1/7 Expediente N.º: EXP202104588 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia presentada por Fundación Foro Libertad y Alternativa y por Hablamos español de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 22 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a la ASSOCIACIÓ PLATAFORMA PER LA LLENGUA, con NIF G60417631, en relación con los siguientes hechos, según sus propias manifestaciones: La Plataforma per la Llengua, la ANC y varios sindicatos estudiantiles, como el Sindicat d'Estudiants dels Països Catalans (SEPC), han lanzado una web para informar de profesores universitarios que impartan las materias en castellano. La aplicación permite a los estudiantes de todas las universidades de Cataluña, Baleares y la Comunidad Valenciana denunciar «cambios de lengua» en las asignaturas que cursan. Es decir, permite señalar a aquellos profesores que, habiéndose comprometido a impartir la clase en catalán, saltan al castellano para dirigirse a un alumno que no le comprenda por proceder de otra comunidad autónoma o país. Se adjunta un link a la web en cuestión: https://www.launiversitatencatala.cat . A través de un cuestionario, los estudiantes pueden señalar en qué facultad, carrera, asignatura y grupo se ha producido la «vulneración lingüística», con lo que en la práctica se puede identificar al profesor que imparte la clase. Además, la web incluye un apartado de comentarios para que los informantes puedan argumentar su denuncia. Las entidades denunciantes manifiestan que en la web reclamada se recogen datos personales de terceros, vinculados a denuncias realizadas por usuarios de la misma, de profesores que, en las Universidades de Cataluña, Baleares y la Comunidad Valenciana, utilicen el castellano en las aulas. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 No queda constancia de que los denunciantes sean afectados por los hechos señalados en la denuncia. Con fecha de 25 de noviembre de 2021, se comprueba el sistema de recogida de quejas de la plataforma señalada en la reclamación. En esta comprobación se simularon dos quejas sobre dos universidades diferentes para verificar el funcionamiento del sistema. En ambos casos, el resultado de poner la queja se limitó a informar al usuario de la dirección de internet en donde el usuario podía poner su queja dependiendo de la Universidad. En el procedimiento de toma de datos denunciado, además de los datos personales del usuario y la aceptación de la política de privacidad, hay que rellenar los siguientes campos obligatorios: - Territorio: Cataluña, Valencia o Islas Baleares - Universidad: Univ. Politécnica, Univ. Autónoma, etc. - Facultad: Ciencias Políticas, Derecho, etc. - Tipo de estudios: grado, master u otros - Nombre de los estudios (ejemplo al haber elegido la Facultad de Ciencias Políticas): Ciencia Política y Gestión Pública, Estadística aplicada, Sociología, Relaciones internacionales, etc. - Tipo de queja: Cambio de lengua de una asignatura, Carencia de oferta lingüística u otras vulneraciones de derechos Adicionalmente, existe el campo “Comentarios” de cumplimentación voluntaria. Los denunciantes señalan que podría identificarse indirectamente al profesor sobre el que se esté poniendo la queja, dado que en el formulario de presentación existe el campo de formato libre “Comentarios”, y sería posible que en él se incluyeran datos más concretos que podrían especificar la asignatura o incluso directamente al profesor. Hay que reseñar que al pie de este campo figura la advertencia “No es permet subministrar dades personals de tercers sense la seva autorització per escrit. En cas de rebre’n sense autorització, la demanarem a l’usuari i, en cas de continuar sense tenir-la, procedirem a esborrar-les.” (traducción: No se permite suministrar datos personales de terceros sin su autorización por escrito. En caso de recibirlos sin autorización, la pediremos al usuario y, en caso de continuar sin tenerla, procederemos a borrarlos) Solicitada información a la parte denunciada sobre los datos recogidos a través del formulario y su tratamiento, con fecha de 13 de diciembre de 2021 se recibe en esta Agencia escrito de alegaciones manifestando los siguientes aspectos relevantes: - Finalidades: (
- i)informar de cómo el Reclamante puede presentar la queja directamente ante la institución o empresa; (
