de 2021.- La secretària del Consell de Govern: Cristina Pauner Chulvi.



Descarregar el document amb format PDF

Descarregar les metadades en format XML

Diari Oficial de la Generalitat Valenciana




DOGV - Disposición
==================

Comparte

Comparte

Volver

Guardar el documento Descargar los metadatos en formato XML

Sumario DOGV 9219, del 19-11-2021 (2021/11313)

ACUERDO de 28 de octubre de 2021, del Consejo de Gobierno de la Universitat Jaume I, por el que se aprueba el Reglamento de protección de datos y garantía de derechos digitales de la universidad.
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Datos del documento

Número DOGV
:   9219

Fecha DOGV
:   19-11-2021

Sección del DOGV
:   III. ACTOS ADMINISTRATIVOS - C) OTROS ASUNTOS

Número del documento
:   2021/11313

CVE


Fecha del documento
:   28-10-2021

Organismo emisor
:   Universitat Jaume I de Castelló

Tipo de documento
:   Acuerdo

Análisis jurídico

ACUERDO de 28 de octubre de 2021, del Consejo de Gobierno de la Universitat Jaume I, por el que se aprueba el Reglamento de protección de datos y garantía de derechos digitales de la universidad. [2021/11313]  
Reglamento de protección de datos y garantía de derechos digitales de la Universitat Jaume I.  
  
Exposición de motivos  
  
I. Marco normativo  
El actual marco normativo se materializa en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) que ha supuesto un hito importante al pasar de un modelo basado en el control del cumplimiento a otro fundamentado en el principio de responsabilidad activa en el que la valoración del riesgo derivado del tratamiento de datos personales y la adopción de medidas correctoras técnicas u organizativas recae en la organización que trata dichos datos, a la vez que permite que el derecho estatal de los estados miembros desarrolle contenidos por razones de coherencia y para que las disposiciones nacionales sean comprensibles para las personas destinatarias.  
Esta previsión del Reglamento general de protección de datos se manifiesta en los contenidos de la Ley orgánica 3/2018, de 5 de diciembre, que pasa de ser la norma reguladora de datos personales a norma reguladora de la protección de datos y garantía de derechos digitales (LOPDGDD) que tiene por objeto: (1) adaptar el ordenamiento jurídico español al Reglamento general de protección de datos y completar sus disposiciones, y (2) garantizar los derechos digitales de la ciudadanía, en una novedosa referencia que tiene como objetivo la protección de las personas que hacen uso de las herramientas digitales y que permiten que puedan comunicarse con otros individuos sin afectación a la intimidad y la privacidad.  
Este contexto normativo permite amparar medidas específicas frente a urgencias y situaciones excepcionales como las derivadas de emergencias sanitarias en base a la protección de intereses vitales, el interés público esencial, la medicina preventiva o laboral, el diagnóstico médico, la asistencia sanitaria o salud pública, que pueden determinar, por razones de seguridad, el modo de actuar en la gestión docente y académica en tanto esta requiere la adaptación al alumnado o al profesorado con necesidades especiales, la investigación, el teletrabajo y el trabajo en remoto, y también prácticas que deben cumplir con los principios y deberes en materia de protección de datos.  
  
II. Compromiso y cumplimiento normativo  
La Universitat Jaume I siempre ha sido sensible al cumplimiento normativo en esta materia habiendo aprobado e implementado normativa interna reguladora del tratamiento de datos personales.  
De conformidad con los Estatutos de la Universitat Jaume I, aprobados por el Decreto 95/2021, de 9 de julio, del Consell de la Generalitat (DOGV 9128/25.07.2021), la Universitat, en consonancia con su Código ético aprobado por el Consejo de Gobierno del 28 de junio de 2017, en las distintas actividades de tratamiento de datos de las personas físicas que se relacionan y vinculan con la institución, así como en sus relaciones con otras administraciones y entidades públicas u organizaciones privadas, se compromete a cumplir los derechos y libertades de los usuarios y usuarias en el uso de entornos digitales y en su investigación; a garantizar el cumplimiento de los principios y valores éticos, y la legalidad vigente; a velar para que no se lesionen la privacidad, la reputación o la dignidad de las personas en los entornos digitales, y a fomentar la formación, la transparencia en el uso y la no exclusión por motivos de vulnerabilidad.  
Es por ello que, asumiendo el mandato normativo del Reglamento general de protección de datos y la LOPDGDD, este Reglamento regula la forma en que la Universitat trata los datos personales y constituye una herramienta que actualiza la normativa interna desarrollada por esta institución en esta materia y que define el uso de los datos personales en su ámbito.  
  
III. Estructura del Reglamento  
Este Reglamento consta de 52 artículos agrupados en cinco títulos, dos disposiciones adicionales, una disposición derogatoria y una disposición final. El título preliminar establece las disposiciones generales, principios y criterios generales aplicables al tratamiento de datos personales en la Universitat; el título I determina los derechos vinculados al tratamiento de datos personales; el título II establece la estructura orgánica de la Universitat para el tratamiento de los datos personales; el título III regula el tratamiento de datos personales en el ámbito universitario, i finalmente el título IV aborda la seguridad y garantía en el tratamiento de datos personales en la Universitat.  
  
  
TÍTULO PRELIMINAR  
Disposiciones, principios y criterios generales aplicables al tratamiento de datos personales en la Universitat  
  
CAPÍTULO I  
Objeto, ámbito de aplicación y definiciones  
  
Artículo 1. Objeto  
Este Reglamento tiene por objeto regular la actuación de la Universitat Jaume I (en adelante, la Universitat) en el tratamiento de los datos personales y los derechos digitales para garantizar su protección en todos sus ámbitos de actividad.  
  
Artículo 2. Ámbito de aplicación  
Este Reglamento es aplicable a todas las actividades que implican un tratamiento de datos personales con motivo del ejercicio de las funciones que lleve a cabo la Universitat en el ámbito de sus competencias, tanto en el tratamiento efectuado, total o parcialmente, en formato automatizado o manual, como en toda modalidad de uso posterior de dichos datos.  
  
Artículo 3. Definiciones  
A los efectos de este Reglamento, se entiende por:  
a) Datos personales: cualquier información sobre una persona física identificada o identificable (persona interesada); se considera persona física identificable cualquier persona de la que se puede determinar la identidad, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esta persona.  
b) Categorías especiales de datos: son aquellos que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona. Son datos personales que merecen una especial protección dado que, por su naturaleza, son particularmente sensibles en relación con la afectación a los derechos fundamentales y a las libertades públicas.  
c) Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física, que proporcionan una información única sobre su fisiología o salud, obtenidas del análisis de una muestra biológica de esta persona.  
d) Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, que permiten o confirman la identificación única de esta persona como, por ejemplo, imágenes faciales o datos dactiloscópicos.  
e) Datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física que revelan información sobre su estado de salud, incluida la prestación de servicios de atención sanitaria.  
f) Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.  
g) Consentimiento: declaración o acto afirmativo claro que refleje la manifestación de voluntad libre, específica, informada e inequívoca de aceptar el tratamiento de datos de carácter personal que concierne a la persona interesada, que deberá reflejarse en forma escrita o en formato electrónico y que permita su posterior verificación.  
h) Responsable del tratamiento o responsable: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o junto con otros, determina los fines y los medios del tratamiento.  
i) Encargado del tratamiento o encargado: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trata datos personales por cuenta del responsable del tratamiento.  
j) Destinatario: persona física o jurídica, autoridad pública, servicio o cualquier otro organismo al que se comunican datos personales, tanto si es un tercero como si no.  
k) Tercero: persona física o jurídica, autoridad pública, servicio u organismo distinto de la persona interesada, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.  
l) Violación o brecha de la seguridad de los datos personales: cualquier violación de la seguridad que ocasiona la destrucción, la pérdida o la alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o el acceso no autorizados a estos datos.  
m) Privacidad desde el diseño y por defecto: aplicación, desde el momento de determinar los medios de tratamiento, de medidas técnicas y organizativas apropiadas para hacer efectivos los principios de protección de datos, incluyendo que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento.  
n) Transferencias internacionales de datos: flujo de datos personales desde el territorio español a destinatarios establecidos en países fuera del Espacio Económico Europeo.  
o) Autoridad de control: la Agencia Española de Protección de Datos (AEPD) es la autoridad estatal de control independiente encargada de velar por el cumplimiento de la normativa sobre protección de datos en la actividad de la Universitat Jaume I.  
p) Seudonimización: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a una persona interesada sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.  
  
