AAPP-00035-2014

1/11 Procedimiento Nº AP/00035/2014 RESOLUCIÓN: R/02420/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00035/2014, instruido por la Agencia Española de Protección de Datos a la entidad UNIVERSIDAD CARLOS III DE MADRID, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17 de julio de 2013 tiene entrada en esta Agencia un escrito de Dª. A.A.A. en el que declara que el Departamento de Física de la Universidad Carlos III de Madrid (en adelante la Universidad) tiene accesibles en Internet los nombres y apellidos de los alumnos así como su número de identificación personal, que es el código de usuario para acceder al portal de la Universidad, la titulación que estudian, el grupo al que pertenecen, los horarios, las aulas y las notas obtenidas en los laboratorios. Aporta impresiones de tres listas de laboratorios de Física, en las que constan los nombres y apellidos de los alumnos junto con un código identificativo para cada uno de ellos, figurando el código del grupo de laboratorio, fechas de prácticas y horario del grupo. Aporta también impresión de un listado del laboratorio de Física en el que se asocian los códigos identificativos de los alumnos con lo que parece ser una calificación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha comprobado que bajo el dominio de Internet “uc3.es” se encuentran publicadas listas de alumnos admitidos en los laboratorios de Física (en bacterio.uc3.es), asociándose un código identificativo a los nombres de los alumnos (según manifestaciones de la denunciante el código de usuario del portal de la Universidad), exponiéndose los estudios que cursan y su código de usuario. Se ha verificado también que se encuentran también publicadas calificaciones o puntuaciones asociadas a ese código identificativo, siendo por tanto identificables los alumnos a los que pertenecen las puntuaciones. Se ha solicitado a la Universidad información sobre los motivos por los cuales el Departamento de Física de esa Universidad expone los datos personales de los alumnos en Internet, incluidas las calificaciones, sin ninguna restricción. Se ha solicitado información sobre la habilitación legal de esa Universidad (consentimiento de los alumnos o existencia de norma habilitante) para la publicación indiscriminada o de forma abierta de los citados datos en Internet. Los representantes de la Universidad han manifestado lo siguiente: “PRIMERA.- Que los datos que figuraban en el servidor del Departamento de Física “bacterio. uc3m. es ‘ relacionados con las prácticas de Laboratorio, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 proporcionó en momento alguno calificaciones finales de asignaturas del currículo formativo de los estudios de Grado afectados. Por el contrario, la información accesible estaba referida a una serie de puntuaciones concretas que cada estudiante obtuvo en un momento determinado de sus prácticas formativas de Laboratorio. Estas prácticas, a su vez, formaban parte de un proceso de evaluación continua que aúna otras muchas calificaciones, siendo así que las mismas suponen un 15% de la evaluación de la asignatura, correspondiendo el restante porcentaje a la realización de otros trabajos y el examen final. Por consiguiente, dichas puntuaciones, por sí solas, en ningún caso permitirían disponer de información suficiente y pertinente como para determinar, directa o indirectamente, la calificación final obtenida por un estudiante en una asignatura determinada del Grado ni, por tanto, se anotan en el expediente académico personal de cada estudiante. SEGUNDA.- Que, aun pudiéndose entender que los hechos que se ponen de manifiesto podrían encontrarse amparados por una interpretación amplia de la habilitación que recoge la disposición adicional vigésimo primera de la Ley Orgánica de Universidades en su apartado tercero (“No será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para a la adecuada realización y seguimiento de dicha evaluación ‘), por parte del Departamento de Física de la Universidad Carlos III de Madrid, en aras de acreditar su buena fe y siguiendo las directrices que vienen siendo aplicadas por parte de la Universidad Carlos III de Madrid en materia de seguridad de la información y protección de datos, se ha procedido a la inmediata eliminación de los datos del referido servidor informático. En todo caso, el Departamento de Física de la Universidad Carlos III de Madrid considera que los datos publicados no llegaron a vulnerar, en ningún aspecto, el principio de calidad de los datos dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal, toda vez que, sobre la base de lo que se ha expuesto, la publicidad que en su momento se llegó a realizar no puede calificarse de excesiva, en relación con el ámbito y las finalidades determinadas y legítimas propias de la organización de la docencia de prácticas de Laboratorio y la acreditación de la correcta utilización y empleo de los recursos públicos puestos a disposición de los estudiantes.” Se ha solicitado información sobre la existencia de otra normativa distinta (interna o externa) que amplíe o delimite lo expresado en la Disposición Adicional Vigésimo Primera, punto 3, de la Ley Orgánica 4/2007, de 12 de abril, de Universidades, no habiendo aportado la Universidad más información al respecto. Se ha solicitado también información sobre si han recibido alguna reclamación de los alumnos con relación a estos hechos, manifestando los representantes de la Universidad que ”por el Director del Departamento de Física de la Universidad Carlos III de Madrid, se informa que