- ii)en algunos casos, a partir de todas las quejas recogidas contra una misma entidad, se presenta una reclamación desde PLATAFORMA PER LA LLENGUA por la vulneración de derechos lingüísticos de la población sin revelar datos del reclamante y (iii) Finalidades estadísticas y elaboración de estudios cualitativos sobre la vulneración de derechos lingüísticos en el ámbito universitario en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Cataluña, así como elaboración de informes sobre los derechos lingüísticos de los ciudadanos de Cataluña en el ámbito de la educación. En este caso, para cumplir con la presente finalidad los datos personales utilizados son anonimizados previamente. - Cambio en el texto de advertencia del campo “Comentarios”, habiendo sido sustituido por lo siguiente: “No està permès subministrar dades personals de terceres persones a través d’aquest formulari. Plataforma per la Llengua informa que, en cas de detectar la inclusió de dades personals de tercers, aquestes seran esborrades automàticament i no seran incloses a les seves bases de dades.” Traducción: No está permitido suministrar datos personales de terceras personas a través de este formulario. Plataforma por la Lengua informa que, en caso de detectar la inclusión de datos personales de terceros, estos serán borrados automáticamente y no serán incluidos en sus bases de datos. - Igualmente, PLATAFORMA PER LA LLENGUA, a la vista de la posibilidad de que, incluso con la advertencia, pudiera recibir algún dato personal de terceros mediante dicho campo libre, ha elaborado e implementado un procedimiento interno para evitar el tratamiento de dichos datos personales. Este procedimiento se incluye como parte del protocolo de tratamiento de datos que consiste en depurar por parte de la responsable del área Social de Plataforma por la LLengua las quejas recibidas revisando que no haya ningún tipo de información que haga referencia a información relativa a una tercera persona, o información contextual que pueda facilitar la identificación de una tercera persona concreta (“Datos de Terceros”). Si por error el reclamante ha añadido información de este tipo a la queja, ésta se marca para pedir inmediatamente su eliminación al gestor del almacenamiento. Adjuntan como Anexo 1 el protocolo detallado de tratamiento de datos. Finalmente, se comprueba que el formulario sigue activo y se verifica que se ha realizado el cambio indicado por la parte denunciada en el texto de advertencia del campo “Comentarios”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Aplicación del RGPD al tratamiento de datos personales denunciados En el presente caso, se ha denunciado la puesta en funcionamiento de una web, https://www.launiversitatencatala.cat, cuya finalidad es delatar a profesores universitarios que impartan las materias en castellano. La aplicación permite a los estudiantes de todas las universidades de Cataluña, Baleares y la Comunidad Valenciana denunciar «cambios de lengua» en las asignaturas que cursan. Es decir, permite señalar a aquellos profesores que, habiéndose comprometido a impartir la clase en catalán, saltan al castellano para dirigirse a un alumno que no le comprenda por proceder de otra comunidad autónoma o país. Las entidades denunciantes añaden que en la web reclamada se recogen datos personales de terceros, vinculados a denuncias realizadas por usuarios de la misma, de profesores que, en las Universidades de Cataluña, Baleares y la Comunidad Valenciana, utilicen el castellano en las aulas. El artículo 2, apartado1 del RGPD, denominado ámbito de aplicación material, señala: “1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 De acuerdo con lo establecido en el artículo 4.1 del RGPD, define como «datos personales»: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El apartado 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Tras las actuaciones de investigación efectuadas, se ha comprobado que en el formulario de presentación de la queja no se solicita la asignatura ni el horario concreto dentro de los estudios, por lo que no se aprecia que se imponga, de forma directa o indirecta la identificación, del profesor. Aunque exista la advertencia en el campo “Comentarios” sobre la prohibición de facilitar datos personales de terceros, el denunciante siempre podría especificar la asignatura, días en los que se imparte y el horario, con lo cual podría quedar identificado indirectamente el profesor. Ante la posibilidad de recibir algún dato personal de terceros mediante dicho campo libre de “Comentarios”, se ha elaborado e implementado un procedimiento interno para evitar el tratamiento de dichos datos personales. Este procedimiento se incluye como parte del protocolo de tratamiento de datos que consiste en depurar por parte de la responsable del área Social de Plataforma por la LLengua las quejas recibidas revisando que no haya ningún tipo de información que haga referencia a información relativa a una tercera persona, o información contextual que pueda facilitar la identificación de una tercera persona concreta (“Datos de Terceros”). Si por error el reclamante ha añadido información de este tipo a la queja, ésta se marca para pedir inmediatamente su eliminación al gestor del almacenamiento. Asimismo, no se tiene evidencia de que este hecho se haya producido ni de que se haya realizado tratamiento alguno con los datos de ningún profesor. Tampoco consta en esta Agencia ninguna reclamación presentada por un afectado a este respecto. IV Conclusión En base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de ProC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 tección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la FUNDACIÓN FORO LIBERTAD Y ALTERNATIVA, a HABLAMOS ESPAÑOL, y a la ASSOCIACIÓ PLATAFORMA PER LA LLENGUA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es