  
CAPÍTULO II  
Principios y criterios generales aplicables al tratamiento de datos personales en la Universitat  
  
Artículo 4. Principios generales aplicables al tratamiento de datos personales  
Los principios generales aplicables a la gestión de datos personales y a los que debe adaptarse el tratamiento de datos en la Universitat Jaume I son:  
a) Principio de licitud, transparencia y lealtad, que consiste en que los datos deben ser tratados en base a un título habilitante, ofreciendo la suficiente información sobre el tratamiento y con observación de la normativa aplicable.  
b) Principio de limitación de la finalidad que implica, por una parte, la obligación de que los datos sean tratados con una o varias finalidades determinadas, explícitas y legítimas y, por otra, que se prohíbe que los datos recogidos con unos fines determinados, explícitos y legítimos sean tratados posteriormente de una manera incompatible con esos fines.  
c) Principio de minimización de datos, que implica que los datos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.  
d) Principio de exactitud, que implica que los datos deben ser exactos y, si fuera preciso, actualizados, debiendo adoptarse todas las medidas razonables para que se rectifiquen o supriman los datos inexactos en relación a los fines que se persiguen.  
e) Principio de limitación del plazo de conservación que, relacionado con el de minimización, implica que, en tanto solo pueden tratarse los datos adecuados, pertinentes y necesarios para una finalidad, la conservación de esos datos debe limitarse en el tiempo al logro de los fines que el tratamiento persigue.  
f) Principio de integridad y confidencialidad, que impone la obligación de actuar proactivamente con el objetivo de proteger los datos que se manejan frente a cualquier riesgo que amenace su seguridad.  
g) Principio de responsabilidad proactiva, según el cual los responsables aplicarán las medidas técnicas y organizativas apropiadas para garantizar y estarán en condiciones de demostrar que el tratamiento de datos personales se lleva a cabo de conformidad con la normativa de protección de datos vigente.  
  
Artículo 5. Información relativa al tratamiento de datos personales  
La Universitat proporcionará y facilitará a las personas la información necesaria para que conozcan la finalidad del tratamiento para el que se recaban los datos de forma precisa, comprensible y fácilmente accesible en el momento de la recogida.  
En concreto, informará a las personas de su deber de facilitar a la institución datos exactos y veraces, y de su derecho a rectificarlos, debiendo garantizar la autenticidad de los datos que aporte referidos a su persona o a terceras personas y responsabilizarse de las manifestaciones falsas o inexactas que realice, particularmente respecto de la comunicación de información relativa a terceras personas, para la que debe contar con su autorización, y responder asimismo de los perjuicios que en tal caso cause a la institución o a dichas personas.  
Asimismo, se informará a las personas sobre la identidad del responsable del tratamiento, los datos de contacto de su delegada o delegado de Protección de Datos y el resto de aspectos previstos en la normativa aplicable.  
Este contenido informativo se recogerá en todos sus formatos documentales o en línea, así como en la atención presencial o telefónica en que se recaben datos personales, anteponiéndose al resto de trámites de la actuación que se siga.  
  
Artículo 6. Títulos habilitantes para el tratamiento de datos personales  
1. Los tratamientos de datos personales por parte de la Universitat necesarios para el ejercicio de sus funciones propias se basan, en general, en el título habilitante del interés público. Esta habilitación no requiere el consentimiento de la persona interesada para la gestión de sus datos personales.  
2. En los supuestos en que el título habilitante no sea el interés público, el tratamiento de los datos se amparará en alguno de los títulos siguientes:  
Ejecución de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.  
Satisfacción del interés legítimo perseguido por la Universitat.  
Cumplimiento de obligaciones legales aplicables a la Universitat.  
Consentimiento de la persona interesada, entendido como manifestación de voluntad libre, específica, informada e inequívoca por la que acepta el tratamiento de sus datos personales.  
Protección del interés vital de la persona interesada.  
3. Cuando el tratamiento de los datos personales implique el uso de categorías especiales se dispondrá de la habilitación necesaria entre las siguientes:  
Consentimiento explícito de la persona interesada.  
Cumplimiento de obligaciones y el ejercicio de derechos específicos de la Universitat en el ámbito del derecho laboral y de la seguridad y protección social.  
Protección de intereses vitales de la persona interesada o de otra persona física.  
Datos personales que la persona interesada ha hecho manifiestamente públicos.  
Formulación, ejercicio o defensa de reclamaciones, o cuando los tribunales actúen en ejercicio de su función judicial.  
Interés público esencial.  
Fines de medicina preventiva o laboral, evaluación de la capacidad laboral de trabajadoras y trabajadores, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social.  
Interés público en el ámbito de la salud pública.  
Archivo en interés público, fines de investigación científica, histórica o fines estadísticos.  
  
Artículo 7. Uso secundario de los datos personales  
El tratamiento de datos personales con finalidades distintas de aquellas para las que fueron inicialmente recabados solo será admisible cuando sea compatible con las finalidades de su recogida inicial teniendo en cuenta la relación entre ambas, el contexto en el que se recogieron los datos y todas aquellas otras circunstancias que hubieran podido generar a las personas una expectativa razonable de que sus datos pudieran ser utilizados para una finalidad distinta a la inicial.  
Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos se consideran operaciones de tratamiento lícitas compatibles.  
  
Artículo 8. Conservación de la información, bloqueo y supresión de datos personales  
Los datos personales serán mantenidos de forma que se permita la identificación de las personas durante el tiempo necesario para gestionar las actividades del tratamiento y de acuerdo con sus finalidades.  
Los datos personales serán suprimidos cuando hayan dejado de ser necesarios o pertinentes para las finalidades para las que se recabaron. La supresión implica el bloqueo de los datos por el tiempo necesario para dar respuesta ante reclamaciones y responsabilidades, i no pueden ser tratados para otras finalidades.  
Lo anterior no impedirá la posibilidad de conservar la información durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos, y sin perjuicio de la aplicación de las correspondientes medidas técnicas y organizativas apropiadas.  
En el Registro de Actividades de Tratamiento se reseñará el período de conservación de la información aplicable por la Universitat a cada tratamiento.  
La forma de conservación de los datos por parte de la Universitat permitirá el ejercicio de los derechos de la persona interesada y garantizará su seguridad.  
  
Artículo 9. Transferencias internacionales de datos personales  
La Universitat únicamente realizará transferencias de datos personales a un tercer país u organización internacional atendiendo a las condiciones establecidas en los contratos acordados entre las partes y garantizará un nivel de protección adecuado.  
  
Artículo 10. Responsabilidad proactiva en la Universitat  
La responsabilidad proactiva comprende, tanto el cumplimiento de la normativa de protección de datos, como la demostración de dicho cumplimiento, para lo cual la Universitat, como responsable del tratamiento de datos personales, se compromete a cumplir las obligaciones que a continuación se reseñan:  
Dotarse de un registro de actividades de tratamiento como compendio o conjunto de todas las actividades internas y externas de tratamientos de datos personales que efectúa la institución.  
Realizar análisis de riesgos para determinar las amenazas que supone el tratamiento de los datos personales para los derechos y libertades de las personas y que se elevarán a evaluaciones de impacto en la protección de datos cuando el tratamiento que se realice pueda entrañar un riesgo alto para aquellos derechos y libertades.  
Incrementar la transparencia en la información relativa al tratamiento de los datos personales.  
Implantar las medidas técnicas y organizativas adecuadas para garantizar la privacidad desde el diseño y por defecto.  
Aplicar herramientas de anonimización o seudonimización de datos personales.  
Clasificar y organizar los datos y operaciones de tratamiento en base a perfiles de acceso.  
Aplicar el cifrado por defecto de modo que el estado natural de los datos en caso de pérdida o robo sea ilegible.  
Realizar la destrucción segura y garantizada de la información al final de su ciclo de vida.  
Designar la figura del delegado o delegada de Protección de Datos.  
Notificar, cuando proceda, a la autoridad de control y/o a las personas afectadas, aquellas brechas de seguridad que afecten a datos de carácter personal.  
Definir las obligaciones de los proveedores de servicios contratados por la Universitat que, en tanto acceden y gestionan datos personales responsabilidad de la institución, tendrán la consideración de encargados del tratamiento.  
Vigilar el cumplimiento y adecuación mediante auditorías periódicas internas o externas.  
Cualquier otra obligación prevista en la normativa aplicable y en función de los avances técnicos disponibles.  
  