su Departamento no ha recibido ninguna queja ni solicitud formal referida a la publicación a la que alude el requerimiento de la Agencia de Protección de Datos”. Sobre la existencia de otros procedimientos, implantados en esa Universidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 para la comunicación a los alumnos de sus calificaciones y otros aspectos docentes, como la admisión a determinadas clases, laboratorios o grupos, en los que se restrinja el acceso de cada usuario a su propia información, los representantes de la Universidad han manifestado que “con carácter general, para la comunicación a cada estudiante de sus respectivas calificaciones, la Universidad Carlos III de Madrid cuenta con una plataforma de soporte a la docencia basada en Moodle (https://moodle.org/) que incorpora un control de acceso basado en usuario y contraseña individual. Así, cada estudiante y/o profesor sólo tiene acceso a aquellos grupos en los que se encuentra matriculado o imparte docencia. Todo ello se enmarca en la política de seguridad de la información de la Universidad que establece, para todos sus ámbitos de docencia, que la comunicación con los alumnos debe realizarse a través de esta plataforma o por correo electrónico”. TERCERO: Con fecha 18 de junio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar un procedimiento de declaración de infracción de Administraciones Públicas a la UNIVERSIDAD CARLOS III DE MADRID por la presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. h)y 44.3.
2. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la UNIVERSIDAD CARLOS III DE MADRID presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “…Tanto el Departamento de Física como la Universidad Carlos III de Madrid consideran que los datos disponibles no llegaron a vulnerar el principio de calidad de los datos, toda vez que la publicidad que en su momento se pudo realizar no puede calificarse de excesiva, sino adecuada y pertinente al ámbito tan restringido al que se refiere y las finalidades concretas (facilitar al estudiante la consulta de su grupo de prácticas y el conocimiento de la calificación obtenida en un parte de la asignatura) y legítimas propias de la organización de la docencia de prácticas de laboratorio. (…) En conclusión, la Universidad Carlos III de Madrid reitera que esta situación ha tenido carácter puntual, acotada al trascurso de un cuatrimestre, que afectó a un número muy reducido de estudiantes y que en ningún caso permitió el acceso a un dato completo como es la calificación obtenida por un estudiante en una asignatura. Como ya indicamos en nuestro escrito de 24 de abril, los datos accesibles, es decir, la calificación en unas prácticas concretas, por sí solas, en ningún caso permitiría disponer de información suficiente y pertinente como para determinar, directa o indirectamente, la calificación final obtenida en una asignatura que anotar en el expediente académico personal de cada estudiante. Estas calificaciones definitivas, únicas que podrían calificarse de acto administrativo, exclusivamente se pueden obtener de forma personal previa consignación de un número de usuario y contraseña individual al que los estudiantes acceden desde la plataforma de soporte a la docencia basada en Moodle (https://moodle.org). SEGUNDA.- En relación con la responsabilidad de la Universidad Carlos III de Madrid y la seguridad de los datos que se tratan debemos afirmar con rotundidad que esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 entidad de derecho público asume con responsabilidad el cumplimiento de la normativa en materia de protección de datos de carácter personal. Prueba de ello es que ha creado distintas estructuras para desarrollar una política orientada al respeto de este derecho fundamental, entre los que destaca la Comisión de Protección de Datos de Carácter Personal de la Universidad Carlos III de Madrid, constituida en el año 2010 (…) En materia de formación, podemos destacar las siguientes medidas formativas llevadas a cabo desde 2011 hasta la actualidad: (…) En materia de concienciación de sus trabajadores las acciones que pone en marcha la Universidad son constantes y transversales. (…) En conclusión, solicitamos que la Agencia Española de Protección de Datos atienda, en esencia, a la situación concreta del caso que nos atañe, (…) por último, porque aun tras la brecha puntual en el acceso a dicho enlace, bien pudiera entenderse dicha publicación atenuada por la Disposición Adicional Vigesimoprimera, punto 3, de la Ley Orgánica 4/2007, de 12 de abril, de Universidades. En este sentido, los estudiantes siempre han manifestado al Departamento de Física la utilidad de estos datos por su ordenación y accesibilidad, de lo que se deduce que no debiera considerarse necesario “el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimiento y competencias ni de los actos que resulten necesarios para la adecuada realización y seguimiento de dicha evaluación “, como indica el citado precepto.” Concluyen las alegaciones solicitando que se resuelva declarando la inexistencia de responsabilidad. QUINTO: Con fecha 16 de julio de 2014 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la UNIVERSIDAD CARLOS III DE MADRID, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05826/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00035/2014 presentadas por la UNIVERSIDAD CARLOS III DE MADRID, y la documentación que a ellas acompaña. HECHOS PROBADOS PRIMERO: Se ha presentado denuncia en esta Agencia declarando que el Departamento de Física de la Universidad Carlos III