Artículo 11. Registro de Actividades de Tratamiento  
Este Registro recoge las actividades de tratamiento efectuadas por la organización y que contiene los siguientes elementos:  
Identificación y datos de contacto del responsable, corresponsable del tratamiento y del delegado o delegada de Protección de Datos.  
Las finalidades del tratamiento.  
Categorías de personas interesadas y categorías de datos personales.  
Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.  
Las transferencias de datos personales a un tercer país o a una organización internacional, en su caso.  
Los plazos previstos para la supresión de las diferentes categorías de datos, cuando sea posible.  
Una descripción general de las medidas técnicas y organizativas de seguridad, cuando sea posible.  
Todos los servicios de la Universitat comprobarán de forma periódica que el tratamiento de datos personales que realicen es conforme al contenido de dicho Registro y procederán a comunicar a la Secretaría General cualquier discrepancia para proceder a la actualización del Registro.  
Se realizarán auditorías periódicas para comprobar la exactitud de los datos publicados y si se ajustan a la realidad.  
  
  
TÍTULO I  
Derechos vinculados al tratamiento de datos personales  
  
Artículo 12. Derecho de acceso  
1. La persona interesada tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando datos personales que le afectan y, si es así, tiene derecho a acceder a estos datos y a la información relativa a los fines, destinatarios, categorías de datos tratadas, su origen y periodo de conservación, reclamaciones, existencia de decisiones automatizadas con sus consecuencias y a todos los derechos adicionales de rectificación, supresión, limitación, oposición y portabilidad.  
2. Cuando se transfieren datos personales a un tercer país o a una organización internacional, la persona interesada tiene derecho a ser informada de las garantías adecuadas relativas a la transferencia.  
3. La Universidad, como responsable del tratamiento, debe facilitar una copia de los datos personales objeto de tratamiento. Para cualquier otra copia que solicite la persona interesada, la responsable tiene derecho a percibir un canon razonable basado en los costes administrativos. Cuando la persona interesada presente la solicitud por medios electrónicos, y salvo que solicite que se haga de otra manera, la información se facilitará en un formato electrónico de uso común.  
  
Artículo 13. Derecho de rectificación y supresión  
1. La persona interesada tiene derecho a obtener de la Universitat, como responsable del tratamiento, la rectificación de los datos personales inexactos que le afectan, sin dilación indebida. Teniendo en cuenta las finalidades del tratamiento, la persona interesada tiene derecho a que se completen los datos personales incompletos, incluso mediante una declaración adicional.  
2. La persona interesada tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la supresión de los datos personales que le afectan. El responsable los ha de suprimir cuando los datos ya no son necesarios o se han tratado de forma ilícita, cuando la persona interesada retira el consentimiento o se opone al tratamiento y no queda base jurídica que lo ampare, cuando se debe cumplir una obligación legal o los datos se obtienen en relación con la oferta de servicios de la sociedad de la información.  
3. Si el responsable del tratamiento ha hecho públicos los datos personales y está obligado a suprimirlos, se adoptarán medidas razonables para informar a los responsables que están tratando estos datos de la solicitud de supresión de la persona interesada.  
4. Lo anterior no se aplicará, entre otros supuestos, cuando el tratamiento sea necesario para cumplir una obligación legal, por razones de interés público o con fines de archivo en interés público, de investigación científica o fines estadísticos.  
  
Artículo 14. Derecho de limitación  
1. La persona interesada tiene derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos:  
En casos de impugnación de la exactitud de los datos.  
Cuando el tratamiento es ilícito y la persona interesada se opone a la supresión, y cuando la persona interesada necesita mantener los datos para formular o ejercer reclamaciones.  
Mientras se verifica si los motivos legítimos del responsable prevalecen sobre los de la persona interesada, si la persona interesada se opone al tratamiento.  
2. En estas situaciones, con excepción de su conservación, los datos solo se pueden tratar con el consentimiento de la persona interesada, o para formular, ejercer o defender reclamaciones, o para proteger los derechos de otra persona física o jurídica, o por razones de interés público importante de la Unión Europea o de un determinado estado miembro. Antes de eliminar la limitación el responsable informará a la persona interesada de esta situación.  
  
Artículo 15. Derecho de portabilidad  
1. La persona interesada tiene derecho a recibir, en un formato estructurado, de uso común y de lectura mecánica, los datos personales que le afectan y que ha facilitado a un responsable del tratamiento. Tiene derecho a transmitirlos a otro responsable, sin que lo impida el responsable al que los había facilitado, cuando el tratamiento está basado en el consentimiento o en un contrato y el tratamiento se efectúa por medios automatizados. Cuando técnicamente sea posible, el responsable transmitirá directamente los datos personales.  
2. Este derecho no se aplica al tratamiento necesario para cumplir una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.  
  
Artículo 16. Derecho de oposición  
1. La persona interesada tiene derecho a oponerse a que los datos personales que le afectan sean objeto de un tratamiento. El responsable del tratamiento debe dejar de tratar estos datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades de la persona interesada, o para la formulación, el ejercicio o la defensa de reclamaciones.  
2. Si los datos personales se tratan con fines de investigación científica o histórica o con fines estadísticos, por motivos relacionados con su situación particular, la persona interesada tiene derecho a oponerse al tratamiento de datos personales que le afectan, salvo que sea necesario para cumplir una misión realizada por razones de interés público.  
  
Artículo 17. Procedimientos para ejercer los derechos  
1. Los derechos de acceso, rectificación o supresión, limitación, portabilidad y, en su caso, de oposición tienen carácter personal, por lo que solo puede ejercerlos la persona afectada. Podrá, sin embargo, actuar su representante legal en los casos previstos por la legislación vigente.  
2. Puede ejercer sus derechos dirigiéndose a la Secretaría General de la UJI mediante el Registro Electrónico o a la Oficina de Información y Registro (InfoCampus).  
3. Asimismo, la persona puede obtener información adicional sobre sus derechos o presentar una reclamación, si lo considera oportuno, ante la Agencia Española de Protección de Datos.  
4. Posteriormente a la presentación del escrito de la persona interesada en el Registro, o su recepción por otro medio válido en derecho, y su remisión al órgano al que vaya dirigida, los responsables internos de los tratamientos afectados, una vez comprobada la pertinencia de la solicitud, deben adoptar las medidas conducentes a satisfacer la petición.  
5. Se notificarán los resultados de la solicitud cursada mediante resolución de la Secretaría General en el plazo máximo de un mes. En caso de tratarse de una petición compleja el plazo puede ser de hasta tres meses y debe notificarse esta ampliación a la persona interesada.  
6. El responsable del tratamiento debe comunicar a cada uno de los destinatarios a los que se ha comunicado los datos personales cualquier rectificación o supresión de datos personales o limitación del tratamiento, a menos que sea imposible o exija un esfuerzo desproporcionado. Si la persona interesada lo solicita, el responsable lo informará sobre estos destinatarios.  
  
  
TÍTULO II  
Estructura orgánica de la Universitat para el tratamiento de datos personales  
  
Artículo 18. Responsable del tratamiento  
Conforme a la normativa de protección de datos, la Universitat es la responsable de todas las actividades de tratamiento de datos personales como entidad que determina los fines y medios del tratamiento.  
La figura de responsable del tratamiento se centraliza en la persona que dirige la Secretaría General de la Universitat, según lo previsto en los Estatutos de la misma.  
  
Artículo 19. Responsables internos del tratamiento  
Para el desarrollo habitual de las actividades de tratamiento de datos personales el responsable delegará la gestión ordinaria en las figuras de los responsables internos. Los responsables internos rendirán cuentas al responsable, serán identificados en el Registro de Actividades de Tratamiento y colaborarán en la tramitación de las solicitudes de ejercicio de derechos de los sujetos interesados.  
Son responsables internos las personas que dirigen las diferentes unidades organizativas y que, en el cumplimiento de sus tareas administrativas, necesiten tratar datos de carácter personal. Deben velar para que el tratamiento se ajuste en todo momento a lo previsto en la Ley, así como asegurarse del establecimiento y cumplimiento de las disposiciones de seguridad adecuadas.  
En el caso de los tratamientos bajo la responsabilidad de grupos de investigación, la responsabilidad interna la ejerce el investigador o investigadora principal, o la persona en quien delegue.  
  
Artículo 20. Encargados del tratamiento  
1. En aquellos casos en que la Universitat preste servicios para otras organizaciones también puede ser considerado encargado del tratamiento, recayendo la responsabilidad interna en el órgano o unidad administrativa que mejor pueda realizar las acciones concretas de cada encargo o en la figura del investigador principal o responsable del grupo de investigación que, en su caso, hubiera recibido el encargo.  
2. En todo caso, la condición de responsable o encargado se evaluará respecto de las actividades de tratamiento desarrolle la Universitat, al igual que la determinación de responsabilidades de tratamiento en aquellas actividades que se realicen conjuntamente con otras organizaciones, todo ello de conformidad con los procesos de contratación que rigen en esta universidad.  
3. La Universitat garantiza las condiciones adecuadas para el tratamiento de datos personales y ha de definir en el correspondiente contrato de encargo de tratamiento las obligaciones relativas al tratamiento de datos personales que compete cumplir a los proveedores de servicios encargados de tratamiento, así como a las actividades derivadas de colaboraciones entre la Universitat y el sector empresarial previstas en el artículo 83 de la Ley orgánica 6/2001 de universidades, compras, contratos (incluso los de servicios docentes o de formación), ayudas, convenios o proyectos, con contenidos específicos de confidencialidad y privacidad en aquellas actividades que puedan presentar la posibilidad incidental de acceder a información de acceso restringido.  
4. Las unidades organizativas o grupos de investigación que reciban o gestionen un encargo de tratamiento de terceras partes deben informar de esta situación a la Secretaría General para facilitar su registro y mantener actualizada dicha información.  
Artículo 21. Corresponsables del tratamiento  
1. En aquellos supuestos en que la Universitat determine, conjuntamente con otra organización, los fines y los medios de un tratamiento de datos personales, será corresponsable del tratamiento.  
2. A tal efecto se formalizará entre los corresponsables un acuerdo que determine las funciones que corresponden a cada uno con respecto al tratamiento y los procedimientos y mecanismos que se utilizarán para el ejercicio de los derechos de las personas interesadas.  
3. En estos escenarios, la Universitat será responsable del tratamiento de las actividades que le hayan sido asignadas mediante el mencionado acuerdo con las demás organizaciones participantes que, como tales, estarán obligadas a cumplir la normativa de protección de datos en todo lo que les afecte como responsables del tratamiento.  
  
Artículo 22. Delegado o delegada de Protección de Datos  
1. La Universitat Jaume I contará con un delegado o delegada de Protección de Datos que actúe como garante del cumplimiento de la normativa de la protección de datos en la organización y ejerza sus funciones con independencia y confidencialidad.  
2. Las funciones del delegado o delegada de protección de datos de la Universitat Jaume I son, entre otras, las siguientes:  
Informar y asesorar al responsable o encargado del tratamiento y a los empleados que se ocupan del tratamiento de datos de las obligaciones que les incumben en virtud del Reglamento general de protección de datos y otras disposiciones de protección de datos de la Unión Europea o de los estados miembros.  
Supervisar el cumplimiento de lo dispuesto en este Reglamento y en el resto de normativas aplicables, así como de las políticas del responsable o encargado del tratamiento en materia de protección de datos personales.  
3. El nombramiento del delegado o delegada de Protección de Datos se efectúa mediante resolución de la rectora o rector. Los datos de contacto de la delegada o delegado de Protección de Datos se publicarán y se comunicarán a la autoridad de control.  
  
  
TÍTULO III  
Los tratamientos de datos personales en el ámbito universitario  
  
CAPÍTULO I  
Tratamiento de datos personales en la docencia y en la gestión académica  
  
Artículo 23. Tratamientos de datos vinculados a la docencia y a la gestión académica  
En el ámbito de la docencia y la gestión académica la Universitat tratará los datos personales que son necesarios para prestación de:  
1. Estudios de grado, postgrado, estudios propios o cualesquiera otras enseñanzas universitarias y que son necesarios para el desarrollo del servicio público de educación superior en el ejercicio de las funciones que le atribuyen la legislación vigente y sus Estatutos:  
La docencia presencial o virtual.  
La gestión académica de los estudios.  
La realización de prácticas en empresas y estancias en otros centros educativos como parte de la formación universitaria.  
Cualquier otra función determinada por la normativa vigente.  
2. Servicios dirigidos a la orientación e inserción laboral y desarrollo de actividades vinculadas a estas.  
3. Acciones formativas para la promoción y fomento de proyectos.  
4. Gestión de ayudas, becas y concursos propios.  
  
Artículo 24. Criterios para el tratamiento de datos personales en actividades docentes  
1. En los espacios docentes físicos y virtuales de la Universitat solo se pueden realizar aquellas actividades de tratamiento de datos personales que estén amparadas en la normativa vigente, incluyendo la grabación o difusión en línea (streaming).  
2. Para realizar actividades en línea en recursos externos a los proporcionados por la Universidad se usarán preferentemente datos anónimos. Este anonimato debe garantizarse en todas las fases del tratamiento.  
3. Si de manera justificada a criterio de la persona responsable de la actividad, se tratan datos personales, la persona responsable de la actividad debe solicitar la inscripción en el Registro de Actividades de Tratamiento de la Universitat. Asimismo, debe elaborar la información que hay que ofrecer a los usuarios y usuarias, aplicar las medidas de seguridad necesarias y proporcionar la información requerida durante los procesos de auditoría y adoptar, en su caso, las medidas correctoras que estas auditorías aconsejen.  
  
Artículo 25. Gestión académica  
La Universitat tratará los datos personales de quienes se matriculen para cursar estudios de grado, postgrado, estudios propios o cualesquiera otras actividades docentes o formativas ofertadas por la Universitat que sean imprescindibles y necesarias para la gestión académica, económica y administrativa a partir de la inscripción y matriculación, con las siguientes finalidades:  
Identificación del alumnado como colectivo usuario de los servicios de la Universitat que facilite el acceso a estos servicios.  
Control de asistencia a clases y de acceso a instalaciones.  
Acceso y uso de recursos electrónicos.  
Elaboración de estudios, estadísticas y controles del cumplimiento normativo.  
Traslado de información de interés vinculada a la actividad universitaria.  
Y toda aquella finalidad derivada de la normativa vigente aplicable.  
  
Artículo 26. Gestión de ayudas, becas y concursos propios  
1. La Universitat tratará los datos personales de quienes soliciten becas y ayudas o se presenten a concursos propios, así como la información personal de las personas que formen parte de la unidad familiar o convivencial que fueran necesarios, en su caso, para valorar su adjudicación de conformidad con las bases de su convocatoria.  
2. Será posible la comunicación a instituciones públicas o privadas que tengan suscritos acuerdos de colaboración con la Universitat para la concesión de becas al alumnado, pero limitará dicha comunicación a datos estrictamente necesarios, y sin perjuicio del deber de informar de esta circunstancia a las personas solicitantes en las bases de cada convocatoria.  
  