de Madrid tiene accesibles en Internet los nombres y apellidos de los alumnos y su número de identificación personal, que es el código de usuario del portal de la Universidad, la titulación que estudian, el grupo al que pertenecen, los horarios, las aulas y las notas obtenidas en los laboratorios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Se aportan impresiones de tres listas de laboratorios de Física, en las que constan los nombres y apellidos de los alumnos junto con un código identificativo para cada uno de ellos, figurando el código del grupo de laboratorio, fechas de prácticas y horario del grupo. Aporta también impresión de un listado del laboratorio de Física en el que se asocian los códigos identificativos de los alumnos con lo que parece ser una calificación. SEGUNDO: La inspección de esta Agencia ha comprobado con fecha 1 de abril de 2014, que bajo el dominio de Internet “uc3.es” se encuentran publicadas listas de alumnos admitidos en los laboratorios de Física (en bacterio.uc3.es), con un código identificativo que, según manifestaciones de la denunciante es el código de usuario del portal de la Universidad, y se exponen los estudios que cursan. Se ha verificado que se encuentran también publicadas calificaciones o puntuaciones asociadas a ese código identificativo, siendo por tanto identificables los alumnos a los que pertenecen las puntuaciones. TERCERO: La Universidad Carlos III de Madrid, en respuesta a la solicitud de información realizada por esta Agencia sobre los hechos denunciados ha manifestado: “Que, aun pudiéndose entender que los hechos que se ponen de manifiesto podrían encontrarse amparados por una interpretación amplia de la habilitación que recoge la disposición adicional vigésimo primera de la Ley Orgánica de Universidades en su apartado tercero (“No será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para a la adecuada realización y seguimiento de dicha evaluación”), por parte del Departamento de Física de la Universidad Carlos III de Madrid, en aras de acreditar su buena fe y siguiendo las directrices que vienen siendo aplicadas por parte de la Universidad Carlos III de Madrid en materia de seguridad de la información y protección de datos, se ha procedido a la inmediata eliminación de los datos del referido servidor informático. En todo caso, el Departamento de Física de la Universidad Carlos III de Madrid considera que los datos publicados no llegaron a vulnerar, en ningún aspecto, el principio de calidad de los datos dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal, toda vez que, sobre la base de lo que se ha expuesto, la publicidad que en su momento se llegó a realizar no puede calificarse de excesiva, en relación con el ámbito y las finalidades determinadas y legítimas propias de la organización de la docencia de prácticas de Laboratorio y la acreditación de la correcta utilización y empleo de los recursos públicos puestos a disposición de los estudiantes.” CUARTO: Sobre los procedimientos, implantados en esa Universidad para la comunicación a los alumnos de sus calificaciones y otros aspectos docentes, como la admisión a determinadas clases, laboratorios o grupos, en los que se restrinja el acceso de cada usuario a su propia información, los representantes de la Universidad han manifestado que: “para la comunicación a cada estudiante de sus respectivas calificaciones, la Universidad Carlos III de Madrid cuenta con una plataforma de soporte a la docencia basada en Moodle (https://moodle.org/) que incorpora un control de acceso basado en usuario y contraseña individual. Así, cada estudiante y/o profesor sólo tiene acceso a aquellos grupos en los que se encuentra matriculado o imparte docencia. Todo ello se enmarca en la política de seguridad de la información de la Universidad que establece, para todos sus ámbitos de docencia, que la comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 con los alumnos debe realizarse a través de esta plataforma o por correo electrónico”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
4. a)de la LOPD define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
5. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” III Dicho lo que antecede, el artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este caso ese deber de secreto implica que la Universidad denunciada, no puede revelar ni dar a conocer datos personales a terceros no autorizados, salvo con consentimiento de los afectados o en los casos autorizados por la ley. En el caso presente se ha constatado, por la Inspección de esta Agencia Española de Protección de Datos, que bajo el dominio de Internet “uc3.es” se encuentran publicadas listas de alumnos admitidos en los laboratorios de Física (en bacterio.uc3.es), con un código identificativo que, según manifestaciones de la denunciante es el código de usuario del portal de la Universidad, y se exponen los estudios que cursan. Se ha verificado que se encuentran también publicadas calificaciones o puntuaciones asociadas a ese código identificativo, siendo por tanto identificables los alumnos a los que pertenecen las puntuaciones. IV Se imputa a la Universidad Carlos III de Madrid el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
8. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
9. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso presente se ha constatado, por la Inspección de esta Agencia Española de Protección de Datos, que el Departamento de Física de la Universidad Carlos III de Madrid tenía accesibles en Internet listados de laboratorios de Física, en las que constan los nombres y apellidos de los alumnos junto con un código identificativo para cada uno de ellos, figurando el código del grupo de laboratorio, fechas de prácticas y horario del grupo. En un listado del laboratorio de Física se asocian los códigos identificativos de los alumnos con una calificación La entidad imputada en el presente procedimiento ha manifestado a la apertura del procedimiento de declaración de infracción que: “el Departamento de Física de la Universidad Carlos III de Madrid considera que los datos publicados no llegaron a vulnerar, en ningún aspecto, el principio de calidad de los datos dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal, toda vez que, sobre la base de lo que se ha expuesto, la publicidad que en su momento se llegó a realizar no puede calificarse de excesiva, en relación con el ámbito y las finalidades determinadas y legítimas propias de la organización de la docencia de prácticas de Laboratorio y la acreditación de la correcta utilización y empleo de los recursos públicos puestos a disposición de los estudiantes.” Por otra parte también se ha alegado que “aun pudiéndose entender que los hechos que se ponen de manifiesto podrían encontrarse amparados por una interpretación amplia de la habilitación que recoge la disposición adicional vigésimo primera de la Ley Orgánica de Universidades en su apartado tercero (“No será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para a la adecuada realización y seguimiento de dicha evaluación”), por parte del Departamento de Física de la Universidad Carlos III de Madrid, en aras de acreditar su buena fe y siguiendo las directrices que vienen siendo aplicadas por parte de la Universidad Carlos III de Madrid en materia de seguridad de la información y protección de datos, se ha procedido a la inmediata eliminación de los datos del referido servidor informático.” La Ley Orgánica 4/2007, de 12 de abril, por la que se modifica la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades, en su Disposición Adicional vigésimo primera, señala lo siguiente: “Disposición adicional vigésimo primera. Protección de datos de carácter personal. 1. Lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, será de aplicación al tratamiento y cesión de datos derivados de lo dispuesto en esta Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Las universidades deberán adoptar las medidas de índole técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, tratamiento o acceso no autorizados. 2. El Gobierno regulará, previo informe de la Agencia Española de Protección de Datos, el contenido de los currículos a los que se refieren los artículos 57.2 y 62.3. 3. No será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para la adecuada realización y seguimiento de dicha evaluación. 4. Igualmente no será preciso el consentimiento del personal de las universidades para la publicación de los resultados de los procesos de evaluación de su actividad docente, investigadora y de gestión realizados por la universidad o por las agencias o instituciones públicas de evaluación. 5. El Gobierno regulará, previo informe de la Agencia Española de Protección de Datos, el contenido académico y científico de los currículos de los profesores e investigadores que las universidades y las agencias o instituciones públicas de evaluación académica y científica pueden hacer público, no siendo preciso en este caso el consentimiento previo de los profesores o investigadores. (el subrayado es de la Agencia Española de Protección de Datos).” Cabe señalar, que la Ley Orgánica 4/2007, de 12 de abril, por la que se modifica la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades, prevé en relación con los estudiantes universitarios una excepción al consentimiento para el tratamiento de sus datos. Respecto de esta cuestión el número tercero de la Disposición adicional vigésimo primera de dicha norma establece que “no será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para la adecuada realización y seguimiento de dicha evaluación.” El artículo 6 de la LOPD que regula el principio del consentimiento del interesado para el tratamiento de sus datos y en su apartado 1 dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Visto lo que establece la Disposición adicional vigésimo primera “Protección de datos de carácter personal”, de la citada Ley Orgánica 4/2007 de Universidades, cabe concluir que la Universidad Carlos III de Madrid se encuentra legitimada para publicar los resultados de las pruebas relacionadas con la evaluación de los conocimientos y competencias de los estudiantes sin que sea preciso su consentimiento porque una ley habilita dicho tratamiento de datos personales sin que sea preciso el consentimiento de los estudiantes tal y como se dispone en la normativa citada. En consecuencia, la entidad denunciada se encuentra habilitada legalmente para la publicación de los resultados de las pruebas relacionadas con la evaluación de los conocimientos y competencias de los estudiantes sin contar con el consentimiento de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Por tanto se concluye que no se aprecian indicios de vulneración de la normativa vigente en materia de protección de datos, por lo que se procede al archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las actuaciones seguidas a la Universidad Carlos III de Madrid por infracción de los artículos 9.1 y 10 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la UNIVERSIDAD CARLOS III DE MADRID y a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es