Artículo 27. Comunicación de las calificaciones u otros resultados evaluadores del alumnado  
1. Las calificaciones serán publicadas por los medios electrónicos de la Universitat en el Aula Virtual de la asignatura o en la aplicación virtual de actas, sin perjuicio de utilizarse además otras formas de comunicación complementaria, si se considera oportuno.  
2. En ningún caso se publicarán calificaciones u otros resultados evaluadores en tablones de anuncios de ninguna ubicación del centro universitario ni en internet con acceso abierto.  
3. El período de tiempo en que los datos estarán accesibles será el estrictamente necesario. En el caso de calificaciones provisionales, se mantendrán hasta que transcurra el plazo para presentar reclamaciones. En el caso de las calificaciones definitivas, durante el plazo imprescindible que garantice su conocimiento por las personas interesadas.  
  
Artículo 28. Acceso por las personas progenitoras o tutores legales a datos académicos  
1. Los padres, madres y tutores legales podrán ser informados de datos académicos del estudiantado que tengan a su cargo siempre que, de conformidad con la normativa interna aprobada por la Universitat:  
Se solicite formalmente al Servicio de Gestión de la Docencia y Estudiantes a través del Registro General de la Universitat, exponiendo los motivos en los que se fundamenta la solicitud.  
Se acredite un interés legítimo en el conocimiento de esos datos mediante la aportación de la documentación oportuna, como pueda ser el libro de familia, sentencias judiciales, recibos de pago de tasas o cualquier otra que contribuya a acreditar ese interés.  
2. El estudiantado a quien se refiera la solicitud será informado i se podrá oponer a esta comunicación de sus datos académicos, exponiendo los motivos fundados y legítimos en los que fundamenta su oposición a este tratamiento. La Secretaria General resolverá sobre la concesión o denegación del acceso solicitado.  
3. En todo caso, el alcance de la información a comunicar respetará:  
Se remitirá estrictamente la información solicitada.  
La información remitida se limitará a las calificaciones académicas finales que figuren en el expediente, los datos de matrícula por año académico y aquella que se considere justificada en función de los motivos en los que se fundamente la solicitud.  
  
Artículo 29. Captación y difusión de material audiovisual en el contexto docente  
1. El personal docente puede grabar las sesiones de clase, incluyendo la imagen y voz del estudiantado, sin necesidad de recabar su consentimiento solamente si es necesario para cumplir la misión docente. En todo caso, dichas grabaciones solo serán accesibles al estudiantado y profesorado participantes en la actividad de la que la sesión forme parte a través de la plataforma docente oficial de la Universitat.  
2. En sesiones de clase desarrolladas mediante videoconferencia, el estudiantado puede desactivar su cámara o micrófono. Se fomentará el uso del chat para las interacciones entre el estudiantado y el profesorado.  
3. Se prohíbe cualquier otro uso ulterior de las grabaciones, como la difusión, distribución o compartición en redes sociales, salvo consentimiento expreso de todas las personas grabadas.  
4. Para garantizar los procedimientos de verificación de los conocimientos del estudiantado, el profesorado puede obligar al estudiantado a activar su cámara para monitorizar la realización de las pruebas de evaluación a distancia no orales, pero no se grabará la realización de la prueba.  
5. Cuando se realicen procesos de evaluación orales en línea, y para garantizar el ejercicio de los derechos de revisión o de recurso contra la calificación, el profesorado grabará la prueba en audio, vídeo o en otro soporte que permita la conservación.  
6. Las grabaciones se conservarán durante el periodo de vigencia de la actividad, que será el curso académico en el caso de clases o el plazo legal de custodia en el caso de evidencias del proceso evaluador.  
7. En la supervisión de las pruebas de evaluación se prohíbe el uso de sistemas automatizados de identificación biométrica o de técnicas de inteligencia artificial.  
  
  
CAPÍTULO II  
Tratamiento de datos personales en la investigación  
  
Artículo 30. Proyectos de investigación que impliquen tratamiento de datos personales  
1. El desarrollo de un proyecto de investigación debe respetar las siguientes obligaciones:  
Obtener el informe favorable de la Comisión Deontológica de la Universitat antes de iniciar la investigación.  
Inscribirse en el Registro de Actividades de Tratamiento.  
Identificar un responsable interno del tratamiento, que será el investigador o investigadora principal, o la persona en quien delegue.  
3. No tienen la consideración de tratamientos de datos personales aquellos que procesan o tratan información que haya sido previamente desagregada y no sea posible vincular los datos tratados con personas físicas identificadas o identificables en ningún momento del procesamiento.  
4. La Universitat puede comunicar datos personales de los que es responsable a grupos de investigación, si existe una legitimación previa que lo habilite.  
5. Si es necesaria la disociación de los datos personales, las personas interesadas deben asumir el coste de dichos procedimientos de disociación.  
6. La Universitat publica un conjunto de datos en abierto para su reutilización, en el marco de la iniciativa Open Data, que pueden ser usados por cualquier persona. El uso de estos datos vendrá delimitado por la licencia de reutilización de datos de la Universitat.  
  
Artículo 31. Participación de la comunidad universitaria en proyectos investigadores  
1. La participación del estudiantado en proyectos de investigación requiere, en todo caso, su consentimiento previo, libre y explícito, que debe ser recabado por el responsable del tratamiento. Esta participación no puede, en ningún caso, repercutir en su evaluación.  
2. El envío de comunicaciones generales, o por colectivos, en que se invite a participar a la comunidad universitaria en encuestas, pruebas u otras actividades relacionadas con proyectos de investigación requiere la aprobación previa de la Comisión Deontológica.  
  
Artículo 32. Tesis doctorales  
1. En la realización de tesis doctorales se emplearán preferentemente datos anónimos y se debe garantizar este anonimato en todas las fases del tratamiento.  
2. Cuando se realicen tesis doctorales con personas o con sus datos personales será necesario obtener el informe favorable de la Comisión Deontológica antes de iniciar los trabajos.  
3. Si el tratamiento anónimo de los datos no es posible, el tratamiento puede tener naturaleza pública o privada.  
4. Son de naturaleza pública y están bajo la responsabilidad de la Universitat los tratamientos de datos personales que se llevan a cabo con fines de investigación y para el desarrollo de una tesis doctoral que reúna las siguientes condiciones:  
Formar parte de uno de los planes anuales de promoción de la investigación de la Universitat.  
Llevarse a cabo dentro de un grupo de investigación de la Universitat y por parte de personal investigador que forme parte de su plantilla.  
Ser el director o directora de la tesis y ser personal de la Universitat, y que asuma la responsabilidad de tomar las decisiones oportunas sobre las finalidades y los medios del tratamiento al que serán sometidos los datos de carácter personal. El director o directora de la tesis o la investigadora o investigador principal del grupo de investigación será designado como responsable interno de los datos sometidos a tratamiento.  
Estar los medios de tratamiento de los datos personales bajo el control del director o directora de tesis o del grupo de investigación, ya sea directamente o por medio de un contrato de encargo de tratamiento.  
5. Los tratamientos de datos personales de naturaleza pública deben ser inscritos en el Registro de Actividades de Tratamiento de la Universitat.  
6. Aquellos tratamientos de datos personales que no puedan acogerse a la consideración de naturaleza pública son responsabilidad del investigador o investigadora, quien debe cumplir con las exigencias legales previstas y, en particular, la de informar a las personas afectadas de la finalidad concreta del tratamiento de sus datos, su identificación como responsable del tratamiento, su dirección postal y electrónica, y la posibilidad de ejercer los derechos que confiere la legislación vigente.  
  
Artículo 33. Trabajos de fin de máster (TFM) y trabajos de fin de grado (TFG)  
1. En la realización de TFG o TFM deben utilizarse preferentemente datos anónimos. Este anonimato debe garantizarse en todas las fases del tratamiento.  
2. Si, excepcionalmente y de manera justificada a criterio del tutor o tutora del trabajo, se utilizan datos personales, el alumno o alumna será responsable de cumplir las exigencias legales previstas y, en particular, la de informar a las personas afectadas de la finalidad concreta del tratamiento, su identificación como responsable del tratamiento, su dirección postal y electrónica, y la posibilidad de ejercer los derechos que confiere la vigente legislación de protección de datos de carácter personal.  
3. En todo caso, si implican a personas o se tratan datos personales será necesario obtener el informe favorable de la Comisión Deontológica antes de iniciar los trabajos.  
  
  
CAPÍTULO III  
Tratamiento de datos personales en las relaciones con terceros  
  
Artículo 34. Colaboración con otras organizaciones públicas o privadas  
1. Todo acuerdo con otras organizaciones públicas o privadas comportará un conjunto de actividades que pueden tratar datos personales en diferentes momentos y formas. Antes de iniciar cada actividad es necesario aplicarle la privacidad desde el diseño inicial y por defecto. Esta obligación será recogida de forma expresa en el texto del acuerdo.  
2. En caso de realizarse un tratamiento de datos personales por alguna de las partes se debe garantizar que se ha planificado antes de la ejecución, se han tomado las medidas oportunas de registro de la actividad, se han identificado las figuras de responsable, corresponsables y encargados, sus obligaciones, los datos afectados y su flujo a lo largo de todas las actividades recogidas en el acuerdo.  
3. Cuando sea necesaria la subcontratación por parte de la Universitat para realizar la actividad se solicitará permiso expreso a la parte solicitante de la actividad y la Universitat debe trasladar a la parte subcontratada las mismas obligaciones respecto a la actividad que tiene la Universitat.  
4. Las cláusulas del encargo de tratamiento que se desprende del acuerdo se podrán negociar previamente si no se puede aplicar el modelo genérico de la Universitat. Dicho encargo estará incluido como parte del acuerdo de forma inseparable y su firma implica también la firma del encargo.  
5. Todo acuerdo en el que participe la Universitat incluirá siempre una cláusula de confidencialidad.  
  
Artículo 35. Movilidad en la comunidad universitaria  
1. La Universitat puede tratar datos personales necesarios para realizar estancias formativas de alumnado, profesorado y demás personal de la Universidad en otros centros, instituciones o empresas o, recíprocamente, los datos personales de quienes accedan a la Universitat Jaume I.  
2. Los convenios de movilidad reflejarán las actividades que requiera cada parte participante y las responsabilidades que correspondan a cada una en relación con las actividades de tratamiento que se les atribuya.  
3. Se velará porque se asegure el cumplimiento de la normativa europea de protección de datos en las transferencias internacionales de datos personales que fuera necesario efectuar, aun cuando la contraparte no se encuentre dentro del Espacio Económico Europeo.  
  
Artículo 36. Prácticas externas  
1. La Universitat tratará datos personales para la gestión de las prácticas externas, tales como datos identificativos, imagen, voz o cualquier otro que se pueda vincular con una persona, exclusivamente para las finalidades propias de las prácticas y no se comunicarán a terceros por ningún medio. Las empresas o entidades colaboradoras conservarán solo los datos que necesiten y durante el tiempo necesario para informar sobre esas prácticas.  
2. Se guardará confidencialidad sobre la información y los datos personales que se conozcan durante la realización de las prácticas, de modo tal que para su acceso se debe obtener autorización de las supervisoras o supervisores, y estar en disposición de demostrarlo.  
3. No se someterá al personal de las empresas o instituciones donde se realicen las prácticas, o a quien den servicio, a test, pruebas o evaluaciones de cualquier tipo que no sean autorizadas y controladas por las personas que supervisen los destinos ni hacer fotografías, vídeos o grabación de sonidos no previstos entre las finalidades propias de las prácticas.  
4. En la documentación que se genera como consecuencia de las prácticas, tales como informes, trabajos, memorias, u otros, no se puede identificar al personal del destino de las prácticas con ningún dato de carácter personal, a excepción de las personas responsables de la tutorización de esas prácticas.  
  
Artículo 37. Venta y distribución comercial  
1. El tratamiento de datos personales que requiera la venta y distribución comercial de las publicaciones, entradas y de los productos oficiales de la Universitat tiene por objeto gestionar las compras que a través de dicha plataforma efectúen las personas, teniendo su base de habilitación en la relación jurídica establecida en la adquisición del producto o servicio.  
2. Se podrá ofrecer la posibilidad de recibir información comercial con ofertas y novedades comercializadas por la Universitat legitimada en el consentimiento previo de la persona titular de los datos.  
  
Artículo 38. Gestión de eventos  
1. El tratamiento de datos personales necesario para la celebración presencial o a distancia de eventos, tales como congresos y jornadas, concursos, premios y eventos análogos tiene como finalidad la gestión de las diferentes fases del evento tales como la invitación, inscripción, desarrollo y emisión de certificados, así como su difusión pública por medios físicos o telemáticos y su uso promocional.  
2. La participación de la persona en el evento de que se trate irá precedida de la información necesaria en materia de protección de datos personales.  
3. El tratamiento de los datos personales necesarios para la inscripción y participación en el evento se basa en el desarrollo de una misión en interés público por la difusión de la cultura y el conocimiento.  
  
4. Se debe recabar el consentimiento expreso de las personas que participen activamente para la obtención y difusión de imágenes, vídeos o audios en los que aparezcan.  
5. La Universitat no se hace responsable de las actividades individuales de captación y difusión de material audiovisual realizadas por las personas asistentes a un evento y que responderán de las consecuencias legales que se deriven por el inadecuado tratamiento de datos personales, de los derechos de imagen o cualquier otra normativa de aplicación.  
  
Artículo 39. Acciones de divulgación  
1. La Universitat puede utilizar la información de contacto de las personas asistentes a eventos para el envío de información y difusión de otros eventos vinculados a los previamente participados cuando obtenga el consentimiento de dichas personas.  
2. Las acciones de comunicación institucionales se rigen por los principios y procedimientos del Plan de comunicación de la Universitat y respetará el Código ético propio. Se distinguirá de manera clara la posición e información particular de la institucional en el uso de redes sociales o en la presencia pública.  
  
  
CAPÍTULO IV  
Tratamiento de datos personales en los servicios de gestión  
  
Artículo 40. Gestión económica  
1. Además de la gestión de datos personales vinculados a la gestión docente, académica y de investigación, la Universitat trata el conjunto de datos personales para tareas propias de la gestión administrativa, económica y financiera de su actividad relativos o derivados de la prestación de sus servicios, las relaciones con proveedores de servicio, transacciones vinculadas a la actividad de la Universitat, el desarrollo y ejecución de contratos y licitaciones, el cumplimiento de obligaciones legales y cualesquiera otras actuaciones requeridas para la administración de la institución.  
2. La gestión de estos datos se efectúa en cumplimiento de sus obligaciones y ejercicio de derechos de la Universitat que legitiman estas actividades de tratamiento.  
  
Artículo 41. Gestión de personal  
1. El tratamiento de datos relativos al personal empleado en activo y jubilado de la Universitat tiene por objeto el desarrollo y gestión de la relación laboral y el cumplimiento de las obligaciones legales en relación al personal y que habilitan el tratamiento de dichos datos.  
2. Cualesquiera otros tratamientos de datos para la realización de actividades vinculadas a la prestación de la relación laboral o el cumplimiento de obligaciones legales se sustentan en alguno o algunos de los títulos o bases jurídicas habilitantes del tratamiento de datos establecido en la normativa de protección de datos de lo que la persona será informada a través de los canales que la Universitat tenga establecidos para la comunicación con el personal de la institución.  
3. La Universitat publicará datos personales del personal docente e investigador (PDI) y del personal de administración y servicios (PAS) relativos a su participación en la organización vinculada a su actividad.  
Se facilitarán los datos de contacto relativos al nombre y apellidos, perfil profesional del puesto de trabajo, teléfono y dirección de correo corporativos en la Universitat proporcionados por esta, así como el horario de clases o tutorías, en caso del personal docente e investigador. Se puede obviar esta publicación de datos personales, parcial o totalmente, en cumplimiento de una obligación legal que se aplique a la Universitat.  
  
Artículo 42. Gestión de datos personales de salud  
1. En el diseño de actividades que comporten un tratamiento de datos personales de salud se priorizará la entrega y custodia de este tipo de datos a la unidad responsable de la vigilancia y prevención de la salud, quien puede delegar en otros servicios de la Universitat que estén estrictamente vinculados, por razón de su competencia, con el tratamiento de datos de salud que requiera la específica actividad que desarrollen. Se favorecerá la entrega de un informe básico con los datos reducidos.  
2. Los datos personales relativos a bajas médicas, situaciones de conciliación familiar y otros procedimientos habituales del área de recursos humanos se reducirán a los mínimos imprescindibles para poder realizarse. Los datos personales incluirán, tanto los propios de la persona interesada, como los de terceras personas relacionadas que lo autoricen y que puedan ser necesarios para el desarrollo del procedimiento.  
3. Los datos personales relativos a necesidades específicas de apoyo educativo o necesidades de adaptación al puesto de trabajo que estén relacionadas con el Plan de atención a la diversidad serán compartidos y su tratamiento será delegado a la unidad organizativa responsable de llevar a cabo dicho plan.  
4. Los datos personales relativos al desarrollo de planes de prevención de riesgos laborales aplicables a las circunstancias individuales o colectivas del personal laboral de la Universitat se limitarán al conjunto mínimo posible y no serán compartidos salvo necesidad para poder desarrollar correctamente el Plan o por obligación legal.  
5. Los datos personales de salud y cualquier otro dato personal relacionado que sea necesario dentro de un contexto de emergencia sanitaria, pandemia, desastre natural u otros similares serán tratados por la unidad responsable de la vigilancia y prevención de la salud, que se coordinará con los organismos e instituciones encargadas legalmente de su gestión. Se comunicarán a las instituciones y organismos implicados los datos mínimos que permitan su correcto funcionamiento y coordinación, así como a las diferentes unidades organizativas de la Universitat estrictamente vinculadas, por razón de su competencia, con el tratamiento de datos de salud.  
6. Los servicios sanitarios relativos a los reconocimientos médicos preventivos ofrecidos a la plantilla de personal trabajador de la Universitat serán llevados a cabo por empresas externas sin que haya comunicación de su resultado a la Universidad ni consiguiente tratamiento de datos por esta.  
7. La Universitat puede autorizar la creación de unidades de asistencia sanitaria, reconocidas oficialmente por la conselleria competente en materia de salud, para ejercer otros servicios complementarios a los descritos y que puedan tener vínculos con actividades investigadoras de los diferentes grupos de investigación de la Universitat. En este caso, los posibles datos personales de salud serán responsabilidad de dicho servicio sanitario o del grupo de investigación asociado y cada uno deberá cumplir con las obligaciones propias de cada tipo de actividad conforme a los procedimientos establecidos internamente por la Universitat.  
  
Artículo 43. Servicios complementarios  
1. Esta categoría engloba aquellos servicios adicionales ofrecidos por la Universitat y relativos a diversas actividades artísticas, culturales, deportivas, recreativas y de responsabilidad social, y que constituyen servicios complementarios para la comunidad universitaria y accesorios a la actividad docente y académica, tales como el servicio de biblioteca y préstamo interbibliotecario, servicio editorial, reserva de espacios y/o de materiales, actividades deportivas, capacitación de lenguas, guía de profesorado experto, voluntariado o antiguo alumnado, sin perjuicio de cualesquiera otros que pudieran desarrollarse en el futuro.  
2. También integran esta consideración los servicios que se ofrecen a la ciudadanía en general, tales como la difusión de la oferta formativa y cultural de la Universitat, el fomento y apoyo a la investigación, la cultura y la educación o la promoción de la actividad de la Universitat, así como la atención a consultas de la ciudadanía o visitas a sus instalaciones.  
3. La prestación del servicio a la persona interesada irá precedida de la información necesaria en materia de protección de datos específicamente vinculada al servicio de que se trate.  
  
Artículo 44. Antiguos miembros de la comunidad universitaria  
1. La Universitat dispone de diversos programas dirigidos al alumnado y personal que haya finalizado su vínculo. Estos programas tienen por objeto mantener la relación con la institución, facilitar la inserción laboral y mejora profesional, y difundir la oferta formativa, académica, científica y cultural mediante el envío de información relacionada con la organización de encuentros, actos de graduación y actividades sociales y culturales.  
2. El tratamiento de los datos personales del antiguo alumnado y personal que voluntariamente se hubiera adherido a alguno de estos programas estará legitimado en la prestación de los servicios asociados a dichos programas.  
3. Los programas dispondrán de los medios necesarios para que las personas adheridas puedan seleccionar el tipo de actividades que les son de interés dentro del marco del programa. La Universitat solo enviará información sobre estas actividades y evitará el envío indiscriminado.  
  
4. El tratamiento de datos personales del estudiantado y personal que ya haya abandonado la Universitat y no esté inscrito en ninguno de los programas queda restringido a los supuestos previstos por la legislación.  
  
  
CAPÍTULO V  
Órganos colegiados y publicación de datos  
  
Artículo 45. Órganos colegiados  
1. La Universitat tratará los datos personales de quienes participen en los diferentes órganos colegiados con las condiciones establecidas en la normativa administrativa vigente.  
2. Se debe informar de las condiciones de dicho tratamiento de forma previa a las personas que pertenezcan a los órganos colegiados, sin necesidad de recabar su consentimiento.  
3. Las grabaciones que se produzcan durante la realización de las sesiones del órgano colegiado formarán parte del acta y serán accesibles por parte de las personas participantes. Se le dará difusión idéntica al ámbito de comunicación del órgano.  
  
Artículo 46. Publicación de datos personales en procesos de concurrencia competitiva   
1. Cuando sea obligatoria la publicación de un acto administrativo que contuviese datos personales, se identificará a la persona interesada mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de personas estas cifras aleatorias deben alternarse.  
Se publicará el documento identificativo (documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de las personas) siguiendo la Orientación para la aplicación provisional de la disposición adicional séptima de la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, aprobada por la Agencia Española de Protección de Datos, salvo en aquellos supuestos en los que legalmente no se exija la publicación del número del documento identificativo, en cuyo caso se omitirá este dato personal, o exista una coincidencia de nombre y apellidos y, por tanto, estaría justificada la inclusión también del segundo elemento identificador.  
2. La publicación debe realizarse de manera que no suponga un acceso indiscriminado a la información a cuyos efectos se realizará en los medios adecuados a cada procedimiento y se retirará la publicación una vez hayan transcurridos los plazos legales.  
3. En ningún caso se publicará información relativa a circunstancias personales, familiares o sociales, salvo que sea estrictamente necesaria para garantizar la transparencia de la actividad relacionada con el funcionamiento y control de la actuación pública o venga expresamente dispuesto en norma de rango legal.  
4. En caso de que en la información que se publique haya categorías especiales de datos u otro tipo de datos protegidos por normativa específica, debe preservarse su confidencialidad.  
  
  
  
TÍTULO IV  
Seguridad y garantía en el tratamiento de datos personales de la Universitat  
  
Artículo 47. Seguridad en las actividades de tratamiento de datos personales  
La Universitat Jaume I, como universidad pública, garantizará el cumplimiento del Esquema Nacional de Seguridad en todas sus actividades de tratamiento de datos personales. Este cumplimiento se verificará mediante auditorías concurrentes con las de conformidad en materia de protección de datos.  
Cuando una tercera parte preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.  
De conformidad con la política de seguridad de la información aprobada por la Universitat, se establece una segregación de funciones, en relación con la organización de la seguridad de la información, que distingue entre responsable de la información, responsable del servicio y responsable de seguridad conforme a la siguiente separación de funciones:  
Es responsable de la información el secretario o secretaria general de la Universitat.  
Es responsable del servicio el vicerrector o vicerrectora competente en materia de tecnología de la información como responsable de garantizar la prestación de servicios en condiciones óptimas de disponibilidad, accesibilidad e interoperabilidad, y cumplir las directrices del sistema de gestión de la seguridad de la información.  
Es responsable de seguridad la persona titular de la Gerencia con la obligación de velar por la seguridad de la información, de los servicios prestados por los sistemas de información y dirigir el sistema de gestión de su seguridad, de acuerdo con lo establecido en la política de seguridad y normativa vigente que sea aplicable, y que delegará sus funciones en la Oficina de Innovación y Auditoría TI.  
Es responsable de auditoría de tecnologías de la información quien dirija la Oficina de Innovación y Auditoría TI.  
Es responsable del sistema quien dirija el Servicio de Informática, que puede delegar funciones en las y los administradores de seguridad que existirán, al menos, en las áreas de sistemas y microinformática, comunicaciones y sistemas de información, explotación y desarrollo.  
Es responsable de la coordinación de la seguridad de la información el Comité de Seguridad de la Información, que dirigirá la estrategia corporativa en materia de tecnologías de la información.  
Es responsable de velar por la organización del proceso tecnológico de la Universitat la Comisión Técnica de Proyectos, que tiene la finalidad de analizar el impacto y coordinar las iniciativas concretas dirigidas a evitar disfunciones que puedan propiciar errores o puntos débiles en los sistemas, tanto en el ámbito organizativo, como técnico.  
El responsable de la información, según el Esquema Nacional de Seguridad, se corresponde con el responsable del tratamiento definido en el Reglamento general de protección de datos.  
El responsable del servicio, el responsable de seguridad y el responsable del sistema, junto con las y los administradores de seguridad y el resto de personal técnico velarán por el establecimiento y mantenimiento de las medidas técnicas, humanas y organizativas que permitan realizar las actividades de tratamiento de datos personales con las garantías exigibles en la normativa vigente.  
  
Artículo 48. Gestión de registros electrónicos de actividad de usuarios (logs)  
1. Con la finalidad exclusiva de garantizar la seguridad de los sistemas de información de la Universitat, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los miembros de la comunidad universitaria, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, la Universitat registrará las actividades de los usuarios de dichos sistemas de información y retendrá la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, para permitir identificar en cada momento a la persona que actúa.  
2. La Universitat dispondrá de un inventario de todos los registros de actividades de usuario, con sus características. Este inventario se mantendrá actualizado dentro del sistema de gestión de seguridad de la información.  
3. Los administradores de seguridad de los sistemas de información tendrán la responsabilidad de mantener el inventario actualizado y garantizarán que no se almacena ningún registro de actividad de usuario que no forme parte del mismo.  
4. El periodo de conservación de los datos personales del registro es de un año. Una vez transcurrido dicho periodo, los datos serán borrados. En los casos en que el borrado no sea técnicamente viable, y con la aprobación del responsable del tratamiento, se procederá al bloqueo de dichos datos.  
  
Artículo 49. Seguridad y confidencialidad de la información  
Los datos serán tratados de forma confidencial y estarán sometidos a medidas técnicas y organizativas de seguridad adecuadas para evitar su alteración, pérdida, tratamiento o acceso no autorizado a cuyos efectos el tratamiento de datos se efectuará conforme a los procesos internos de seguridad adoptados por la Universitat.  
Todo el personal de la Universitat y quienes intervengan en cualquier fase del tratamiento de los datos personales están obligados a guardar confidencialidad respecto de los datos personales a que tengan acceso y conocimiento, aún después de finalizar su relación con la Universitat.  
Se desarrollarán y mantendrán normas de uso de los recursos informáticos y de comunicaciones que garanticen la seguridad y protección de los datos personales requeridos por la legislación vigente.  
Estas normas deben estar enmarcadas en la política de seguridad de la información y sus procedimientos se incorporarán al sistema de gestión de seguridad de la información, que han de estar siempre actualizados.  
  
Artículo 50. Seguridad en los equipos y sistemas de información que traten datos personales  
Todos los equipos, dispositivos y sistemas de información de la Universitat que traten datos personales deben cumplir con las obligaciones legales aplicables en materia de protección de datos y de seguridad.  
El equipamiento informático y de comunicaciones de la Universitat cumplirá con los requisitos de seguridad definidos en el sistema de gestión de seguridad de la información, tanto el que gestione la Universitat, como el que tenga su gestión delegada.  
Se dispondrá de políticas y procedimientos específicos para definir un nivel de seguridad equivalente en el caso de equipos y dispositivos de terceras partes que se deban integrar en o utilizar los recursos de la Universitat, como en el caso de personal que utilice equipamiento propio para realizar sus funciones o dispositivos conectados a la red de la Universitat.  
Todos estos recursos deben estar correctamente administrados y configurados. Se impedirá el acceso o uso no autorizado de dichos datos y del equipo utilizado en el tratamiento.  
  
Artículo 51. Garantía de los derechos digitales en el uso personal de recursos corporativos  
1. Los recursos informáticos y la información que contienen deben ser utilizados únicamente para actividades de producción, desarrollo, investigación y docencia relacionadas con la Universitat y de forma que no interfieran la actividad de los miembros de la comunidad universitaria. Queda prohibido el uso para finalidades distintas como pueden ser la comercial, de propaganda u otros.  
2. La cuenta corporativa de correo electrónico y los servicios digitales que proporciona la Universitat a toda la comunidad universitaria con quien tiene vínculo estable son herramientas profesionales cuya titularidad recae en la institución.  
3. Toda la información generada por las personas con vínculo activo en el desempeño de sus funciones debe ubicarse en el sistema de información y herramientas corporativas de la UJI.  
4. La Universitat protegerá la intimidad de las personas en el uso de los dispositivos digitales puestos a su disposición.  
5. La Universitat puede acceder a los contenidos derivados del uso de los recursos corporativos facilitados para controlar el cumplimiento de las obligaciones laborales, garantizar la integridad de dichos dispositivos o atender una obligación legal.  
6. La Universitat establecerá criterios para el uso de estos dispositivos que estarán acordados con la representación de las personas trabajadoras. Se informará de estos criterios a las personas que utilicen los recursos.  
7. Se establecerán instrucciones específicas y protocolos de actuación para gestionar dichos contenidos cuando se produzca una finalización del vínculo con la UJI.  
  
Artículo 52. Garantía de derechos digitales en la videovigilancia y seguridad  
1. La Universitat trata los datos personales necesarios para garantizar la seguridad de las personas, bienes e instalaciones de la institución a través de cámaras y/o videocámaras, así como para el control de acceso al interior de sus edificios, instalaciones y dependencias.  
2. Con esta finalidad pueden captarse imágenes en la vía pública o lugares de tránsito público dentro de las instalaciones de la Universitat tales como accesos o pasillos.  
3. En ningún caso se instalarán cámaras o videocámaras en espacios protegidos por el derecho a la intimidad como aseos o vestuarios.  
4. Las altas, bajas o modificaciones en la instalación de dispositivos de videovigilancia deben contar con la aprobación previa de la Comisión de Control de los Dispositivos de Videovigilancia.  
5. Se creará y mantendrá actualizada una relación de los dispositivos de videovigilancia que sean responsabilidad de la Universitat o se encuentren en sus instalaciones.  
  
  
DISPOSICIONES ADICIONALES  
  
Primera  
El contenido del presente Reglamento ha sido elaborado respetando el uso inclusivo del lenguaje de conformidad con la Ley orgánica 3/2007, de 22 de marzo, para la igualdad efectiva de mujeres y hombres, a excepción de la mención literal a conceptos únicamente recogidos en género masculino en la normativa de aplicación.  
  
Segunda  
Se autoriza a la Secretaría General para dictar las instrucciones y circulares que resulten necesarias para el desarrollo y ejecución del presente Reglamento.  
  
  
DISPOSICIÓN DEROGATORIA  
  
Única  
Queda derogada cualquier disposición de igual o inferior rango aprobada por la Universitat Jaume I que contradiga lo establecido en el presente Reglamento.  
  
  
DISPOSICIÓN FINAL  
  
Única  
El presente reglamento entrará en vigor el día siguiente al de su publicación en el Diari Oficial de la Generalitat Valenciana.  
  
Castelló de la Plana, 28 de octubre de 2021.- La secretaria del Consejo de Gobierno: Cristina Pauner Chulvi.



Descargar el documento en formato PDF

Descargar los metadatos en formato XML